(порядок сбора, обработки, хранения и защиты персональных данных)
Собственник и оператор персональных данных:
Полное наименование: Частная компания Astana Data Exchange Ltd.
БИН: 250540900015
Адрес места нахождения: Республика Казахстан, город Астана, район Нура, улица E899, здание 1/1, офис 4
Электронная почта: info@astanadx.com
Интернет-ресурс Платформы: https://astanadx.com
Раздел 1. Общие положения и статус документа
1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок сбора, обработки, хранения, передачи, защиты и уничтожения персональных данных, осуществляемых Оператором при функционировании платформы обмена и оборота продуктов цифровых данных Astana Data Exchange (далее — «Платформа»).
1.2. Политика разработана в соответствии с Законом Республики Казахстан «О персональных данных и их защите», Правилами сбора, обработки персональных данных, утверждёнными приказом Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 21 октября 2020 года № 395/НҚ, Цифровым кодексом Республики Казахстан и Правилами функционирования платформ обмена и оборота продуктов цифровых данных.
1.3. Разграничение ролей. Оператор выступает собственником и оператором персональных данных, обрабатываемых им в связи с функционированием Платформы. В отношении персональных данных, обрабатываемых Участником в его собственной деятельности, собственником и оператором является сам Участник; распределение ответственности установлено пунктом 10.5 Стандартного соглашения об оказании услуг участнику платформы Astana Data Exchange (далее — «Стандартное соглашение»).
1.4. Термины, не определённые в настоящей Политике, используются в значениях, установленных Условиями использования Платформы, Стандартным соглашением и законодательством Республики Казахстан.
1.5. Политика доступна Пользователю для ознакомления до подтверждения согласия. Согласие на сбор и обработку персональных данных предоставляется подтверждением раздела 13 настоящей Политики либо иным способом, позволяющим подтвердить его получение от соответствующего субъекта. Само по себе посещение или использование Платформы не заменяет согласия на обработку, для которой оно необходимо.
Раздел 2. Категории субъектов персональных данных
2.1. Оператор обрабатывает персональные данные следующих категорий субъектов:
1) Зарегистрированных пользователей — физических лиц, создавших учётную запись на Платформе;
2) первых руководителей, уполномоченных представителей и Уполномоченных пользователей Участников — юридических лиц и индивидуальных предпринимателей;
3) индивидуальных предпринимателей, выступающих Участниками;
4) лиц, обратившихся к Оператору через формы обратной связи и службу поддержки, включая заявителей по обращениям о нарушении прав;
5) контактных лиц контрагентов Оператора — в объёме, необходимом для исполнения договоров.
2.2. В целях настоящей Политики субъект персональных данных — физическое лицо, посещающее Платформу либо действующее как представитель или Уполномоченный пользователь Участника. Участник — юридическое лицо или индивидуальный предприниматель, присоединившийся к Стандартному соглашению.
2.3. Персональные данные представителей и Уполномоченных пользователей поступают от них непосредственно либо от Участника. Согласие регистрирующегося лица относится только к его собственным данным. Для данных других лиц требуется подтверждённое согласие, охватывающее передачу Оператору и необходимую обработку, либо иное прямо предусмотренное законом основание. Участник обеспечивает наличие основания до передачи данных, сохраняет подтверждения и предоставляет их по обоснованному запросу Оператора. Заверение Участника не заменяет согласий физических лиц. Данные работников, не требующиеся для участия и сопровождения сделок, передаче не подлежат.
Раздел 3. Состав обрабатываемых персональных данных
3.1. Оператор обрабатывает следующие категории персональных данных:
Категория
Состав
Момент сбора
Регистрационные данные
Фамилия, имя, отчество; адрес электронной почты; номер телефона; наименование организации и должность; логин и параметры доступа к учётной записи
Регистрация
Данные корпоративной верификации
Индивидуальный идентификационный номер; сведения регистрационного свидетельства электронной цифровой подписи; документы, подтверждающие полномочия представителя, — в объёме, необходимом для идентификации и проверки полномочий
Корпоративная верификация
Данные об использовании Платформы
История действий в Личном кабинете; сведения о запросах, Заказах и подтверждениях; идентификаторы операций и записи Журнала событий; сведения о размещённых и приобретённых Продуктах данных
Использование Платформы
Технические данные
IP-адрес; сведения об устройстве и браузере; идентификаторы сессии; технические cookies, необходимые для работы Платформы; записи журналов безопасности
Посещение и использование Платформы
Данные поддержки
Содержание обращений и переписки; приложенные файлы; сведения о результатах рассмотрения
Обращение в поддержку
Расчётные данные
Относящиеся к физическим лицам сведения из счетов Поставщика и подтверждений оплаты, загруженных Приобретателем; сведения об оплатах Комиссии ADX; сведения, необходимые для формирования бухгалтерских и налоговых документов
Сопровождение сделок и собственные расчёты Оператора
3.2. Расчёты между Участниками. Оператор не является платёжным агентом, платёжным оператором либо эскроу-агентом. Расчёты по сделкам осуществляются Участниками напрямую в порядке Статьи 7 Стандартного соглашения. Оператор обрабатывает сведения из загруженных Поставщиком счетов и подтверждений оплаты Покупателя, а также сведения и банковские реквизиты, необходимые для начисления и получения Комиссии ADX и возврата излишне уплаченных сумм. Участники исключают или скрывают в загружаемых документах персональные данные, не требующиеся для подтверждения оплаты.
3.3. Бизнес-идентификационный номер и иные реквизиты юридического лица обрабатываются как корпоративные реквизиты и сами по себе не являются персональными данными физических лиц. Индивидуальный идентификационный номер физического лица собирается только при необходимости его идентификации или проверки полномочий.
3.4. Технические cookies используются для авторизации, поддержания сессии и обеспечения безопасности и работоспособности Платформы. Пользователь вправе ограничить cookies в настройках браузера; это может повлиять на доступность отдельных функций. Применение необязательной дополнительной аналитики и иных необязательных технологий допускается при наличии самостоятельного законного основания и отдельного согласия, когда оно необходимо.
Раздел 4. Цели обработки персональных данных
4.1. Оператор обрабатывает персональные данные в следующих целях:
1) регистрация и управление учётной записью Пользователя;
2) идентификация, аутентификация, корпоративная верификация и контроль доступа к Платформе;
3) обеспечение совершения и учёта сделок: формирование Заказов, получение подтверждений, предоставление доступа к Продуктам данных, фиксация операций в Журнале событий;
4) выставление счетов на Комиссию ADX и осуществление расчётов с Участником;
5) обеспечение информационной безопасности Платформы, предупреждение мошенничества и несанкционированного доступа, расследование инцидентов;
6) предоставление технической и клиентской поддержки, рассмотрение обращений и претензий;
7) исполнение договоров Платформы и соблюдение требований законодательства Республики Казахстан, включая бухгалтерский и налоговый учёт, а также исполнение законных запросов государственных органов;
8) направление служебных уведомлений: об изменении документов Платформы, о состоянии безопасности учётной записи, о статусах заявок, размещённых Продуктов данных и сделок;
9) совершенствование Платформы — анализ использования, обеспечение стабильности и качества сервиса, преимущественно на основе обезличенных и агрегированных данных.
4.2. Маркетинговые рассылки осуществляются исключительно при наличии отдельно выраженного согласия субъекта с возможностью отказаться от них в любое время.
Раздел 5. Правовые основания обработки и условия передачи
5.1. Сбор и обработка персональных данных осуществляются с согласия субъекта или его законного представителя, кроме прямо предусмотренных законодательством Республики Казахстан случаев обработки без согласия. Данные обрабатываются только для определённых целей и в необходимом объёме. Заключение или исполнение договора с Участником само по себе не заменяет согласия на обработку персональных данных его представителей и работников.
5.2. Согласие подтверждается отдельной, заранее не отмеченной галочкой, связанной с разделом 13 настоящей Политики: «Даю согласие на сбор и обработку моих персональных данных на условиях раздела 13 Политики конфиденциальности». Отметка подтверждается при отправке формы и относится к физическому лицу, совершающему действие. Оператор фиксирует и хранит сведения о пользователе, включая ФИО из его профиля, дату и время подтверждения и редакцию согласия, с возможностью выгрузки подтверждения. Повторное заполнение ФИО не требуется, если они уже получены при идентификации.
5.3. Оператор предоставляет персональные данные указанным далее категориям получателей только в объёме, необходимом для установленной цели, при наличии предусмотренного законодательством основания и соблюдении требований к защите данных:
1) техническим подрядчикам и поставщикам инфраструктуры — для обеспечения работы Платформы;
2) Поставщику или Покупателю по конкретному Заказу — для оформления и сопровождения соответствующей сделки;
3) банкам — для собственных расчётов Оператора;
4) аудиторам и консультантам — для проверки и сопровождения деятельности Оператора;
5) государственным органам — по законным запросам и в пределах установленных полномочий.
5.4. Привлечённые подрядчики получают доступ к персональным данным в пределах порученных функций при наличии договорных обязательств о конфиденциальности и защите данных. Передача данных стороне сделки связана с конкретным Заказом и не предоставляет доступ всем зарегистрированным Участникам. Трансграничная передача регулируется отдельно пунктом 6.2 настоящей Политики и не охватывается согласием раздела 13.
5.5. Оператор не продаёт персональные данные. Передача для самостоятельного маркетингового использования требует отдельного согласия субъекта.
Раздел 6. Трансграничная передача, место и сроки хранения
6.1. Оператор обеспечивает хранение обрабатываемых им персональных данных в базах, расположенных на территории Республики Казахстан, в соответствии с применимыми требованиями законодательства. Продукты данных хранятся в инфраструктуре Оператора только в случаях, когда их размещение и хранение предусмотрены выбранным способом предоставления. При самостоятельном предоставлении Продукта данных через API или иной канал условия хранения и передачи обеспечивают соответствующие стороны сделки в пределах своих обязанностей.
6.2. Трансграничная передача персональных данных может осуществляться Оператором исключительно в соответствии со статьёй 16 Закона Республики Казахстан «О персональных данных и их защите». При возникновении необходимости такой передачи Оператор предварительно раскрывает в настоящей Политике страну получателя, состав передаваемых данных и цель передачи и получает согласие субъекта.
6.3. Сроки хранения определяются по категориям данных с учётом целей их обработки и установленных законодательством сроков обязательного хранения. После прекращения участия или закрытия учётной записи персональные данные удаляются или обезличиваются, кроме сведений и документов, которые необходимо сохранить по закону, для исполнения ранее возникших обязательств либо защиты законных требований — при наличии и в пределах предусмотренного законом основания и срока.
6.4. Внутренним регламентом Оператора устанавливаются сроки хранения профилей, документов верификации и результатов проверок, документов сделок, подтверждений оплаты, журналов событий и безопасности, обращений и переписки, доказательств согласия и резервных копий, а также порядок удаления, обезличивания и обработки запросов субъектов. По истечении применимых сроков данные уничтожаются, удаляются или обезличиваются в соответствии с законодательством.
Раздел 7. Меры защиты персональных данных
7.1. Оператор обязан обеспечивать защиту персональных данных посредством организационных и технических мер, предусмотренных законодательством Республики Казахстан. В составе мер защиты Оператор обеспечивает:
1) идентификацию, аутентификацию и авторизацию пользователей, двухфакторную аутентификацию;
2) разграничение прав доступа и предоставление доступа по принципу минимальной необходимости;
3) ведение журналов событий безопасности и журналирование операций;
4) мониторинг и реагирование на инциденты информационной безопасности;
5) обучение работников и принятие ими обязательств о неразглашении;
6) контроль состояния информационной безопасности Платформы в соответствии с законодательством и внутренними процедурами Оператора.
7.2. Порядок реализации мер защиты определяется внутренними процедурами Оператора и Политикой информационной безопасности с соблюдением обязательных требований законодательства. Резервное копирование персональных данных и проверка возможности их восстановления обеспечиваются в соответствии с применимыми требованиями; внутренними процедурами определяются ответственные лица, состав копий и сроки их хранения.
Раздел 8. Инциденты и уведомление о нарушении
8.1. При выявлении инцидента информационной безопасности, повлёкшего или способного повлечь неправомерный доступ к персональным данным, их утрату, изменение либо раскрытие, Оператор незамедлительно принимает меры по локализации инцидента и минимизации его последствий.
8.2. Оператор уведомляет уполномоченный государственный орган о нарушении безопасности персональных данных в течение одного рабочего дня с момента обнаружения, указывая контакты лица, ответственного за организацию обработки персональных данных, и фиксирует время обнаружения. Затронутые субъекты и другие лица уведомляются в случаях и порядке, установленных законодательством Республики Казахстан; затронутые субъекты также информируются, если инцидент может повлечь для них неблагоприятные последствия. Уведомление субъекта направляется на адрес электронной почты, указанный в профиле, и содержит: описание характера инцидента, категории и приблизительный объём затронутых данных, вероятные последствия, принятые и планируемые меры, а также контакты для получения дополнительных сведений.
Раздел 9. Права субъекта персональных данных
9.1. Субъект персональных данных вправе в пределах, установленных законодательством Республики Казахстан:
1) получать сведения об обработке своих персональных данных, включая сведения о целях, составе, источниках, сроках хранения и получателях;
2) требовать уточнения, изменения, блокирования или уничтожения персональных данных при наличии законных оснований, в том числе при их неполноте, недостоверности либо неправомерной обработке;
3) обратиться с жалобой в уполномоченный государственный орган по защите персональных данных и в суд.
4) отозвать согласие на сбор и обработку своих персональных данных с учётом ограничений, установленных законодательством Республики Казахстан.
9.2. Обращение направляется по адресу электронной почты info@astanadx.com либо через Личный кабинет. Информация об обработке персональных данных, относящаяся к субъекту, предоставляется в течение трёх рабочих дней со дня получения обращения; при отказе в её предоставлении в тот же срок направляется мотивированный ответ, если иные сроки не предусмотрены законами Республики Казахстан. Иные требования субъекта, включая уточнение, блокирование, уничтожение или удаление данных, исполняются в соответствующие сроки, установленные законодательством. Оператор вправе запросить дополнительные сведения, необходимые для идентификации заявителя.
9.3. При отзыве согласия Оператор прекращает обработку персональных данных в течение пятнадцати рабочих дней с даты получения уведомления об отзыве либо направляет мотивированный отказ, если хранение или обработка требуются в соответствии с законодательством Республики Казахстан. Отзыв согласия в части данных, необходимых для идентификации Пользователя, влечёт невозможность дальнейшего использования учётной записи; Оператор уведомляет об этом заявителя до прекращения обработки.
9.4. Реализация отдельных прав субъекта может быть ограничена только в случаях, прямо предусмотренных законодательством Республики Казахстан. Наличие договора с Участником само по себе не является основанием для отказа субъекту в реализации его прав.
Раздел 10. Персональные данные в составе Продуктов данных
10.1. К обороту на Платформе допускаются исключительно Продукты данных, не содержащие персональных данных, позволяющих идентифицировать субъекта прямым либо косвенным методом. Оборот персональных данных в качестве Продукта данных запрещён.
10.2. Ответственность за правомерность формирования Продукта данных и за отсутствие в нём идентифицирующих персональных данных несёт Поставщик в соответствии со Стандартным соглашением. Распределение ответственности между сторонами не освобождает Оператора от выполнения собственных обязанностей по защите персональных данных, фактически обрабатываемых им.
10.3. При получении обоснованного уведомления либо при самостоятельном обнаружении признаков наличия идентифицирующих персональных данных в составе Продукта данных Оператор незамедлительно приостанавливает его размещение и доступ к нему, уведомляет Поставщика и требует устранения нарушения в порядке Статьи 14 Стандартного соглашения. При подтверждении нарушения Оператор уведомляет уполномоченный государственный орган в установленном порядке.
Раздел 11. Изменение Политики
11.1. Оператор вправе вносить изменения в настоящую Политику путём публикации её новой редакции на интернет-ресурсе Платформы с указанием даты публикации и даты вступления в силу.
11.2. Новая редакция Политики публикуется с указанием даты вступления в силу. Участники уведомляются об изменениях в порядке и сроки, предусмотренные пунктом 15.2 Стандартного соглашения. Если изменение предусматривает новую обработку персональных данных, требующую согласия субъекта, такая обработка начинается только после получения надлежащего согласия. Продолжение использования Платформы не заменяет согласия на обработку персональных данных.
11.3. Изменения не имеют обратной силы. Предыдущие редакции настоящей Политики с указанием периода их действия публикуются на интернет-ресурсе Платформы и хранятся не менее трёх лет с даты прекращения их действия.
11.4. Субъект, не согласный с новой редакцией, вправе отозвать согласие в порядке пункта 9.3 настоящей Политики и потребовать удаления учётной записи в порядке пункта 5.6 Условий использования Платформы.
Раздел 12. Заключительные положения
12.1. Настоящая Политика составлена на русском языке. При наличии версии на ином языке в случае расхождений преимущественную силу имеет русский текст.
12.2. К настоящей Политике применяется право Республики Казахстан.
12.3. Настоящая Политика вступает в силу с даты, указанной при её публикации на Платформе, с соблюдением порядка, установленного разделом 11, и действует до вступления в силу новой редакции.
Раздел 13. Согласие на сбор и обработку персональных данных
13.1. Я, физическое лицо, чьи фамилия, имя и отчество (при наличии) указаны в форме подтверждения согласия либо в моём идентифицированном профиле, даю Частной компании «Astana Data Exchange Ltd.», БИН 250540900015 (далее — Оператор), согласие на сбор и обработку моих персональных данных на изложенных ниже условиях.
13.2. Цели обработки: регистрация и ведение учётной записи; идентификация и проверка полномочий представителя; предоставление доступа к Платформе; оформление и сопровождение Заказов и участия организации; фиксация действий и хранение документов; техническая поддержка; обеспечение безопасности; направление служебных уведомлений; ведение предусмотренного законодательством учёта.
13.3. Перечень данных: фамилия, имя, отчество (при наличии), должность, наименование представляемой организации, телефон и электронная почта, логин и параметры доступа к учётной записи; ИИН, сведения регистрационного свидетельства ЭЦП и сведения из документов о полномочиях — в объёме, необходимом для идентификации и верификации; относящиеся ко мне сведения о действиях, Заказах, документах сделок и подтверждениях оплаты; сведения, необходимые для собственных расчётов Оператора и предусмотренного законом учёта; IP-адрес, сведения об устройстве и браузере, идентификаторы сессии, технические cookies, необходимые для работы Платформы, и записи журналов безопасности; сведения из моих обращений, переписки и файлов, необходимых для поддержки. Избыточные данные сбору не подлежат.
13.4. Допускаются получение данных от меня либо от представляемого мной Участника, запись, накопление, хранение, уточнение, использование, предоставление доступа и передача указанным ниже получателям, блокирование, обезличивание, удаление и уничтожение с применением средств автоматизации или без них в пределах названных целей.
13.5. Передача третьим лицам допускается на территории Республики Казахстан только в необходимом объёме: техническим подрядчикам и поставщикам инфраструктуры — для обеспечения работы Платформы; контрагенту по конкретному Заказу — для оформления и сопровождения сделки; банкам — для собственных расчётов Оператора; аудиторам и консультантам — для проверки и сопровождения деятельности Оператора; государственным органам — по законным запросам. Доступ подрядчиков ограничивается порученными функциями и обеспечивается при наличии обязательств о конфиденциальности и защите данных.
13.6. Трансграничная передача, распространение персональных данных в общедоступных источниках, маркетинговые рассылки, запись разговоров и необязательная дополнительная аналитика настоящим согласием не охватываются. Для таких действий требуется самостоятельное законное основание и отдельное согласие, когда оно необходимо. Настоящее согласие не разрешает продажу моих персональных данных.
13.7. Согласие действует с момента подтверждения на период регистрации и использования мной Платформы, а при обращении без регистрации — до завершения рассмотрения обращения, либо до правомерного отзыва согласия. После прекращения этого периода обработка и хранение допускаются только при наличии и в пределах иного предусмотренного законодательством основания и срока.
13.8. Я вправе отозвать согласие, направив обращение на info@astanadx.com, с учётом установленных законодательством ограничений. Оператор прекращает обработку либо направляет мотивированный отказ в установленные законом сроки. Права субъекта и порядок обращений описаны в разделе 9 Политики, доступной мне до подтверждения согласия. Настоящее согласие относится только к моим персональным данным и не является согласием других работников или представителей Участника.