Политика конфиденциальности

I. Общие положения

1. Политика в отношении обработки и защиты персональных данных в ИП "БЛС" (далее по тексту – Компания) определяет позицию и намерения Компании в области обработки и защиты персональных данных, с целью соблюдения и защиты прав и свобод каждого человека и, в особенности, права на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.
2. Политика в отношении обработки и защиты персональных данных (далее по тексту - Политика) разработана в соответствии с Конституцией РК, Гражданским кодексом РК, Закона Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» и иными нормативными правовыми актами Республики Казахстан.
3. Данный документ направлен на доведение до сведения субъектов персональных данных позиции и намерения Компании в области обработки и защиты персональных данных.
4. Целями Политики являются определение обработки и обеспечения безопасности персональных данных.
5. Политика распространяется на все бизнес процессы Компании и обязательна к выполнению всеми сотрудниками Компании.
6. Действие Политики распространяется на все персональные данные субъектов, обрабатываемые в Компании с применением средств автоматизации и без применения таких средств.
7. Политика предназначена для изучения и неукоснительного исполнения руководителями и работниками всех структурных подразделений Компании, а так же подлежит доведению до сведения лиц, состоящих в договорных, гражданско-правовых, трудовых и иных отношениях с Компанией, партнеров и других заинтересованных сторон.
8. Политика является общедоступным документом.

II. Определения

1. Персональные данные - сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
2. Оператор - государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных.
3. Обработка персональных данных - действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.
4. Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
5. Распространение персональных данных - действия, в результате совершения которых происходит передача персональных данных, в том числе через средства массовой информации или предоставление доступа к персональным данным каким-либо иным способом.
6. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
7. Блокирование персональных данных - действия по временному прекращению сбора, накопления, изменения, дополнения, использования, распространения, обезличивания и уничтожения персональных данных.
8. Уничтожение персональных данных - действия, в результате совершения которых невозможно восстановить персональные данные.
9. Обезличивание персональных данных - действия, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно.
10. Безопасность персональных данных - защищенность персональных данных от неправомерного и/или несанкционированного и/или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
11. Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
12. Биометрические персональные данные - персональные данные, которые характеризуют физиологические и биологические особенности субъекта персональных данных, на основе которых можно установить его личность.
13. Сайт - совокупность программных и аппаратных средств для ЭВМ, обеспечивающих публикацию для всеобщего обозрения информации и данных, объединенных общим целевым назначением, посредством технических средств, применяемых для связи между ЭВМ в сети Интернет. Под Сайтом в Политике понимается Сайт, расположенный в сети Интернет по адресу: auroraled.kz.
14. Машинный носитель - магнитный диск, магнитная лента, лазерный диск и иные материальные носители, используемые для записи и хранения информации с помощью электронно-вычислительной техники.

III. Субъекты персональных данных

1. Субъектами персональных данных, обрабатываемых Компанией, являются:

1.1. Кандидаты на вакантные должности, включая кандидатов, заполняющих анкету кандидата на Интернет-ресурсе Компании.
1.2. Работники Компании, родственники работников Компании, в пределах определяемых законодательством Республики Казахстан, если сведения о них предоставляются работником.
1.3. Лица, входящие в органы управления Компании и не являющимися работниками.
1.4. Физические лица, с которыми Компанией заключаются договоры гражданско-правового характера.
1.5. Представители юридических лиц – контрагентов Компании.
1.6. Контрагенты Компании - индивидуальные предприниматели.
1.7. Клиенты – потребители, в т.ч. посетители сайта, принадлежащего Компании: auroraled.kz, в том числе с целью оформления заказа на Сайте с последующей доставкой клиенту, получатели услуг по доставке, сборке и иных услуг.
1.8. Участники бонусных программ лояльности.
1.9. Физические лица, персональные данные которых обрабатываются в интересах третьих лиц – операторов персональных данных на основании договора (поручения операторов персональных данных).

IV. Цели обработки персональных данных

1. ИП осуществляет обработку персональных данных субъектов в целях осуществления возложенных на Компанию законодательством Республики Казахстан функций, полномочий и обязанностей в соответствии с законами, в том числе, но не ограничиваясь: Гражданским кодексом РК, Налоговым кодексом РК, Трудовым кодексом РК, Семейным кодексом РК, Закон Республики Казахстан от 21 июня 2013 года № 105-V «О пенсионном обеспечении в Республике Казахстан», Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите», Законом Республики Казахстан от 16 февраля 2012 года № 561-IV «О воинской службе и статусе военнослужащих», Законом Республики Казахстан от 22 декабря 1998 года № 326-I «О Национальном архивном фонде и архивах», Законом Республики Казахстан от 22 апреля 1998 года № 220-I «О товариществах с ограниченной и дополнительной ответственностью», Законом Республики Казахстан от 4 мая 2010 года № 274-IV «О защите прав потребителей», Законом Республики Казахстан от 28 февраля 2007 года № 234-III «О бухгалтерском учете и финансовой отчетности», Законом Республики Казахстан от 16 ноября 2015 года № 405-V «Об обязательном социальном медицинском страховании», а также операторами персональных данных, уставом и локальными актами ИП.
2. Цель обработки персональных данных Работников – соблюдение трудового, налогового и пенсионного законодательства Республики Казахстан, а именно:

2.1. Организации кадрового учета Компании, ведения кадрового делопроизводства.
2.2. Содействие работникам в трудоустройстве, обучении и продвижении по службе.
2.3. Расчет и начисление заработной платы.
2.4. Исполнение требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, пенсионного законодательства, заполнения первичной статистической документации.
2.5. Организация деловых поездок (командировок) работников.
2.6. Оформление доверенностей (в том числе для представления интересов Компании перед третьими лицами).
2.7. Обеспечение личной безопасности работников.
2.8. Контроль количества и качества выполняемой работы.
2.9. Обеспечение сохранности имущества.
2.10. Соблюдение пропускного режима в помещениях Компании.
2.11. Учет рабочего времени.
2.12. Пользование различного вида компенсациями, льготами в соответствии с Трудовым кодексом РК, Налоговым кодексом РК, иными нормативными правовыми актами Республики Казахстан, а также локальными нормативными актами Компании, коллективным договором.
2.13. Заключение договоров в пользу работника.
2.14. Обязательное страхование жизни, здоровья и/или от несчастных случаев.

3. Цель обработки персональных данных родственников работников Товарищества:

3.1. Исполнение требований законодательства Республики Казахстан.
3.2. Предоставление дополнительных льгот.
3.3. Участие в корпоративных мероприятиях.

4. Цель обработки персональных данных кандидатов на вакантные должности – принятие решения о возможности заключения трудового договора с лицами, претендующими на открытые вакансии.
5. Цель обработки персональных данных лиц, входящих в органы управления Компании, не являющихся работниками – выполнение требований, предусмотренных законодательством Республики Казахстан, в т.ч. обязательное раскрытие информации, аудит, проверка возможности совершения сделок, в том числе сделок с заинтересованностью и/или крупных сделок.
6. Цель обработки персональных данных контрагентов - физических лиц – заключение и исполнение договора, одной из сторон которого является физическое лицо; рассмотрение возможностей дальнейшего сотрудничества.

7. Цель обработки персональных данных представителей юридических лиц - контрагентов Компании – ведения переговоров, заключение и исполнение договоров, по которым предоставляются персональные данные работников такого юридического лица для целей исполнения договора по различным направлениям хозяйственной деятельности Компании.
8. Цель обработки персональных данных физических лиц, персональные данные которых обрабатываются в интересах третьих лиц - операторов персональных данных на основании договора (поручения операторов персональных данных), – исполнение договоров - поручений операторов персональных данных.
9. Цель обработки персональных данных участников бонусных программ лояльности:

9.1. Предоставление информации по товарам, проходящим акциям, состоянию лицевого счета.
9.2. Идентификация участника в программе лояльности; обеспечение процедуры учета накопления и использования бонусов.
9.3. Исполнение Компанией обязательств по программе лояльности.

10. Цель обработки персональных данных клиентов - потребителей:

10.1. Исполнение договора, включая договора розничной купли-продажи, в том числе заключенного дистанционным способом на Сайте.
10.2. Предоставление услуг по доставке, сборке и иных услуг, а также учета оказанных потребителю услуг для осуществления взаиморасчетов.
10.3. Доставка заказанного товара клиенту, совершившему заказ на Сайте, возврат товара.
10.4. Информирование о статусе заказа.
10.5. Предоставление информации по товарам/услугам, проходящим акциям и специальным предложениям.
10.6. Анализ качества предоставляемого Компанией услуг, улучшению качества обслуживания клиентов Компании.
10.7. Рассмотрение и удовлетворение требований потребителей, заявленных в соответствии с Законом Республики Казахстан от 4 мая 2010 года № 274-IV «О защите прав потребителей».
10.8. Организация и проведение Обществом программ лояльности, маркетинговых и/или рекламных акций, исследований, опросов и иных мероприятий.

V. Принципы и условия обработки персональных данных

1. При обработке персональных данных Компании придерживается следующих принципов:

1.1. Обработка персональных данных осуществляется на законной и справедливой основе.
1.2. Персональные данные не раскрываются третьим лицам и не распространяются без согласия субъекта персональных данных, за исключением случаев, предусмотренных действующим законодательством Республики Казахстан.
1.3. Определение конкретных законных целей до начала обработки (в т.ч. сбора) персональных данных.
1.4. Ведется сбор только тех персональных данных, которые являются необходимыми и достаточными для заявленной цели обработки.
1.5. Объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой не допускается.
1.6. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей.
1.7. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных персональных данных.
1.8. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
1.9. Обрабатываемые персональные данные подлежат уничтожению или обезличиванию по достижению целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено действующим законодательством Республики Казахстан.

2. Компания может включать персональные данные субъектов в общедоступные источники персональных данных, при этом Компания берет письменное согласие субъекта на обработку его персональных данных.
3. Компания не осуществляет обработку персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных, философских и иных убеждений, интимной жизни, членства в общественных объединениях, в том числе в профессиональных союзах.
4. Компания может осуществлять обработку данных о состоянии здоровья субъекта персональных данных в следующих случаях:

4.1. В соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Республики Казахстан о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях.
4.2. Для защиты жизни, здоровья или иных жизненно важных интересов работника либо для защиты жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональные данные невозможно.
4.3. Для установления или осуществления прав работника или третьих лиц, а равно и в связи с осуществлением правосудия;
4.4. В соответствии с законодательством об обязательных видах страхования, со страховым законодательством.
4.5. В иных случаях, предусмотренных законодательством о персональных данных.

5. Компания не осуществляет трансграничную передачу персональных данных.
6. Компания вправе осуществлять передачу персональных данных третьим лицам в случаях, предусмотренных законодательством Республики Казахстан.
7. Компания вправе поручить обработку персональных данных субъектов персональных данных третьим лицам на основании заключаемого с этими лицами договора.
8. Лица, осуществляющие обработку персональных данных на основании заключаемого с Компанией договора (поручения оператора), обязуются соблюдать принципы и правила обработки и защиты персональных данных, предусмотренные законодательством РК. Для каждого третьего лица в договоре определяются перечень действий (операций) с персональными данными, которые будут совершаться третьим лицом, осуществляющим обработку персональных данных, цели обработки, устанавливается обязанность такого лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, указываются требования к защите обрабатываемых персональных данных в соответствии с законодательством РК.
9. В целях исполнения требований действующего законодательства РК и своих договорных обязательств обработка персональных данных в Компании осуществляется как с использованием, так и без использования средств автоматизации. Совокупность операций обработки включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
10. В Компании запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных законодательством РК.

VI. Права субъектов персональных данных

1. Субъект, персональные данные которого обрабатываются Компанией, имеет право:

1.1. знать о наличии у собственника и (или) оператора, а также третьего лица своих персональных данных, а также получать информацию, содержащую:

подтверждение факта, цели, источников, способов сбора и обработки персональных данных;

перечень персональных данных;

сроки обработки персональных данных, в том числе сроки их хранения;

1.2. требовать от собственника и (или) оператора изменения и дополнения своих персональных данных при наличии оснований, подтвержденных соответствующими документами;
1.3. требовать от собственника и (или) оператора, а также третьего лица блокирования своих персональных данных в случае наличия информации о нарушении условий сбора, обработки персональных данных;
1.4. требовать от собственника и (или) оператора, а также третьего лица уничтожения своих персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных нормативными правовыми актами Республики Казахстан;
1.5. отозвать согласие на сбор, обработку персональных данных, кроме случаев, предусмотренных Законом РК;
1.6. дать согласие (отказать) собственнику и (или) оператору на распространение своих персональных данных в общедоступных источниках персональных данных;
1.7. на защиту своих прав и законных интересов, в том числе возмещение морального и материального вреда;
1.8. на осуществление иных прав, предусмотренных законами Республики Казахстан.

2. Субъект обязан представлять свои персональные данные в случаях, установленных законами Республики Казахстан.

VII. Обязанности Компании

1. утверждать перечень персональных данных, необходимый и достаточный для выполнения осуществляемых ими задач, если иное не предусмотрено законами Республики Казахстан;
2. принимать и соблюдать необходимые меры, в том числе правовые, организационные и технические, для защиты персональных данных в соответствии с законодательством Республики Казахстан;
3. соблюдать законодательство Республики Казахстан о персональных данных и их защите;
4. принимать меры по уничтожению персональных данных в случае достижения цели их сбора и обработки, а также в иных случаях, установленных нормативными правовыми актами Республики Казахстан;
5. представлять доказательство о получении согласия субъекта на сбор и обработку его персональных данных в случаях, предусмотренных законодательством Республики Казахстан;
6. сообщать информацию, относящуюся к субъекту, в течение трех рабочих дней со дня получения обращения субъекта или его законного представителя, если иные сроки не предусмотрены законами Республики Казахстан;
7. в случае отказа предоставить информацию субъекту или его законному представителю в срок, не превышающий трех рабочих дней со дня получения обращения, представлять мотивированный ответ, если иные сроки не предусмотрены законами Республики Казахстан;
8. в течение одного рабочего дня:

изменить и (или) дополнить персональные данные на основании соответствующих документов, подтверждающих их достоверность, или уничтожить персональные данные при невозможности их изменения и (или) дополнения;
блокировать персональные данные, относящиеся к субъекту, в случае наличия информации о нарушении условий их сбора, обработки;
уничтожить персональные данные в случае подтверждения факта их сбора, обработки с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных иными нормативными правовыми актами Республики Казахстан;
снять блокирование персональных данных в случае неподтверждения факта нарушения условий сбора, обработки персональных данных.

9. Работники Компании обязаны:

9.1. Ознакомиться с Политикой и внутренними документами, регламентирующими процесс обработки персональных данных, и выполнять требования этих документов.
9.2. Обрабатывать персональные данные только в рамках выполнения своих должностных обязанностей.
9.3. Не разглашать персональные данные, к которым был получен доступ в рамках исполнения своих трудовых обязанностей.
9.4. Информировать работодателя о фактах разглашения (уничтожения, искажения) персональных данных.

VIII. Персональные данные, обрабатываемые Компанией

1. Данные, полученные при осуществлении трудовых отношений.
2. Данные, полученные для осуществления отбора кандидатов на работу.
3. Данные, полученные при осуществлении гражданско-правовых отношений.

IX. Основные требования к обработке персональных данных

1. Обработка персональных данных в Компании должна осуществляться с согласия субъекта персональных данных кроме случаев, когда такое согласие не требуется или же по поручению, в тех случаях когда Компания не является оператором персональных данных субъектов.
2. В случаях предусмотренных законодательством, обработка персональных данных осуществляется с согласия субъекта персональных данных, оформляемого в соответствии с законодательством Республики Казахстан.
3. В Компании ведется учет работников, допущенных к обработке персональных данных.

X. Требования к защите персональных данных

1. Компания при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного и/или несанкционированного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

XI. Сроки обработки (хранения) персональных данных

Сроки обработки (хранения) персональных данных определяются исходя из целей обработки персональных данных, в соответствии со сроком действия договора с субъектом персональных данных, требованиями законов, требованиями операторов персональных данных, по поручению которых Компания осуществляет обработку персональных данных, основными правилами работы архивов организаций, сроками исковой давности.
Персональные данные, срок обработки (хранения) которых истек, должны быть уничтожены, если иное не предусмотрено законом. Хранение персональных данных после прекращения их обработки допускается только после их обезличивания.

XII. Заключительные положения

1. Политика может быть пересмотрена в любом из следующих случаев:

при изменении законодательства Республики Казахстан в области обработки и защиты персональных данных;
в случаях получения предписаний от компетентных государственных органов на устранение несоответствий, затрагивающих область действия Политики;
по решению руководства Компании;
при изменении целей обработки персональных данных;
при изменении организационной структуры, структуры информационных и/или телекоммуникационных систем (или введении новых);
при применении новых технологий обработки и защиты персональных данных (в т. ч. передачи, хранения);
при появлении необходимости в изменении процесса обработки персональных данных, связанной с деятельностью Компании.

2. В случае неисполнения положений Политики Компании и ее работники несут ответственность в соответствии с действующим законодательством Республики Казахстан.
3. Контроль исполнения требований Политики осуществляется лицами, ответственными за организацию обработки персональных данных Компании, а также за безопасность персональных данных.