Политика в отношении сбора, обработки и защиты персональных данных (далее - Политика) разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее - Закон РК о персональных данных) и иными нормативными правовыми актами Республики Казахстан.
Настоящая Политика определяет порядок сбора, обработки и защиты персональных данных и меры по обеспечению безопасности персональных данных в ТОО «AMOCENTRAL» (далее - Оператор), с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
В Политике используются следующие основные понятия:
автоматизированная обработка персональных данных - обработка персональных данных цифровым объектом, исключающая участие собственника и (или) оператора, а также третьего лица в процессе обработки;
блокирование персональных данных - действия по временному прекращению сбора, накопления, изменения, дополнения, использования, распространения, обезличивания, уничтожения и удаления персональных данных;
цифровой объект, содержащий персональные данные, - цифровой объект, содержащий совокупность упорядоченных персональных данных;
обезличивание персональных данных - действия, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно;
анонимизация персональных данных - действия, направленные на необратимое преобразование идентификаторов персональных данных, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно;
обработка персональных данных - действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, анонимизацию, блокирование, уничтожение и удаление персональных данных;
Оператор базы и (или) цифрового объекта, содержащего персональные данные (далее - оператор), - государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных;
персональные данные - сведения или совокупность сведений о субъекте персональных данных, дополненные одним или несколькими идентификаторами персональных данных;
третье лицо - лицо, не являющееся субъектом, собственником и (или) Оператором, но связанное с ними (ним) обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных;
распространение персональных данных - действия, в результате совершения которых происходит передача персональных данных, в том числе посредством масс-медиа, или предоставление доступа к персональным данным определённому лицу или определённому кругу лиц заранее определённым способом;
распространение персональных данных в общедоступных источниках - действия, в результате совершения которых доступ к персональным данным предоставляется неограниченному кругу лиц;
трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу;
удаление персональных данных - действия, направленные на исключение персональных данных из цифрового объекта, в результате совершения которых невозможно восстановить персональные данные;
уничтожение персональных данных - действия, в результате совершения которых невозможно восстановить персональные данные.
идентификатор персональных данных - информация, позволяющая идентифицировать субъект персональных данных или связать отдельные наборы данных о нём в совокупность сведений, позволяющих идентифицировать данного субъекта;
маскирование персональных данных - процесс защиты информации путём замены части реальных персональных данных на недействительные и (или) обезличенные;
хеширование цифровых данных - процесс преобразования цифровых данных любого размера в строку фиксированной длины с целью их защиты.
Оператор утверждает настоящую Политику и обеспечивает доступ к ней путём размещения на интернет-ресурсе https://www.amocrm.org.kz/confidence/.
Сбор, обработка и защита персональных данных Оператором осуществляются на основе следующих принципов:
Оператор производит сбор и обработку персональных данных исключительно при наличии хотя бы одного из следующих условий:
Сбор и обработка персональных данных без согласия субъекта персональных данных или его законного представителя допускаются в случаях, предусмотренных статьей 9 Закона РК «О персональных данных и их защите» и иными законами Республики Казахстан. Наличие договорных отношений, предусмотренных законодательством Республики Казахстан, не исключает необходимости получения согласия в случаях, когда согласие требуется законом.
Оператор и иные лица, получившие доступ к персональным данным ограниченного доступа, обязаны обеспечивать их конфиденциальность, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных или его законного представителя, за исключением случаев, предусмотренных законами Республики Казахстан.
Распространение персональных данных в общедоступных источниках допускается при наличии согласия субъекта персональных данных или его законного представителя. Принятие настоящей Политики само по себе не является согласием на такое распространение.
Согласие субъекта персональных данных или его законного представителя не требуется в случаях, когда обязанность размещения персональных данных в общедоступных источниках прямо установлена законами Республики Казахстан.
Распространение персональных данных за пределами ранее заявленных целей их сбора осуществляется с согласия субъекта персональных данных или его законного представителя.
Сведения о субъекте персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, подлежат исключению из общедоступных источников персональных данных в течение одного рабочего дня по требованию субъекта персональных данных или его законного представителя либо по решению суда или иных уполномоченных государственных органов.
Обработка Оператором отдельных персональных данных ограниченного доступа, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, частной и семейной жизни, допускается в следующих случаях:
Обработка указанных персональных данных должна быть прекращена после устранения причин, послуживших основанием для её осуществления, если их дальнейшая обработка не предусмотрена законодательством Республики Казахстан.
Сведения, характеризующие физиологические и биологические особенности человека и позволяющие идентифицировать субъекта персональных данных, могут обрабатываться Оператором при наличии согласия субъекта персональных данных или его законного представителя в форме, позволяющей подтвердить факт его получения, за исключением случаев, прямо предусмотренных законами Республики Казахстан.
Оператор вправе передавать персональные данные третьему лицу и привлекать третье лицо к их обработке с согласия субъекта персональных данных или его законного представителя, если иное не предусмотрено законами Республики Казахстан, на основании договора, предусматривающего соблюдение требований к сбору, обработке и защите персональных данных.
Для технической поддержки, обновления программы, обеспечения информационной безопасности, диагностики и устранения неисправностей персональные данные могут передаваться АО «амоЦРМ» (Российская Федерация) и (или) быть доступны его уполномоченным специалистам в объёме, необходимом для указанных целей. АО «амоЦРМ» обязано соблюдать конфиденциальность персональных данных и применимые требования к их защите.
Трансграничная передача персональных данных на территорию иностранных государств осуществляется при обеспечении такими государствами защиты персональных данных.
Трансграничная передача персональных данных на территорию иностранного государства, не обеспечивающего защиту персональных данных, допускается при наличии согласия субъекта персональных данных или его законного представителя на трансграничную передачу либо в иных случаях, прямо предусмотренных законодательством Республики Казахстан.
Оператор осуществляет трансграничную передачу персональных данных АО «амоЦРМ» в Российскую Федерацию для технической поддержки, обновления программы, обеспечения информационной безопасности, диагностики и устранения неисправностей на основании согласия субъекта либо иного применимого законного основания.
Рабочая база и резервные копии, содержащие персональные данные, хранятся на территории Республики Казахстан. Срок хранения определяется датой достижения целей сбора и обработки персональных данных, если иной срок не предусмотрен законодательством Республики Казахстан или договором.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законами Республики Казахстан.
Обязанность предоставить доказательство получения согласия субъекта персональных данных на сбор и обработку его персональных данных или доказательство наличия иного законного основания возлагается на Оператора.
Субъект персональных данных или его законный представитель вправе отозвать согласие, обратившись в техническую поддержку Оператора через чат в аккаунте amoCRM, либо по адресу support@amocrm.org.kz. В течение пятнадцати рабочих дней после получения отзыва Оператор прекращает обработку персональных данных, если их хранение или обработка не требуются в соответствии с законодательством Республики Казахстан, либо предоставляет мотивированный отказ.
Субъект персональных данных имеет право на получение у Оператора информации, касающейся сбора и обработки его персональных данных, если такое право не ограничено законами Республики Казахстан. Субъект персональных данных вправе требовать от Оператора изменения и дополнения своих персональных данных при наличии оснований, подтверждённых соответствующими документами, их блокирования при наличии информации о нарушении условий сбора и обработки, уничтожения или удаления в случае их незаконного сбора или обработки, а также принимать предусмотренные законом меры по защите своих прав.
Обработка персональных данных в целях продвижения товаров, работ и услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при наличии предварительного согласия субъекта персональных данных на сбор и обработку его персональных данных. Обязанность подтвердить получение такого согласия возлагается на Оператора.
Оператор прекращает обработку персональных данных в указанных целях по требованию субъекта персональных данных или при отзыве соответствующего согласия.
Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, в результате которых у субъекта возникают, изменяются или прекращаются права или законные интересы, кроме случаев, когда получено согласие субъекта либо такая обработка предусмотрена законами Республики Казахстан.
В случае обработки персональных данных исключительно автоматизированным способом Оператор разъясняет субъекту персональных данных порядок такой обработки и возможные правовые последствия принятого на её основании решения, а также предоставляет субъекту возможность заявить возражение против такого решения. Возражение субъекта персональных данных рассматривается Оператором в течение трёх рабочих дней со дня его получения.
Если субъект персональных данных считает, что Оператор осуществляет сбор и (или) обработку его персональных данных с нарушением законодательства Республики Казахстан либо иным образом нарушает его права и законные интересы, субъект вправе обжаловать действия или бездействие Оператора в уполномоченный орган в сфере защиты персональных данных или в судебном порядке.
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение морального и материального вреда в порядке, установленном законодательством Республики Казахстан.
Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных и технических мер, необходимых для выполнения требований законодательства Республики Казахстан в области защиты персональных данных.
Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно-технические меры:
Маскирование и хеширование персональных данных в цифровых объектах отнесены законодательством Республики Казахстан к обязательным методам защиты персональных данных в порядке, определяемом уполномоченным органом.
Оператор обеспечивает хранение персональных данных в базе и цифровых объектах, расположенных на территории Республики Казахстан, и принимает меры по защите рабочей базы и резервных копий, содержащих персональные данные.
Иные права и обязанности Оператора как оператора базы и (или) цифрового объекта, содержащего персональные данные, определяются законодательством Республики Казахстан в области персональных данных и их защиты.
Должностные лица Оператора, виновные в нарушении норм, регулирующих сбор, обработку и защиту персональных данных, несут ответственность в порядке, установленном законодательством Республики Казахстан.
