Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика разработана и реализуется ОсОО «БИАСТ.КГ» (далее — «Организация») в целях регламентации обработки и защиты персональных данных физических лиц (субъектов персональных данных). Правовой основой документа выступают статьи 29 и 33 Конституции Кыргызской Республики, а также Закон КР № 58 «Об информации персонального характера».

1.2. Действие Политики распространяется на все персональные данные, получаемые Организацией в ходе осуществления деятельности, в том числе от клиентов. Обработка персональных данных в Организации производится в соответствии с комплексом нормативно-правовых актов Кыргызской Республики:

• Кодекс КР от 4 августа 2004 года № 106 «Трудовой кодекс Кыргызской Республики»;
• Закон от 14 апреля 2008 года № 58 «Об информации персонального характера»;
• Закон от 14 июля 2014 года № 136 «О биометрической регистрации граждан Кыргызской Республики»;
• Постановление Правительства Кыргызской Республики от 21 ноября 2017 года № 759 «Порядок получения согласия субъекта информации персонального характера на сбор и обработку его персональных данных, порядок и форма уведомления субъектов информации персонального характера о передаче их информации персонального характера третьей стороне»;
• иные нормативные правовые акты Кыргызской Республики и акты исполнительных органов государственной власти.

1.3. Ключевая цель Политики — информировать субъектов персональных данных о том, какие данные обрабатываются Организацией, с какими целями и какими методами обеспечивается их безопасность. Кроме того, документ закрепляет базовые принципы и подходы к работе с персональными данными в рамках деятельности Организации.

1.4. Политика направлена на обеспечение защиты прав и свобод субъектов персональных данных при обработке их данных — как с применением средств автоматизации, так и без них. Также в документе зафиксирована ответственность лиц, имеющих доступ к персональным данным, за несоблюдение требований к их обработке и защите.

1.5. Используя сервисы и услуги Организации, размещённые на веб-сайте airysteel.com, и предоставляя свои персональные данные (в том числе через третьих лиц), пользователь подтверждает своё согласие на обработку этих данных в соответствии с настоящей Политикой. Если пользователь не согласен с Политикой в целом либо с отдельными её положениями, он должен воздержаться от использования сервисов.

Обработка персональных данных начинается с момента получения согласия субъекта. Согласие может быть выражено в любой форме, позволяющей подтвердить факт его получения, если иное не установлено законом: письменно, устно либо иным допустимым способом, в том числе посредством конклюдентных действий — например, при использовании сервисов на сайте, заполнении форм обратной связи или акцепте оферты, содержащей условия обработки персональных данных. При отсутствии согласия субъекта обработка его персональных данных не производится.

1.6. Субъект персональных данных вправе отозвать своё согласие на обработку данных. В случае отзыва Организация может продолжить обработку без согласия субъекта, если для этого имеются основания, предусмотренные действующим законодательством.

1.7. Организация вправе вносить изменения в настоящую Политику в любое время по собственному усмотрению, без предварительного уведомления пользователей. В актуальной редакции документа указывается дата последнего обновления. Новая редакция вступает в силу с момента её размещения на веб-сервере, если в самой редакции не предусмотрено иное.

1.8. Политика применяется исключительно к информации о пользователе, собираемой при использовании сервисов Организации. Организация не контролирует и не несёт ответственности за обработку персональных данных пользователя на сторонних веб-сайтах, на которые можно перейти по ссылкам, размещённым на официальном ресурсе.

1.9. Основные понятия, используемые в Политике

• Информация персонального характера (персональные данные) — сведения, зафиксированные на материальном носителе, которые прямо или косвенно позволяют идентифицировать конкретное физическое лицо через совокупность факторов, относящихся к его биологической, экономической, культурной, гражданской или социальной идентичности.
• К персональным данным относятся, в частности, биографические и опознавательные данные, личные характеристики, сведения о семейном, финансовом положении, состоянии здоровья и т. п.
• Перечень информации персонального характера — список категорий данных, относящихся к одному субъекту.
• Массив информации персонального характера — структурированная совокупность персональных данных неопределённого числа субъектов, независимо от носителя и способа обработки (архивы, картотеки, электронные базы данных и др.).
• Общедоступные массивы информации персонального характера — массивы персональных данных с неограниченным доступом, предназначенные для общего пользования (справочники, телефонные и адресные книги и т. д.).
• Режим конфиденциальности информации персонального характера — установленные нормативными актами правила, определяющие ограничения по доступу, передаче, предоставлению и условиям хранения персональных данных.
• Субъект информации персонального характера (субъект) — физическое лицо, к которому относятся соответствующие персональные данные.
• Держатель (обладатель) массива информации персонального характера — органы государственной власти, местного самоуправления и юридические лица, уполномоченные определять цели и категории персональных данных, а также контролировать их сбор, хранение, обработку и использование.
• Уполномоченный государственный орган по персональным данным (уполномоченный орган) — государственный орган, которому Правительством Кыргызской Республики поручены функции по контролю за соблюдением требований к обработке персональных данных, защите прав субъектов, регистрации держателей массивов персональных данных и ведению соответствующего реестра.
• Обработчик — физическое или юридическое лицо, привлекаемое держателем персональных данных для обработки данных на основании договора.
• Получатель информации персонального характера — орган власти, юридическое или физическое лицо либо сам субъект, которым передаются или предоставляются персональные данные в соответствии с законодательством.
• Сбор информации персонального характера — получение персональных данных держателем от субъектов или из иных источников в соответствии с законодательством Кыргызской Республики.
• Обработка информации персонального характера — любые операции или их совокупность, выполняемые держателем либо по его поручению (автоматизированно или вручную) в целях сбора, записи, хранения, актуализации, группировки, блокирования, стирания и уничтожения персональных данных.
• Согласие субъекта информации персонального характера — свободное, конкретное, безоговорочное и осознанное волеизъявление лица, выраженное в установленной форме и подтверждающее согласие на проведение действий по обработке его персональных данных.
• Передача информации персонального характера — предоставление персональных данных третьим лицам в соответствии с законом и международными договорами.
• Трансграничная передача информации персонального характера — передача персональных данных держателям, находящимся под юрисдикцией других государств.
• Актуализация информации персонального характера — оперативное внесение изменений в персональные данные согласно процедурам, установленным законодательством КР.
• Блокирование информации персонального характера — временное прекращение передачи, уточнения, использования и уничтожения персональных данных.
• Уничтожение (стирание или разрушение) информации персонального характера — действия, приводящие данные в состояние, при котором восстановление их содержания невозможно.
• Обезличивание информации персонального характера — удаление из данных части сведений, позволяющих отождествить их с конкретным лицом.
• Информационная система информации персонального характера — совокупность баз данных с персональными данными и обеспечивающих их обработку информационных технологий и технических средств.

2. Понятие и состав персональных данных

2.1. Для целей настоящей Политики под персональными данными понимается любая информация, прямо или косвенно относящаяся к определённому физическому лицу (субъекту персональных данных).

2.2. В зависимости от категории субъекта и целей деятельности Организация может обрабатывать персональные данные следующих групп лиц:

• работников Организации и кандидатов на трудоустройство — данные, необходимые в связи с трудовыми отношениями;
• клиентов Организации — сведения, требуемые для исполнения договорных обязательств и соблюдения законодательства КР. К этой категории относятся также данные потенциальных клиентов, их представителей, руководителей и главных бухгалтеров юридических лиц-клиентов, лиц, заключивших гражданско-правовые договоры с Организацией, а также работников партнёров и иных юридических лиц, взаимодействующих с Организацией;
• лиц, предоставивших персональные данные при регистрации на сайте, в том числе при оформлении заказов, использовании сервисов и форм связи на этом ресурсе;
• иных физических лиц, выразивших согласие на обработку их данных либо в отношении которых обработка необходима для достижения целей, предусмотренных законом или международным договором КР;
• физических лиц, чьи данные являются общедоступными, если их обработка не нарушает прав субъектов и соответствует требованиям Закона «Об информации персонального характера».

2.3. Субъекты персональных данных, указанные в п. 2.2, дают согласие на обработку следующих персональных данных: фамилия, имя, отчество; дата рождения; почтовые адреса (по месту регистрации и для контактов); номер основного документа, удостоверяющего личность, сведения о дате его выдачи и органе, выдавшем документ; номера телефонов и факсов; адреса электронной почты (e-mail).

3. Основания и цели обработки персональных данных

3.1. Организация обрабатывает персональные данные для осуществления своей деятельности, включая оказание услуг клиентам. В рамках своей компетенции Организация действует в соответствии с Законом № 58 «Об информации персонального характера», иными нормативными актами КР, а также Уставом и внутренними документами Организации. Сбор и хранение персональных данных производится в объёме, необходимом для оказания услуг, исполнения соглашений, договоров и иных обязательств перед клиентом.

3.2. Обработка персональных данных допускается только при наличии хотя бы одного из следующих условий:

• получено согласие субъекта персональных данных на обработку его данных;
• обработка необходима для реализации целей, установленных законом, либо для выполнения возложенных на оператора функций, полномочий и обязанностей;
• обработка требуется для исполнения или заключения договора, стороной, выгодоприобретателем или поручителем по которому является субъект данных;
• обработка нужна для реализации прав и законных интересов Организации или третьих лиц либо для достижения общественно значимых целей, если при этом не нарушаются права и свободы субъекта;
• данные были предоставлены субъектом в общедоступный доступ либо по его просьбе;
• обработка обязательна в силу закона (например, для опубликования сведений).

3.3. Лица, получившие доступ к персональным данным, обязаны не раскрывать и не распространять их без согласия субъекта, если иное прямо не предусмотрено законом.

3.4. Цели обработки персональных данных в Организации включают:

• идентификацию субъекта персональных данных;
• обеспечение регистрации и обслуживания доменных имён;
• взаимодействие с субъектом при необходимости — в том числе направление предложений, уведомлений, запросов, а также обработку заявлений, запросов и заявок клиента;
• повышение качества оказываемых услуг.

3.5. Организация не осуществляет обработку специальных категорий персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

3.6. Правовыми основаниями обработки персональных данных выступают:

• Закон КР от 2 апреля 1998 года № 31 «Об электрической и почтовой связи»;
• Закон от 19 июля 2017 года № 127 «Об электронном управлении»;
• уставные документы Организации;
• договоры, заключаемые между Организацией и клиентами, с учётом имеющихся лицензий;
• иные акты, регулирующие деятельность провайдеров и регистраторов доменных имён в Кыргызской Республике.

4. Принципы обработки информации персонального характера

4.1. Обработка персональных данных в Организации базируется на следующих принципах:

• законность целей и способов обработки;
• добросовестность оператора, обеспечиваемая соблюдением законодательства КР в сфере персональных данных;
• соответствие состава, объёма и способов обработки заявленным целям;
• точность, достаточность и при необходимости актуальность данных относительно целей обработки;
• уничтожение данных после достижения целей обработки способом, исключающим восстановление;
• недопустимость объединения баз данных, обработка которых ведётся в несовместимых целях.

4.2. Сотрудники Организации, допущенные к работе с персональными данными, обязаны:

• знать и строго соблюдать требования законодательства КР, настоящей Политики и локальных актов Организации по обработке и защите персональных данных;
• обрабатывать персональные данные исключительно в рамках своих должностных обязанностей;
• не разглашать персональные данные, с которыми работают;
• сообщать о действиях других лиц, способных привести к нарушению положений Политики;
• информировать ответственного за организацию обработки персональных данных о выявленных нарушениях требований Политики.

4.3. Безопасность персональных данных обеспечивается комплексом согласованных мероприятий, направленных на предотвращение, нейтрализацию и устранение угроз, а также на минимизацию возможного ущерба.

5. Сроки обработки персональных данных

5.1. Сроки обработки персональных данных определяются целями обработки в информационных системах Организации и, как правило, соответствуют сроку действия договора или соглашения с субъектом данных.

5.2. Обработка персональных данных прекращается при достижении целей обработки, истечении срока действия согласия либо при отзыве согласия субъектом, если иное не предусмотрено законодательством или договором.

6. Доступ к персональным данным и их передача третьим лицам

6.1. Доступ к персональным данным предоставляется только тем сотрудникам Организации, которым это необходимо для выполнения служебных (трудовых) обязанностей. Иные сотрудники могут быть допущены к данным исключительно в случаях, предусмотренных законодательством. Организация требует от всех сотрудников соблюдения конфиденциальности и обеспечения безопасности персональных данных.

6.2. Передача персональных данных третьим лицам допускается в следующих случаях:

• субъект персональных данных явно выразил согласие на такую передачу;
• передача предусмотрена законодательством в установленном порядке.

При передаче данных приобретатель принимает на себя обязательства по соблюдению условий настоящей Политики в отношении полученных сведений.

6.3. По мотивированному запросу уполномоченного органа и в соответствии с законодательством персональные данные могут быть переданы без согласия субъекта:

• в судебные органы — в связи с осуществлением правосудия;
• в органы внутренних дел, ГКНБ, прокуратуру;
• в иные уполномоченные органы и организации — в случаях, установленных нормативными актами, обязательными для исполнения оператором.

7. Порядок и методы обработки информации персонального характера

7.1. В процессе оказания услуг и ведения хозяйственной деятельности Организация применяет как автоматизированные, так и неавтоматизированные способы обработки персональных данных.

7.2. Организация вправе поручить обработку персональных данных другому лицу с согласия субъекта (если иное не предусмотрено законодательством) на основании договора, обязательным условием которого является соблюдение принципов и правил обработки, установленных Законом «Об информации персонального характера».

7.3. Персональные данные не раскрываются и не распространяются третьим лицам без согласия субъекта, если иное не предусмотрено законодательством КР.

7.4. Представители органов государственной власти (включая контролирующие, надзорные, правоохранительные и иные органы) получают доступ к персональным данным в объёме и порядке, установленном законодательством Кыргызской Республики.

7.5. Права и обязанности сторон в рамках обработки персональных данных:

7.5.1. Субъект персональных данных имеет право:

• получать информацию об обработке своих персональных данных в порядке, форме и сроки, установленные законодательством;
• требовать уточнения, блокирования или уничтожения своих данных, если они неполные, устаревшие, недостоверные, получены незаконно, не нужны для заявленной цели либо используются в незаявленных ранее целях;
• заключить с Организацией соглашение о приватном режиме доступа к своим персональным данным;
• принимать предусмотренные законом меры по защите своих прав;
• отозвать согласие на обработку своих персональных данных.

7.5.2. Организация имеет право:

• обрабатывать персональные данные субъекта в соответствии с заявленной целью;
• требовать от субъекта предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации и в иных случаях, предусмотренных законодательством о персональных данных;
• ограничить доступ субъекта к своим персональным данным, если это предусмотрено законодательством (например, в рамках противодействия легализации доходов и финансированию терроризма, либо если доступ нарушает права третьих лиц);
• обрабатывать общедоступные персональные данные;
• осуществлять обработку данных, подлежащих опубликованию или обязательному раскрытию по закону;
• поручать обработку данных другому лицу при наличии согласия субъекта либо в случаях, допускаемых законодательством.

7.6. При подтверждении неточности персональных данных либо неправомерности их обработки оператор обязан актуализировать данные, а обработку — прекратить.

7.7. После достижения целей обработки либо при отзыве субъектом согласия на обработку персональные данные подлежат уничтожению, если:

• иное не предусмотрено договором, стороной, выгодоприобретателем или поручителем по которому выступает субъект;
• у Организации нет законных оснований продолжать обработку без согласия субъекта;
• иное не установлено соглашением между Организацией и субъектом.

7.8. Организация обязана предоставить субъекту (или его представителю) по запросу сведения об осуществляемой в отношении него обработке персональных данных.

7.9. Организация обладает иными правами и несёт иные обязанности, предусмотренные Законом «Об информации персонального характера».

8. Реализация защиты персональных данных

8.1. Деятельность по обработке персональных данных неразрывно связана с обеспечением конфиденциальности полученной информации. Все лица, получившие доступ к персональным данным, обязаны соблюдать режим конфиденциальности.

8.2. Безопасность персональных данных при их обработке в информационных системах обеспечивается системой защиты информации.

8.3. Защита персональных данных реализуется в рамках единой комплексной системы организационно-технических и правовых мероприятий, учитывающих требования Закона «Об информации персонального характера» и принятых в соответствии с ним нормативных актов, а также положения о коммерческой тайне.

8.4. Обмен персональными данными осуществляется по каналам связи, защищённым техническими средствами защиты информации. При обработке данных в информационных системах Организация обеспечивает:

• предотвращение несанкционированного доступа к персональным данным и их передачи лицам, не имеющим права доступа;
• своевременное выявление фактов несанкционированного доступа;
• защиту технических средств автоматизированной обработки от воздействий, способных нарушить их работу;
• возможность оперативного восстановления данных, изменённых или уничтоженных вследствие несанкционированного доступа;
• постоянный контроль уровня защищённости персональных данных;
• назначение должностных лиц, ответственных за организацию обработки и защиты персональных данных;
• ограничение круга лиц, имеющих доступ к персональным данным;
• ознакомление субъектов с требованиями законодательства и внутренних документов Организации по обработке и защите данных;
• обучение сотрудников, работающих с персональными данными, требованиям законодательства КР и локальным актам Организации в этой сфере.

9. Использование файлов cookie

9.1. При посещении веб-сайта airysteel.com Организация использует файлы cookie и аналогичные технологии (в том числе иные механизмы хранения и получения данных на устройстве пользователя) для обеспечения корректной работы сайта, улучшения пользовательского опыта и аналитики посещаемости.

9.2. Под файлами cookie в рамках настоящей Политики понимаются небольшие текстовые файлы, размещаемые на устройстве пользователя (компьютер, смартфон, планшет) браузером при посещении сайта. Cookie могут содержать технические сведения о сессии, идентификаторы пользователя, настройки интерфейса и статистические данные.

9.3. Организация применяет следующие категории файлов cookie:

• Строго необходимые cookie — критичны для функционирования сайта и предоставления запрашиваемых сервисов. Они позволяют идентифицировать сессию пользователя, сохранять авторизацию, управлять корзиной или формой заказа, обеспечивать безопасность транзакций. Отключение таких cookie делает использование ряда функций сайта невозможным.
• Функциональные cookie — позволяют сайту запоминать предпочтения пользователя (язык интерфейса, регион, настройки отображения), чтобы предоставлять персонализированный опыт без сбора избыточных персональных данных.
• Аналитические (статистические) cookie — используются для сбора обезличенной статистики о поведении пользователей на сайте: количество посещений, источники трафика, популярные страницы, время просмотра, тип устройства и браузера. Данные агрегируются и не позволяют прямо идентифицировать конкретного пользователя. Для аналитики могут привлекаться сторонние сервисы (например, системы веб-аналитики), действующие в соответствии с собственными политиками конфиденциальности.
• Рекламные (таргетированные) cookie — на сайте не используются для показа персонализированной рекламы или передачи данных рекламодателям.

9.4. Правовыми основаниями обработки данных, собираемых с помощью cookie, являются:

• необходимость исполнения договора (предоставление сервиса сайта) — для строго необходимых cookie;
• законный интерес Организации в улучшении качества сайта, оптимизации инфраструктуры и анализе пользовательского поведения — для функциональных и аналитических cookie;
• согласие пользователя — в случаях, когда пользователь явно выражает согласие на использование отдельных категорий cookie (например, через всплывающее уведомление на сайте).

9.5. Пользователь может управлять использованием cookie посредством настроек своего браузера: отключить сохранение cookie, ограничить типы cookie, очищать файлы cookie после завершения сеанса. При этом следует учитывать, что отключение строго необходимых cookie может привести к некорректной работе сайта или недоступности отдельных функций. Организация не несёт ответственности за снижение функциональности сайта при изменении пользователем настроек браузера.

9.6. Срок хранения файлов cookie определяется их назначением:

• строго необходимые cookie — обычно сохраняются в течение активной сессии либо до завершения работы браузера;
• функциональные и аналитические cookie — могут сохраняться на срок до 12 месяцев;
• конкретные сроки хранения могут уточняться в настройках соответствующих сервисов.

9.7. Передача данных, собранных с помощью cookie, третьим лицам осуществляется только в обезличенном и агрегированном виде (например, для целей аналитики) и исключительно на основании договора, содержащего обязательства по обеспечению конфиденциальности и защите данных. Персональные данные, позволяющие прямо идентифицировать пользователя, таким образом не передаются.

9.8. При трансграничной передаче данных, собираемых посредством cookie (например, при использовании зарубежных аналитических сервисов), Организация обеспечивает соблюдение требований законодательства Кыргызской Республики к трансграничной передаче персональных данных, включая наличие правовых оснований и применение мер по защите информации.

9.9. Для информирования пользователей о применении cookie на сайте размещается всплывающее уведомление (баннер), содержащее краткие сведения о категориях используемых cookie, целях их применения и способах управления ими. Продолжая пользоваться сайтом после появления уведомления, пользователь подтверждает своё согласие на использование строго необходимых cookie и иных cookie в объёме, допустимом по закону.

9.10. Субъект персональных данных вправе запросить у Организации информацию о применяемых на сайте cookie, их назначении и сроках хранения, а также отозвать согласие на использование необязательных категорий cookie. Такой запрос можно направить по адресу, указанному в разделе «Контакты» на сайте. Организация предоставит запрашиваемые сведения в сроки и порядке, установленных законодательством Кыргызской Республики.

Актуальная редакция Политики размещена на странице: https://airysteel.com/privacy-policy.php.