Политика обработки персональных данных

Утверждена приказом ООО «ЭЦЭМИГ»

1. Общие положения

1.1. Настоящий документ (далее — Политика) определяет цели, принципы и порядок обработки персональных данных компаниями группы ЭЦЭМИГ:

— ООО «ЭЦЭМИГ» — юридическое лицо, зарегистрированное на территории Российской Федерации;

— ТОО «ЭЦЭМИГ» — юридическое лицо, зарегистрированное на территории Республики Казахстан.

1.2. Политика разработана в соответствии с требованиями двух законодательств одновременно:

— основное: Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — Закон РК о ПД) с учётом изменений 2024 года;

— дополнительное: Федеральный закон Российской Федерации от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) с учётом изменений 2024 года.

1.3. При наличии противоречий между требованиями казахстанского и российского законодательства в отношении субъектов — граждан Республики Казахстан применяется Закон РК о ПД; в отношении граждан Российской Федерации — 152-ФЗ. В остальных случаях применяется более строгий стандарт защиты прав субъектов.

1.4. Политика распространяется на:

— весь персонал ООО «ЭЦЭМИГ» и ТОО «ЭЦЭМИГ», включая работников по трудовым договорам и лиц, заключивших иные договоры;

— все структурные подразделения обоих Обществ;

— подрядчиков, партнёров и иных контрагентов в части, связанной с обработкой персональных данных в интересах или по поручению ЭЦЭМИГ.

1.5. Политика является публичным документом и размещается на веб-сайте(ах) ЭЦЭМИГ. Действующая версия доступна любому лицу без ограничений.

2. Термины и определения

В настоящей Политике используются следующие основные термины:

3. Правовые основания обработки персональных данных

3.1. Казахстанское законодательство

3.1.1. Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (с изменениями и дополнениями);

3.1.2. Конституция Республики Казахстан (ст. 18 — неприкосновенность частной жизни);

3.1.3. Трудовой кодекс Республики Казахстан от 23 ноября 2015 года № 414-V;

3.1.4. Гражданский кодекс Республики Казахстан (Общая часть, Особенная часть);

3.1.5. Налоговый кодекс Республики Казахстан от 25 декабря 2017 года № 120-VI;

3.1.6. Закон РК от 7 января 2003 года № 370-II «Об электронном документе и электронной цифровой подписи»;

3.1.7. Закон РК от 24 ноября 2015 года № 418-V «Об информатизации»;

3.1.8. Закон РК от 16 мая 2014 года № 202-V «О разрешениях и уведомлениях» (в части уведомления о начале обработки ПД);

3.1.9. Постановления и нормативные правовые акты МЦРИАП РК в сфере защиты персональных данных;

3.1.10. Уставы и внутренние документы ТОО «ЭЦЭМИГ»;

3.1.11. Договоры и соглашения, заключённые ТОО «ЭЦЭМИГ»;

3.1.12. Согласия субъектов персональных данных.

3.2. Российское законодательство

3.2.1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (с изменениями);

3.2.2. Конституция Российской Федерации (ст. 23, 24);

3.2.3. Трудовой кодекс Российской Федерации;

3.2.4. Гражданский кодекс Российской Федерации;

3.2.5. Налоговый кодекс Российской Федерации;

3.2.6. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;

3.2.7. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

3.2.8. Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;

3.2.9. Иные федеральные законы РФ, регулирующие деятельность ООО «ЭЦЭМИГ», в части, предусматривающей обработку ПД;

3.2.10. Уставы, договоры и соглашения ООО «ЭЦЭМИГ»;

3.2.11. Согласия субъектов персональных данных.

4. Принципы обработки персональных данных

ЭЦЭМИГ обрабатывает персональные данные в строгом соответствии со следующими принципами, установленными Законом РК о ПД (ст. 4) и 152-ФЗ (ст. 5):

4.1. Законность и добросовестность. Обработка ПД осуществляется исключительно на законных основаниях и не нарушает права и законные интересы субъектов ПД.

4.2. Целевое ограничение. ПД собираются для конкретных, заранее определённых и законных целей. Дальнейшая обработка, несовместимая с целями сбора, не допускается без согласия субъекта.

4.3. Минимизация данных. Обрабатываются только те ПД, которые необходимы и достаточны для достижения заявленных целей. Избыточные данные не собираются и не хранятся.

4.4. Точность данных. ЭЦЭМИГ принимает меры для обеспечения точности, полноты и актуальности обрабатываемых ПД. Неточные данные уточняются или уничтожаются.

4.5. Ограничение срока хранения. ПД хранятся не дольше, чем это необходимо для достижения целей обработки или предусмотрено применимым законодательством.

4.6. Целостность и конфиденциальность. Обеспечивается надлежащая защита ПД от несанкционированного доступа, утраты, уничтожения или повреждения с применением организационных и технических мер.

4.7. Прозрачность. Субъекты ПД информируются об обработке их данных в объёме, установленном применимым законодательством.

5. Цели обработки персональных данных

Содержание и объём обрабатываемых ПД определяются исходя из следующих целей:

5.1. Заключение и исполнение трудовых отношений, подбор персонала.

5.2. Заключение, изменение, исполнение и прекращение гражданско-правовых договоров и соглашений.

5.3. Идентификация сторон договоров, соглашений, сделок ЭЦЭМИГ.

5.4. Регистрация, идентификация и персонализация пользователей веб-сайтов, приложений и иных информационных ресурсов ЭЦЭМИГ; предоставление доступа к функциям, доступным только зарегистрированным пользователям.

5.5. Оказание услуг, выполнение работ, предоставление прав на использование программных продуктов ЭЦЭМИГ, поставка товаров.

5.6. Осуществление связи с пользователями и контрагентами, направление уведомлений, ответов на запросы, информационных сообщений.

5.7. Направление маркетинговых сообщений для продвижения продуктов, товаров, работ и услуг ЭЦЭМИГ и партнёрских организаций — исключительно при наличии предварительного согласия субъекта.

5.8. Осуществление деятельности удостоверяющего центра / оператора электронного документооборота в соответствии с применимым законодательством РК и РФ.

5.9. Участие физических лиц в реферальных, бонусных и партнёрских программах ЭЦЭМИГ.

5.10. Защита законных интересов ЭЦЭМИГ, её партнёров и клиентов; противодействие мошенничеству; обеспечение информационной безопасности.

5.11. Организация пропускного режима, обеспечение безопасности персонала и посетителей.

5.12. Проведение конференций, семинаров, вебинаров и иных публичных мероприятий.

5.13. Проведение исследований, сбор аналитических и статистических данных.

5.14. Соблюдение применимого законодательства Республики Казахстан и Российской Федерации, включая трудовое, налоговое, бухгалтерское и иное законодательство.

6. Категории субъектов и обрабатываемых данных

6.1. Категории субъектов персональных данных

— Посетители и пользователи веб-сайтов, приложений и информационных ресурсов ЭЦЭМИГ;

— Работники и бывшие работники ЭЦЭМИГ, кандидаты на вакантные должности, их ближайшие родственники и рекомендатели;

— Физические лица — представители контрагентов, партнёров и клиентов ЭЦЭМИГ;

— Лица, проходящие стажировки и практики в ЭЦЭМИГ;

— Физические лица, обратившиеся с запросами, жалобами, предложениями;

— Участники мероприятий, организованных ЭЦЭМИГ или партнёрами;

— Посетители офисов ЭЦЭМИГ;

— Учредители Обществ.

6.2. Категории обрабатываемых персональных данных

6.2.1. Личная информация: фамилия, имя, отчество; пол; дата, год и место рождения; возраст; гражданство, национальность.

6.2.2. Контактная информация: почтовый адрес, номера телефонов, адреса электронной почты, идентификаторы в социальных сетях; адреса регистрации и фактического проживания.

6.2.3. Документы: реквизиты удостоверяющих личность документов; идентификационный номер (ИИН для РК, ИНН/СНИЛС для РФ); сведения о страховых полисах.

6.2.4. Профессиональная деятельность: место работы, должность, стаж, полномочия, участие в юридических лицах.

6.2.5. Образование и квалификация: полученное образование, специальности, пройденные курсы и стажировки.

6.2.6. Семейное положение и состав семьи.

6.2.7. Финансовые данные: платёжные реквизиты, сведения о доходах и налоговых отчислениях, история платежей и заказов.

6.2.8. Электронные пользовательские данные: IP-адреса, cookie-файлы, идентификаторы устройств, данные браузера и операционной системы, геолокация, история действий в сервисах ЭЦЭМИГ.

6.2.9. Фото- и видеоизображение, голосовые записи (при необходимости и на основании согласия).

6.2.10. Специальные категории ПД (сведения о состоянии здоровья, инвалидности): обрабатываются исключительно при наличии письменного согласия субъекта или в случаях, прямо предусмотренных законом.

6.2.11. Иные сведения, предусмотренные целями обработки и типовыми формами ЭЦЭМИГ.

7. Хранение персональных данных. Локализация данных

7.1. Требование локализации (Казахстан)

7.1.1. В соответствии со статьёй 26-1 Закона РК о ПД ТОО «ЭЦЭМИГ» обеспечивает хранение баз данных, содержащих персональные данные граждан Республики Казахстан, на серверах (носителях информации), физически расположенных на территории Республики Казахстан.

7.1.2. Передача ПД граждан РК за пределы Казахстана для обработки допускается только при одновременном соблюдении условий статьи 22 Закона РК о ПД (трансграничная передача).

7.2. Сроки хранения персональных данных

ПД хранятся не дольше, чем это необходимо для достижения целей обработки. Конкретные сроки определяются в зависимости от правового основания:

7.2.1. Данные работников: в течение срока трудового договора и не менее 75 лет после его прекращения — в соответствии с требованиями архивного законодательства РК и РФ.

7.2.2. Данные для исполнения договоров с контрагентами: на срок действия договора и в течение срока исковой давности после его прекращения (не менее 3 лет по законодательству РК и РФ).

7.2.3. Данные пользователей веб-сайтов и сервисов: до достижения цели обработки или до отзыва согласия, но не более 3 лет с момента последней активности.

7.2.4. Бухгалтерские и налоговые данные: в соответствии с требованиями налогового законодательства РК (не менее 5 лет) и РФ (не менее 4 лет).

7.2.5. Данные для маркетинговых рассылок: до момента отзыва согласия.

7.3. Уничтожение персональных данных

Обрабатываемые ПД подлежат уничтожению или обезличиванию в следующих случаях и сроки:

7.3.1. Достижение цели обработки или истечение максимального срока хранения — в течение 30 дней.

7.3.2. Отзыв субъектом согласия на обработку (при отсутствии иных законных оснований для хранения) — в течение 30 дней.

7.3.3. Подтверждение субъектом незаконности получения ПД или их несоответствия заявленным целям — в течение 7 дней.

7.3.4. Невозможность обеспечить правомерность обработки — в течение 10 дней.

7.3.5. Требование субъекта о прекращении обработки — в течение 10 дней.

7.3.6. Отзыв согласия на получение маркетинговых сообщений — в течение 2 рабочих дней.

7.3.7. Истечение сроков исковой давности по соответствующим правоотношениям.

7.3.8. Ликвидация (реорганизация) Общества ЭЦЭМИГ при отсутствии правопреемника.

8. Трансграничная передача персональных данных

8.1. Трансграничная передача ПД граждан Казахстана осуществляется ЭЦЭМИГ только на основании статьи 22 Закона РК о ПД, при условии, что принимающее государство обеспечивает надлежащий уровень защиты ПД, сопоставимый с уровнем защиты, установленным законодательством РК.

8.2. Передача ПД граждан Казахстана в государства, не обеспечивающие надлежащего уровня защиты, допускается только при наличии письменного согласия субъекта или в иных случаях, прямо предусмотренных Законом РК о ПД.

8.3. До начала трансграничной передачи ПД граждан Казахстана ТОО «ЭЦЭМИГ» уведомляет МЦРИАП РК в порядке, установленном законодательством.

8.4. Трансграничная передача ПД граждан России осуществляется ООО «ЭЦЭМИГ» в соответствии с требованиями 152-ФЗ: до начала передачи в Роскомнадзор направляется соответствующее уведомление; оценивается уровень защиты ПД в принимающем государстве.

8.5. Передача ПД граждан Казахстана в Россию (и обратно) рассматривается как трансграничная передача и осуществляется при соблюдении требований законодательства обоих государств. При этом базы данных с ПД граждан РК остаются на серверах на территории Казахстана.

9. Передача персональных данных третьим лицам. Обработка по поручению

9.1. ЭЦЭМИГ вправе передавать ПД третьим лицам исключительно:

— на основании договора, в котором субъект ПД является стороной или выгодоприобретателем;

— с согласия субъекта ПД;

— в случаях, прямо предусмотренных законодательством РК или РФ (по запросу уполномоченных органов).

9.2. При передаче ПД третьим лицам для обработки по поручению (субподряд) ЭЦЭМИГ:

— заключает договор (соглашение) об обработке ПД, предусматривающий обязательства третьего лица по соблюдению конфиденциальности и обеспечению безопасности ПД;

— устанавливает в договоре цели, перечень действий, сроки обработки, требования к безопасности;

— несёт ответственность перед субъектом ПД за действия третьего лица в случаях, предусмотренных законом.

9.3. К случаям привлечения третьих лиц к обработке ПД относятся:

— предоставление программных продуктов, товаров, выполнение работ и оказание услуг совместно с партнёрами ЭЦЭМИГ;

— использование облачной инфраструктуры, хостинга, аналитических сервисов;

— организация партнёрской сети для распространения продуктов и услуг ЭЦЭМИГ.

9.4. ЭЦЭМИГ не продаёт персональные данные субъектов третьим лицам в коммерческих целях.

10. Получение и отзыв согласия субъекта персональных данных

10.1. Обработка ПД, не предусмотренная применимым законодательством или договором с субъектом, осуществляется только после получения его согласия.

10.2. Согласие на обработку ПД должно быть:

— свободным — данным без принуждения или давления;

— конкретным — в отношении определённых категорий ПД и целей обработки;

— информированным — субъект должен понимать, кто, какие данные, для каких целей и каким образом обрабатывает;

— недвусмысленным — выражено активным действием (активация чекбокса, подписание формы, иное явное волеизъявление).

10.3. Молчание, бездействие или предварительно проставленные отметки НЕ являются согласием на обработку ПД.

10.4. Для следующих целей обработки обязательно получение отдельного явного согласия субъекта:

— маркетинговые рассылки и продвижение товаров, работ, услуг;

— обработка специальных (чувствительных) категорий ПД;

— трансграничная передача ПД в государства без надлежащего уровня защиты;

— обработка ПД несовершеннолетних (в соответствии с требованиями законодательства РК и РФ).

10.5. Субъект вправе отозвать ранее данное согласие в любой момент, направив соответствующее заявление по реквизитам, указанным в разделе 14 настоящей Политики. Отзыв согласия не влечёт за собой незаконности обработки, осуществлённой до момента его отзыва.

10.6. В случае отзыва согласия, если сохранение ПД более не требуется для иных законных целей, ЭЦЭМИГ уничтожает или обезличивает данные в сроки, установленные разделом 7.3. настоящей Политики.

11. Обработка электронных пользовательских данных, включая cookie-файлы

11.1. На веб-сайтах ЭЦЭМИГ в автоматическом режиме могут собираться электронные пользовательские данные: IP-адрес, идентификаторы устройства, тип и версия браузера, операционная система, разрешение экрана, данные cookie, история посещений страниц, поисковые запросы в сервисах ЭЦЭМИГ, геолокация (при наличии разрешения), языковые настройки, часовой пояс.

11.2. При первом посещении сайта ЭЦЭМИГ пользователю отображается информационный баннер (cookie-уведомление) с предложением принять условия обработки данных cookie или настроить предпочтения. Закрытие баннера без выбора НЕ означает согласия на обработку нефункциональных cookie.

11.3. Cookie-файлы делятся на следующие категории:

— Необходимые (функциональные) — обеспечивают базовую работу сайта, аутентификацию, защиту от CSRF-атак. Обрабатываются без согласия субъекта.

— Аналитические / статистические — сбор обезличенной статистики посещаемости (Яндекс.Метрика, Google Analytics и аналоги). Обрабатываются только с согласия субъекта.

— Маркетинговые / рекламные — персонализация рекламы, ретаргетинг. Обрабатываются только с явного согласия субъекта.

— Сторонних сервисов — cookie виджетов коммуникаций, кнопок авторизации через социальные сети. Регулируются политиками соответствующих сервисов.

11.4. Пользователь вправе в любое время изменить настройки cookie через:

— раздел настроек cookie на сайте ЭЦЭМИГ;

— встроенные средства браузера (блокировка, удаление, режим «инкогнито»).

11.5. Отказ от нефункциональных cookie не влечёт прекращения доступа к основным функциям сайта, однако некоторые дополнительные возможности могут быть ограничены.

12. Конфиденциальность и безопасность персональных данных

12.1. ЭЦЭМИГ принимает необходимые правовые, организационные и технические меры для защиты ПД от несанкционированного доступа, уничтожения, изменения, блокирования и иных несанкционированных действий:

— назначение ответственных за организацию обработки и обеспечение безопасности ПД в каждом Обществе;

— разработка и введение в действие внутренних политик и регламентов по обработке ПД;

— регулярное обучение сотрудников по вопросам защиты ПД;

— физическая защита помещений и серверного оборудования; пропускной режим; видеонаблюдение;

— разграничение прав доступа к ПД; ведение журналов доступа; мониторинг действий с данными;

— применение средств антивирусной защиты, межсетевых экранов, средств защиты от несанкционированного доступа, средств криптографической защиты информации;

— резервное копирование данных для обеспечения возможности восстановления;

— периодические проверки и аудит эффективности принятых мер безопасности.

12.2. Конфиденциальность ПД обеспечивается, кроме случаев:

— когда ПД являются общедоступными или субъект разрешил их распространение;

— когда раскрытие ПД обязательно по требованию уполномоченных государственных органов РК или РФ в соответствии с законодательством.

12.3. Реагирование на инциденты

12.3.1. В случае установления факта утечки, несанкционированного доступа или иного нарушения безопасности ПД ЭЦЭМИГ незамедлительно принимает меры по устранению последствий и уведомляет уполномоченные органы:

12.3.2. Субъекты ПД уведомляются об инциденте в случаях и порядке, предусмотренных применимым законодательством.

13. Права субъектов персональных данных

Субъект персональных данных имеет следующие права в соответствии с Законом РК о ПД и 152-ФЗ:

13.1. Право на доступ. Субъект вправе получить подтверждение факта обработки его ПД, а также информацию о целях, правовых основаниях, способах обработки, перечне обрабатываемых ПД, источниках их получения, сроках хранения, сведениях о получателях ПД.

13.2. Право на исправление. Субъект вправе требовать уточнения, обновления или исправления неточных, неполных или устаревших ПД.

13.3. Право на удаление. Субъект вправе требовать уничтожения его ПД при наличии оснований, установленных законодательством (в том числе в случае отзыва согласия при отсутствии иных законных оснований для обработки).

13.4. Право на блокирование. Субъект вправе требовать временного прекращения обработки его ПД в период рассмотрения его обращения или устранения нарушений.

13.5. Право на отзыв согласия. Субъект вправе в любое время отозвать ранее данное согласие на обработку ПД без объяснения причин.

13.6. Право на возражение. Субъект вправе возражать против обработки его ПД в маркетинговых целях и профилирования.

13.7. Право на переносимость данных (GDPR / по применимому праву). Субъект вправе получить свои ПД в структурированном, машиночитаемом формате.

13.8. Право на защиту прав. В случае нарушения прав субъект вправе обратиться:

— в Казахстане: в МЦРИАП РК — уполномоченный орган по защите ПД; в суд по месту нахождения ТОО «ЭЦЭМИГ» или по месту жительства субъекта;

— в России: в Роскомнадзор — уполномоченный орган по защите ПД; в суд по месту нахождения ООО «ЭЦЭМИГ» или по месту жительства субъекта.

14. Контакты. Ответственный за обработку персональных данных

14.1. Вопросы, касающиеся обработки персональных данных в ЭЦЭМИГ, направляются по следующим контактным данным:

14.2. ЭЦЭМИГ отвечает на обращения субъектов ПД в следующие сроки:

— общий срок рассмотрения обращения — 10 рабочих дней;

— при необходимости уточнения информации или сложности запроса — до 30 календарных дней с уведомлением субъекта о продлении срока.

15. Опубликование и актуализация Политики

15.1. Настоящая Политика утверждается приказом (решением) уполномоченного органа ООО «ЭЦЭМИГ» и ТОО «ЭЦЭМИГ» и вводится в действие с даты утверждения.

15.2. Политика является общедоступным документом и публикуется на веб-сайте(ах) ЭЦЭМИГ. Доступ к актуальной версии обеспечивается без ограничений.

15.3. Все веб-формы и иные средства сбора ПД ЭЦЭМИГ содержат ссылку на настоящую Политику и информацию о целях сбора данных.

15.4. ЭЦЭМИГ вправе вносить изменения в Политику. Существенные изменения, затрагивающие права субъектов ПД, сопровождаются заблаговременным уведомлением субъектов (не менее чем за 10 дней до вступления изменений в силу) посредством размещения информации на сайте или направления уведомлений по контактным данным субъектов.

15.5. Политика пересматривается не реже одного раза в год, а также при изменении применимого законодательства или деятельности ЭЦЭМИГ.

15.6. Предложения и замечания по Политике направляются по адресу: diagenisapk@yandex.ru.

15.7. Политика действует бессрочно до принятия новой редакции.

Соответствует: Закон РК № 94-V «О персональных данных» · Федеральный закон № 152-ФЗ «О персональных данных»