COPA

Утверждена Приказом №01/ПД от 04 июля 2023 г.

ИП «ТЕАМ»

Политика конфиденциальности персональных данных

1. Общие положения
   • Настоящая Политика определяет политику ИП «ТЕАМ» (далее – «Компания») по сбору, обработке и защите персональных данных в соответствии с Законом Республики Казахстан «О персональных данных и их защите» (далее – «Закон»).
   • В настоящей Политике используются следующие основные понятия:

1) биометрические данные – персональные данные, которые характеризуют физиологические и биологические особенности субъекта персональных данных, на основе которых можно установить его личность;

2) персональные данные – сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе;

3) блокирование персональных данных – действия по временному прекращению сбора, накопления, изменения, дополнения, использования, распространения, обезличивания и уничтожения персональных данных;

4) накопление персональных данных – действия по систематизации персональных данных путем их внесения в базу, содержащую персональные данные;

5) сбор персональных данных – действия, направленные на получение персональных данных;

6) уничтожение персональных данных – действия, в результате совершения которых невозможно восстановить персональные данные;

7) обезличивание персональных данных – действия, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно;

8) база, содержащая персональные данные (далее – база), – совокупность упорядоченных персональных данных;

9) собственник базы, содержащей персональные данные (далее – собственник), – Компания, реализующая в соответствии с законами Республики Казахстан право владения, пользования и распоряжения базой, содержащей персональные данные;

10) оператор базы, содержащей персональные данные (далее – оператор), – Компания, осуществляющая сбор, обработку и защиту персональных данных;

11) защита персональных данных – комплекс мер, в том числе правовых, организационных и технических, осуществляемых в целях защиты персональных данных;

12) обработка персональных данных – действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных;

13) использование персональных данных – действия с персональными данными, направленные на реализацию целей деятельности собственника, оператора и третьего лица;

14) хранение персональных данных – действия по обеспечению целостности, конфиденциальности и доступности персональных данных;

15) распространение персональных данных – действия, в результате совершения которых происходит передача персональных данных, в том числе через средства массовой информации или предоставление доступа к персональным данным каким-либо иным способом;

16) субъект персональных данных (далее – субъект) – физическое лицо, к которому относятся персональные данные;

17) третье лицо – лицо, не являющееся субъектом, собственником и (или) оператором, но связанное с ними (ним) обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных.

2. Принципы обработки персональных данных
   • Сбор, обработка и защита персональных данных осуществляются в соответствии с принципами:

– соблюдения конституционных прав и свобод человека и гражданина;

– законности;

– конфиденциальности персональных данных ограниченного доступа;

– равенства прав субъектов, собственников и операторов;

– обеспечения безопасности личности, общества и государства.

• Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
• Не подлежат обработке персональные данные, содержание и объем которых являются избыточными по отношению к целям их обработки.

3. Категории персональных данных
   • Персональные данные по доступности подразделяются на общедоступные и ограниченного доступа.
   • Общедоступными персональными данными являются персональные данные или сведения, на которые в соответствии с законами Республики Казахстан не распространяются требования соблюдения конфиденциальности, доступ к которым является свободным с согласия субъекта.
   • Персональными данными ограниченного доступа являются персональные данные, доступ к которым ограничен законодательством Республики Казахстан.
   • Сведения о субъекте, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, исключаются из общедоступных источников персональных данных в течение одного рабочего дня по требованию субъекта или его законного представителя либо по решению суда или иных уполномоченных государственных органов.

4. Определение перечня персональных данных
   • Компания до начала сбора и обработки персональных данных проводит анализ осуществляемых ей задач на предмет использования персональных данных.
   • На основании проведенного анализа Компания определяет перечень персональных данных, необходимый и достаточный для выполнения осуществляемых ей задач с указанием целей их сбора и обработки в рамках задач.
   • При осуществлении текущей деятельности Компания ежегодно проводит повторный анализ осуществляемых ими задач на предмет использования персональных данных, на основании которого вносятся изменения в перечень персональных данных.
   • Персональные данные, содержание и объем которых являются избыточными по отношению к осуществляемым Компанией задачам, не включаются в перечень персональных данных.
   • Компания обеспечивает доступ к перечню персональных данных, способами, не запрещенными законодательством Республики Казахстан.

5. Согласие на обработку персональных данных
   • Сбор, обработка персональных данных осуществляются с согласия субъекта или его законного представителя, за исключением следующих случаев:

– повторный сбор, обработка и распространение третьими лицами персональных данных, опубликованных в общедоступных источниках на основании согласия, а также опубликованных в общедоступных источниках обладателями информации в случаях публикации информации, обязанность размещения которой установлена законами Республики Казахстан;

– осуществление деятельности правоохранительных органов, судов и иных уполномоченных государственных органов, которые возбуждают и рассматривают дела об административных правонарушениях, исполнительного производства;

– осуществление государственной статистической деятельности;

– использование государственными органами персональных данных для статистических целей с обязательным условием их обезличивания;

– реализация международных договоров, ратифицированных Республикой Казахстан;

– защита конституционных прав и свобод человека и гражданина, если получение согласия субъекта или его законного представителя невозможно;

– осуществление законной профессиональной деятельности журналиста и (или) деятельности теле-, радиоканалов, периодических печатных изданий, информационных агентств, сетевых изданий либо научной, литературной или иной творческой деятельности при условии соблюдения требований законодательства Республики Казахстан по обеспечению прав и свобод человека и гражданина;

– опубликование персональных данных в соответствии с законами Республики Казахстан;

– неисполнение субъектом своих обязанностей по представлению персональных данных в соответствии с законами Республики Казахстан;

– получение государственным органом, осуществляющим регулирование, контроль и надзор финансового рынка и финансовых организаций, информации от физических и юридических лиц в соответствии с законодательством Республики Казахстан;

– получение органами государственных доходов для осуществления налогового (таможенного) администрирования и (или) контроля информации от физических и юридических лиц в соответствии с законами Республики Казахстан;

– передача на хранение резервной копии электронных информационных ресурсов, содержащих персональные данные ограниченного доступа, на единую национальную резервную платформу хранения электронных информационных ресурсов в случаях, предусмотренных законами Республики Казахстан;

– использование персональных данных субъектов предпринимательства, относящихся непосредственно к их предпринимательской деятельности, для формирования реестра бизнес-партнеров при условии соблюдения требований законодательства Республики Казахстан;

– в иных случаях, установленных законами Республики Казахстан.

• Субъект или его законный представитель дает (отзывает) согласие на сбор, обработку персональных данных письменно, посредством государственного сервиса, негосударственного сервиса либо иным способом, позволяющим подтвердить получение согласия.
• Субъект или его законный представитель не может отозвать согласие на сбор, обработку персональных данных в случаях, если это противоречит законам Республики Казахстан, либо при наличии неисполненного обязательства.
• Согласие на сбор и обработку персональных данных включает:

1) наименование и бизнес-идентификационный номер Компании;

2) фамилию, имя, отчество субъекта;

3) срок действия согласия;

4) сведения о возможности Компании или ее отсутствии передавать персональные данные третьим лицам;

5) сведения о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки;

6) сведения о распространении персональных данных в общедоступных источниках;

7) перечень собираемых данных, связанных с субъектом;

8) иные сведения, определяемые Компанией.

6. Трансграничная передача
   • Трансграничная передача персональных данных – передача персональных данных на территорию иностранных государств. Трансграничная передача персональных данных на территорию иностранных государств осуществляется только в случае обеспечения этими государствами защиты персональных данных.
   • Обработка персональных данных в виде трансграничной передачи, распространения персональных данных в общедоступных источниках, а также их передачи третьим лицам осуществляется при условии согласия субъекта, за исключением случаев:

– предусмотренных международными договорами, ратифицированным Республикой Казахстан;

– предусмотренных законами Республики Казахстан, если это необходимо в целях защиты конституционного строя, охраны общественного порядка, прав и свобод человека и гражданина, здоровья и нравственности населения;

– осуществления защиты конституционных прав и свобод человека и гражданина, если получение согласия субъекта или его законного представителя невозможно.

7. Доступ к персональным данным
   • Доступ к персональным данным определяется условиями согласия субъекта или его законного представителя, если иное не предусмотрено законодательством Республики Казахстан.
   • Доступ к персональным данным должен быть запрещен, если Компания не может исполнить обязательства по обеспечению выполнения требований Закона.
   • Обращение (запрос) субъекта или его законного представителя относительно доступа к своим персональным данным подается Компании письменно или в форме электронного документа либо иным способом с применением элементов защитных действий, не противоречащих законодательству Республики Казахстан.

8. Конфиденциальность персональных данных
   • Лица, получающие доступ к персональным данным ограниченного доступа, обеспечивают их конфиденциальность путем соблюдения требований не допускать их распространения без согласия субъекта или его законного представителя либо наличия иного законного основания.
   • Лица, которым стали известны персональные данные ограниченного доступа в связи с профессиональной, служебной необходимостью, а также трудовыми отношениями, обязаны обеспечивать их конфиденциальность.

9. Накопление и хранение персональных данных
   • Накопление персональных данных производится путем сбора персональных данных, необходимых и достаточных для выполнения задач, осуществляемых Компанией.
   • Хранение персональных данных осуществляется Компанией в базе, находящейся на территории Республики Казахстан.
   • Срок хранения персональных данных определяется датой достижения целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан.
     
     
10. Обработка персональных данных
    • Изменение и дополнение персональных данных осуществляются Компанией на основании обращения (запроса) субъекта или его законного представителя либо в иных случаях, предусмотренных законами Республики Казахстан.
    • Использование персональных данных должно осуществляться Компанией только для ранее заявленных целей их сбора.
    • Распространение персональных данных допускается при условии согласия субъекта или его законного представителя, если при этом не затрагиваются законные интересы иных физических и (или) юридических лиц.
    • Распространение персональных данных в случаях, выходящих за рамки ранее заявленных целей их сбора, осуществляется с согласия субъекта или его законного представителя.
    • При сборе, обработке персональных данных для проведения статистических, социологических, научных, маркетинговых исследований Компания обязана их обезличить в соответствии с правилами сбора, обработки персональных данных.

11. Уничтожение персональных данных
    • Персональные данные подлежат уничтожению:

– по истечении срока хранения;

– при прекращении правоотношений между субъектом и Компанией;

– при вступлении в законную силу решения суда;

– при выявлении сбора и обработки персональных данных без согласия субъекта или его законного представителя, за исключением случаев, когда согласие не является обязательным;

– в иных случаях, установленных Законом и иными нормативными правовыми актами Республики Казахстан.

12. Сообщение о действиях с персональными данными
    • При наличии условия об уведомлении субъекта о передаче его персональных данных третьему лицу Компания в течение десяти рабочих дней уведомляет об этом субъекта или его законного представителя, если иное не предусмотрено законами Республики Казахстан, за исключением случаев:

– выполнения государственными органами своих функций, предусмотренных законодательством Республики Казахстан, а также осуществления деятельности частными нотариусами, частными судебными исполнителями и адвокатами;

– осуществления сбора и обработки персональных данных в статистических, социологических или научных целях.

13. Защита персональных данных
    • Под угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих возможность несанкционированного, в том числе случайного, доступа к персональным данным при их сборе и обработке, результатом которого могут стать уничтожение, изменение, блокирование, копирование, несанкционированное предоставление третьим лицам, несанкционированное распространение персональных данных, а также иные неправомерные действия.
    • Сбор и обработка персональных данных осуществляются только в случаях обеспечения их защиты.
    • Защита персональных данных осуществляется путем применения комплекса мер, в том числе правовых, организационных и технических, в целях:

– реализации прав на неприкосновенность частной жизни, личную и семейную тайну;

– обеспечения их целостности и сохранности;

– соблюдения их конфиденциальности;

– реализации права на доступ к ним;

– предотвращения незаконного их сбора и обработки.

• Для обеспечения защиты персональных данных Компания осуществляет:

– выделение бизнес-процессов, содержащих персональные данные;

– разделение персональных данных на общедоступные и ограниченного доступа;

– определение перечня лиц, осуществляющих сбор и обработку персональных данных либо имеющих к ним доступ;

– назначение лица, ответственного за организацию обработки персональных данных;

– установление порядка доступа к персональным данным.

– утверждение документов, определяющих политику Компании в отношении сбора, обработки и защиты персональных данных;

– по запросу уполномоченного органа в рамках рассмотрения обращений физических и юридических лиц представление информации о способах и процедурах, используемых для обеспечения соблюдения Компанией требований Закона.

• При сборе и обработке персональных данных в объектах информатизации дополнительно Компания обеспечивает сохранность носителей персональных данных.
• Компания при обработке персональных данных ограниченного доступа:

– устанавливает цели обработки персональных данных ограниченного доступа;

– определяет порядок обработки, распространения и доступа к персональным данным ограниченного доступа;

– определяет порядок блокирования персональных данных ограниченного доступа, относящихся к субъекту, при обращении субъекта.

• Компания при обработке персональных данных ограниченного доступа:

– определяет перечень лиц, имеющих доступ к персональным данным ограниченного доступа;

– оповещает уполномоченный орган в сфере защиты персональных данных об инцидентах информационной безопасности, связанных с незаконным доступом к персональным данным ограниченного доступа;

– обеспечивает установку средств защиты информации, обновлений программного обеспечения на технических средствах, осуществляющих обработку персональных данных ограниченного доступа;

– обеспечивает ведение журнала событий систем управления базами;

– обеспечивает ведение журнала действий пользователей, имеющих доступ к персональным данным ограниченного доступа;

– применяет средства контроля целостности персональных данных ограниченного доступа;

– обеспечивает передачу персональных данных ограниченного доступа иным лицам по защищенным каналам связи и (или) с применением шифрования и при наличии согласия субъекта персональных данных, если иное не предусмотрено законодательством Республики Казахстан;

– выделяет бизнес-процессы, содержащие персональные данные ограниченного доступа;

– обеспечивает применение средств криптографической защиты информации для надежного хранения персональных данных ограниченного доступа;

– применяет средства идентификации и (или) аутентификации пользователей при работе с персональными данными ограниченного доступа.

• Сбор и обработка персональных данных ограниченного доступа осуществляются посредством объектов информатизации, размещенных на территории Республики Казахстан. Хранение и передача персональных данных ограниченного доступа осуществляются с использованием средств криптографической защиты информации, имеющих параметры не ниже третьего уровня безопасности согласно стандарту Республики Казахстан СТ РК 1073-2007 “Средства криптографической защиты информации. Общие технические требования”. Требования данного пункта не распространяются на случаи трансграничной передачи данных.
• Компания принимает необходимые меры по защите персональных данных, обеспечивающие:

– предотвращение несанкционированного доступа к персональным данным;

– своевременное обнаружение фактов несанкционированного доступа к персональным данным, если такой несанкционированный доступ не удалось предотвратить;

– минимизацию неблагоприятных последствий несанкционированного доступа к персональным данным;

– предоставление доступа государственной технической службе к объектам информатизации, использующим, хранящим, обрабатывающим и распространяющим персональные данные ограниченного доступа, содержащиеся в электронных информационных ресурсах, для осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в электронных информационных ресурсах в порядке, определяемом уполномоченным органом.

– регистрацию и учет срока действия согласия субъекта персональных данных, передачи персональных данных третьим лицам, трансграничной передачи персональных данных, распространении персональных данных в общедоступных источниках.

• Обязанности Компании по защите персональных данных возникают с момента сбора персональных данных и действуют до момента их уничтожения либо обезличивания.

14. Права и обязанности субъекта персональных данных
    • Субъект имеет право:

– знать о наличии у Компании своих персональных данных, а также получать информацию, содержащую (а) подтверждение факта, цели, источников, способов сбора и обработки персональных данных, (б) перечень персональных данных, (в) сроки обработки персональных данных, в том числе сроки их хранения;

– требовать от Компании изменения и дополнения своих персональных данных при наличии оснований, подтвержденных соответствующими документами;

– требовать от Компании блокирования своих персональных данных в случае наличия информации о нарушении условий сбора, обработки персональных данных;

– требовать от Компании уничтожения своих персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных Законом и иными нормативными правовыми актами Республики Казахстан;

– отозвать согласие на сбор, обработку, распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу персональных данных, кроме случаев, предусмотренных Законом;

– дать согласие (или отказ) Компании на распространение своих персональных данных в общедоступных источниках персональных данных;

– на защиту своих прав и законных интересов, в том числе возмещение морального и материального вреда;

– на осуществление иных прав, предусмотренных Законом и иными законами Республики Казахстан.

• Субъект обязан представлять свои персональные данные в случаях, установленных законами Республики Казахстан.
• Для получения информации субъектом или его законным представителем направляется обращение (запрос) Компании письменно или в форме электронного документа либо иным способом с применением элементов защитных действий, не противоречащих законодательству Республики Казахстан.
• Компания сообщает информацию, относящуюся к субъекту, в течение 3 (трех) рабочих дней со дня получения обращения субъекта или его законного представителя, если иные сроки не предусмотрены законами Республики Казахстан.
• В случае отказа в предоставлении информации субъекту или его законному представителю, Компания в срок, не превышающий 3 (трех) рабочих дней со дня получения обращения, представляет мотивированный ответ, если иные сроки не предусмотрены законами Республики Казахстан.

15. Права и обязанности Компании
    • Компания имеет право осуществлять сбор, обработку персональных данных в порядке, установленном Законом и иными нормативными правовыми актами Республики Казахстан.
    • Компания обязана:

– утверждать перечень персональных данных, необходимый и достаточный для выполнения осуществляемых ей задач, если иное не предусмотрено законами Республики Казахстан;

– утверждать документы, определяющие политику Компании в отношении сбора, обработки и защиты персональных данных;

– принимать и соблюдать необходимые меры, в том числе правовые, организационные и технические, для защиты персональных данных в соответствии с законодательством Республики Казахстан;

– соблюдать законодательство Республики Казахстан о персональных данных и их защите;

– предоставлять по запросу уполномоченного органа в рамках рассмотрения обращений физических и юридических лиц информацию о способах и процедурах, используемых для обеспечения соблюдения Компанией требований Закона;

– принимать меры по уничтожению персональных данных в случае достижения цели их сбора и обработки, а также в иных случаях, установленных Законом и иными нормативными правовыми актами Республики Казахстан;

– представлять доказательство о получении согласия субъекта на сбор и обработку его персональных данных в случаях, предусмотренных законодательством Республики Казахстан;

– по обращению субъекта сообщать информацию, относящуюся к нему, в сроки, предусмотренные законодательством Республики Казахстан;

– в случае отказа в предоставлении информации субъекту или его законному представителю представить мотивированный ответ в сроки, предусмотренные законодательством Республики Казахстан;

– в течение одного рабочего дня (а) изменить и (или) дополнить персональные данные на основании соответствующих документов, подтверждающих их достоверность, или уничтожить персональные данные при невозможности их изменения и (или) дополнения, (б) блокировать персональные данные, относящиеся к субъекту, в случае наличия информации о нарушении условий их сбора, обработки, (в) уничтожить персональные данные в случае подтверждения факта их сбора, обработки с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных Законом и иными нормативными правовыми актами Республики Казахстан, (г) снять блокирование персональных данных в случае неподтверждения факта нарушения условий сбора, обработки персональных данных;

– предоставлять безвозмездно субъекту или его законному представителю возможность ознакомления с персональными данными, относящимися к данному субъекту;

– назначить лицо, ответственное за организацию обработки персональных данных.

• Лицо, ответственное за организацию обработки персональных данных, обязано:

– осуществлять внутренний контроль за соблюдением Компанией и её работниками законодательства Республики Казахстан о персональных данных и их защите, в том числе требований к защите персональных данных;

– доводить до сведения работников Компании положения законодательства Республики Казахстан о персональных данных и их защите по вопросам обработки персональных данных, требования к защите персональных данных;

– осуществлять контроль за приемом и обработкой обращений субъектов или их законных представителей.

Утверждена Приказом № 01/ПД от 04 июля 2023 г.

ИП «ТЕАМ»

Политика использования файлов cookie

1. Настоящая Политика определяет процессы сбора и обработки персональных данных на интернет-сайте copa.kz (далее – «Сайт»).
2. Используя и просматривая Сайт, пользователь даёт согласие на обработку персональных данных с использованием файлов cookie:

наименование оператора – ИП «ТЕАМ», бизнес-идентификационный номер 830914300150;

фамилия, имя и отчество: субъект указывает в регистрационных формах на Сайте;

согласие действует до выполнения цели обработки;

персональные данные могут быть переданы третьим лицам, включая рекламных партнеров;

в ходе обработки персональных данных может осуществляться трансграничная передача;

персональные данные не будут распространяться в общедоступных источниках;

перечень собираемых данных – сведения об использовании Сайта. Оператор использует персональные данные в маркетинговых и функциональных целях.

3. Пользователь может управлять файлами cookie различными способами в настройках своего браузера. Удаление или блокировка файлов cookie может негативно повлиять на пользовательский опыт, и некоторые функции Сайта могут стать недоступными в полном объеме. Подробные инструкции по настройке браузера для использования cookies опубликованы разработчиками браузеров:

Internet Explorer;

Microsoft Edge;

Chrome; Chrome for iOS; Chrome for Android;

Firefox; Firefox на iOS; Firefox на Android;

Safari на macOS; Safari на iOS.