Утверждена приказом Генерального директора
Общества с ограниченной ответственностью «Скай Пэй»

Политика обработки персональных данных в Обществе с ограниченной ответственностью «Скай Пэй»

1. Общие положения

1.1. Политика обработки персональных данных в Обществе с ограниченной ответственностью «Скай Пэй» (далее — Политика) разработана в соответствии с Конституцией Кыргызской Республики, Законом Кыргызской Республики от 14 апреля 2008 года № 58 «Об информации персонального характера», Законом Кыргызской Республики от 21 января 2015 года № 21 «О платежной системе Кыргызской Республики», иными нормативными правовыми актами Кыргызской Республики в области обработки и защиты персональных данных, в том числе при их обработке в информационных системах персональных данных (далее — ИСПДн), и определяет принципы и условия обработки персональных данных (далее — ПДн), а также меры по их защите.

1.2. Политика разработана в целях реализации требований законодательства в области обработки и обеспечения безопасности персональных данных и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных Обществом с ограниченной ответственностью «Скай Пэй» (место нахождения: Кыргызская Республика, г. Бишкек, ул. 7-линия, 7а; лицензии №2035270723 от 27.07.2023 г. и №3037270723 от 27.07.2023 г.) (далее — Общество).

1.3. Политика устанавливает:

• цели обработки персональных данных;
• перечень персональных данных, обрабатываемых Обществом;
• категории субъектов, персональные данные которых обрабатываются Обществом;
• порядок и условия обработки персональных данных;
• порядок актуализации, исправления, удаления, уничтожения персональных данных;
• порядок рассмотрения запросов субъектов персональных данных и ответов на них;
• участников системы управления процессом обработки персональных данных в Обществе;
• основные подходы к системе управления процессом обработки персональных данных.

1.4. Положения настоящей Политики являются обязательными для исполнения всеми Работниками Общества, имеющими доступ к персональным данным.

1.5. Политика является общедоступным документом и размещается на сайте Общества.

1.6. Действие настоящей Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передаче (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению и уничтожению персональных данных, осуществляемые с использованием средств автоматизации и без использования таких средств.

1.7. Общество является держателем (обладателем) массива персональных данных (оператором персональных данных) и осуществляет обработку персональных данных в связи с оказанием услуг по приёму платежей и осуществлению выплат, а также в связи с иной деятельностью, предусмотренной уставом Общества и выданными ему лицензиями.

2. Термины и определения

Административно-хозяйственная деятельность

процессы, направленные на текущее обеспечение деятельности Общества товарно-материальными ценностями (закупка канцтоваров, офисного оборудования, расходных материалов, хозяйственных товаров, услуг связи и т.п.), на организацию документооборота, эксплуатации помещений и рабочего процесса.

Близкие родственники

супруги, дети и иные лица, чьи контактные данные указаны в анкете Кандидата или Работника.

Держатель (обладатель) массива персональных данных (Оператор)

государственный орган, орган местного самоуправления, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, и действия (операции), совершаемые с персональными данными.

Иные физические лица

физические лица, информация о которых, включая персональные данные, получена Обществом в целях исполнения обязательств в рамках договоров с Контрагентами, Плательщиками и Пользователями.

Информационная система персональных данных (ИСПДн)

совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Кандидат

физическое лицо, претендующее на вакантную должность в Обществе, персональные данные которого приняты Обществом.

Контрагент

юридическое лицо, индивидуальный предприниматель, а также физическое лицо, занимающееся в установленном законодательством Кыргызской Республики порядке частной практикой, заключившее или намеревающееся заключить с Обществом гражданско-правовой договор.

Конфиденциальность персональных данных

обязательное для соблюдения Обществом или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

Обработка персональных данных

любое действие (операция) Общества или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

Персональные данные (информация персонального характера)

любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

Плательщик

физическое лицо, совершающее операцию оплаты товаров, работ или услуг Контрагента с использованием Платёжного сервиса, либо физическое лицо, в пользу которого Контрагентом осуществляется выплата.

Платёжный сервис (SkyPay)

автоматизированная система, представляющая собой совокупность информационно-коммуникационных технологий (программные модули, приложения, личный кабинет, программные интерфейсы (API) и иные каналы удалённого обслуживания), с помощью которых обеспечивается приём распоряжений на совершение операций безналичной оплаты товаров, работ и услуг, а также на осуществление выплат в пользу физических лиц.

Пользователь

физическое лицо, использующее Платёжный сервис, в том числе от имени Контрагента, которое присоединилось к условиям использования Платёжного сервиса и персональные данные которого переданы Обществу.

Представитель Контрагента

физическое лицо, персональные данные которого переданы Обществу, входящее в органы управления Контрагента либо являющееся владельцем/учредителем/акционером/участником Контрагента, либо действующее от имени Контрагента на основании доверенности.

Работник

физическое лицо, заключившее с Обществом трудовой договор.

Распространение персональных данных

действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Субъект персональных данных

физическое лицо, которое может быть прямо или косвенно определено с помощью персональных данных.

Уполномоченный орган

государственный орган Кыргызской Республики, осуществляющий защиту прав субъектов персональных данных, — Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики.

Cookies

небольшой фрагмент данных, отправленный веб-сервером и хранимый на устройстве пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.

IP-адрес

уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных в Обществе осуществляется в соответствии со следующими принципами:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка персональных данных, несовместимая с целями их сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только те персональные данные, которые отвечают целям их обработки;
• содержание и объём обрабатываемых персональных данных, способы их обработки соответствуют заявленным целям обработки;
• обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям обработки;
• при обработке персональных данных обеспечивается их точность, достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям обработки; Общество принимает необходимые меры (либо обеспечивает их принятие) по удалению или уточнению неполных или неточных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законодательством Кыргызской Республики или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных; обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством.

4. Правовые основания и условия обработки персональных данных

4.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, установленных законодательством Кыргызской Республики о персональных данных. Обработка персональных данных в Обществе допускается в следующих случаях:

• обработка персональных данных осуществляется с согласия субъекта персональных данных;
• обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных;
• обработка персональных данных необходима для достижения целей, предусмотренных международным договором, участником которого является Кыргызская Республика, или законом, для осуществления и выполнения возложенных законодательством на Общество функций, полномочий и обязанностей, в том числе в сфере платёжных услуг, бухгалтерского и налогового учёта, противодействия финансированию террористической деятельности и легализации (отмыванию) преступных доходов;
• обработка персональных данных осуществляется в связи с участием лица в гражданском, административном, уголовном судопроизводстве, а также необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством об исполнительном производстве;
• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
• обработка персональных данных необходима для осуществления прав и законных интересов Общества или третьих лиц, в том числе для предотвращения мошенничества и иных противоправных действий при использовании Платёжного сервиса, при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
• обработка персональных данных осуществляется в статистических или иных исследовательских целях при условии обязательного обезличивания персональных данных; исключение составляет обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи;
• осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Кыргызской Республики.

4.2. Письменное согласие субъекта на обработку его персональных данных требуется в случаях, прямо установленных законодательством Кыргызской Республики, в том числе при:

• включении персональных данных субъекта в общедоступные источники персональных данных;
• обработке специальных категорий персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, сведений о судимости;
• обработке биометрических персональных данных — сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются Обществом для установления личности субъекта персональных данных;
• принятии на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

4.3. При отсутствии необходимости получения согласия субъекта на обработку персональных данных в письменной форме согласие может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, в том числе в электронном виде (путём проставления отметки в соответствующем поле на сайте или в Платёжном сервисе).

4.4. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора (далее — поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению Общества, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящей Политикой и законодательством Кыргызской Республики.

4.5. В случае если Общество поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несёт Общество. Лицо, осуществляющее обработку персональных данных по поручению Общества, несёт ответственность перед Обществом.

4.6. Общество и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Кыргызской Республики.

4.7. Распространение персональных данных осуществляется на основании отдельного согласия субъекта персональных данных, оформляемого отдельно от иных согласий. Передача (распространение, предоставление, доступ) таких персональных данных должна быть прекращена в любое время по требованию субъекта персональных данных.

4.8. В случае если Общество осуществляет обработку персональных данных, которые субъект раскрыл неопределённому кругу лиц, и субъект не дал Обществу согласия на обработку персональных данных, обязанность доказывания законности последующего распространения или иной обработки таких персональных данных лежит на Обществе.

5. Права субъекта персональных данных

5.1. Субъект персональных данных вправе требовать от Общества уточнения своих персональных данных, их блокирования или уничтожения в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

5.2. Субъект персональных данных имеет право потребовать прекращения передачи (распространения, предоставления, доступа) персональных данных, разрешённых им для распространения ранее.

5.3. Субъект персональных данных имеет право отозвать ранее данное согласие на обработку персональных данных.

5.4. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных Обществом;
• правовые основания и цели обработки персональных данных;
• цели и применяемые в Обществе способы обработки персональных данных;
• наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, и источник их получения, если иной порядок представления таких данных не предусмотрен законодательством;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных законодательством Кыргызской Республики;
• информацию об осуществлённой или о предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные законодательством Кыргызской Республики.

5.5. Субъект персональных данных вправе обжаловать действия или бездействие Общества в уполномоченный орган или в судебном порядке.

6. Обязанности Общества

6.1. В соответствии с требованиями законодательства Кыргызской Республики о персональных данных Общество обязано:

• предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить мотивированный отказ;
• по требованию субъекта персональных данных уточнять обрабатываемые персональные данные, блокировать или удалять их, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также обеспечить блокирование или удаление в случае, если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества;
• уведомлять субъекта персональных данных об обработке его персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных, за исключением случаев, когда субъект уже уведомлён об осуществлении обработки его персональных данных;
• в случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить либо обезличить соответствующие персональные данные в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки, если иное не предусмотрено законодательством, либо обеспечить уничтожение или обезличивание в случае, если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом, — также указанный орган;
• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Обществом и субъектом персональных данных или законодательством, и уведомить субъекта персональных данных об уничтожении его персональных данных;
• в случае поступления требования субъекта персональных данных о прекращении обработки персональных данных в целях продвижения товаров, работ, услуг на рынке немедленно прекратить такую обработку либо обеспечить её прекращение, если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества;
• в случае поступления требования субъекта персональных данных о прекращении передачи (распространения, предоставления, доступа) персональных данных, разрешённых субъектом персональных данных для распространения ранее, в течение 3 (трёх) рабочих дней с момента получения требования прекратить такую передачу;
• принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

7. Цели обработки персональных данных

7.1. Обработка Обществом персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Общество не осуществляет обработку персональных данных, несовместимую с целями сбора персональных данных.

7.2. Общество осуществляет обработку персональных данных в целях:

7.2.1. В отношении Представителей контрагентов, Пользователей, Плательщиков и посетителей сайта

• заключения, исполнения и прекращения договоров с Обществом, подписания договоров на бумажном носителе, регистрации в личных кабинетах и отражения истории взаимодействия в базах данных;
• оказания услуг по приёму платежей и осуществлению выплат, организации расчётов, приёма и передачи распоряжений и требований;
• проведения взаиморасчётов, выставления счетов, актов и других бухгалтерских документов;
• информационного обмена с Обществом, направления информации, обязательной в силу закона, обработки обращений, запросов, заявлений, заявок и анкет Пользователей и Контрагентов;
• осуществления связи с Пользователем для предоставления информации об исполнении соглашения об использовании Платёжного сервиса, в том числе для направления почтовых рассылок, коротких текстовых сообщений (SMS), сообщений по электронной почте и в мессенджерах, включая выписки по операциям, а также для передачи информационных сообщений об услугах Общества и его Контрагентов;
• предоставления Обществом услуг по формированию и хранению электронных документов и их копий;
• проведения Обществом акций, опросов и исследований;
• предоставления субъекту персональных данных информации об оказываемых Обществом услугах, о разработке новых продуктов и услуг.

7.2.2. В отношении работников (включая бывших работников) и кандидатов на вакантные должности

• обеспечения соблюдения Конституции Кыргызской Республики, законов и иных нормативных правовых актов Кыргызской Республики;
• заключения, исполнения и прекращения трудовых договоров, регулирования трудовых и иных непосредственно связанных с ними отношений;
• ведения кадрового делопроизводства, включая учёт рабочего времени, отпусков, командировок, поощрений и взысканий Работников Общества;
• начисления и выплаты заработной платы, компенсаций и пособий, а также осуществления налоговых отчислений и иных обязательных платежей в соответствии с законодательством;
• обеспечения охраны труда и безопасности Работников, контроля за соблюдением правил внутреннего трудового распорядка, контроля доступа на территорию Общества;
• привлечения и отбора Кандидатов на работу в Обществе;
• формирования статистической отчётности;
• обеспечения соблюдения трудового законодательства.

7.2.3. Для всех категорий субъектов

• исполнения требований законодательства и судопроизводства, идентификации Пользователей, Контрагентов, их представителей, бенефициарных владельцев и выгодоприобретателей, предоставления информации о платежах в государственные информационные системы, предоставления любых видов отчётности, предусмотренной законодательством, в том числе в сфере противодействия финансированию террористической деятельности и легализации (отмыванию) преступных доходов;
• обеспечения безопасности и функционирования информационных систем и инфраструктуры Общества;
• выявления противоправных и (или) запрещённых действий при использовании Платёжного сервиса, случаев мошенничества, хищения денежных средств и иных противоправных действий, предотвращения таких действий в дальнейшем и локализации их последствий, оценки рисков сотрудничества, проверки достоверности предоставленных сведений;
• осуществления Обществом административно-хозяйственной деятельности.

8. Перечень персональных данных, категории субъектов и цели их обработки

8.1. Общество осуществляет обработку персональных данных следующих категорий субъектов персональных данных.

8.1.1. Кандидаты

Обрабатываемые персональные данные: фамилия, имя, отчество; пол; гражданство; дата и место рождения; адрес места жительства; контактные данные (телефон, адрес электронной почты); сведения об образовании; сведения о трудовой деятельности и квалификации; данные документа, удостоверяющего личность; наличие (отсутствие) судимости и (или) факта уголовного преследования; иные персональные данные, самостоятельно представленные кандидатом.

Цели обработки: исполнение трудового законодательства в рамках трудовых и иных непосредственно связанных с ними отношений, осуществление пропускного режима.

8.1.2. Работники, бывшие Работники

Обрабатываемые персональные данные: фамилия, имя, отчество; пол; гражданство; дата и место рождения; данные документа, удостоверяющего личность; персональный идентификационный номер (ПИН); адрес регистрации по месту жительства; адрес фактического проживания; контактные данные (телефон, адрес электронной почты); идентификационный налоговый номер (ИНН); сведения о государственном социальном страховании; сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации; семейное положение, наличие детей, родственные связи, сведения об иждивенцах; сведения о трудовой деятельности, в том числе о поощрениях, награждениях и (или) дисциплинарных взысканиях; данные о регистрации брака; сведения о воинском учёте; сведения об инвалидности; сведения об удержании алиментов; сведения о доходе с предыдущего места работы; регистрационный номер личного автомобиля; иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

Цели обработки: исполнение трудового законодательства в рамках трудовых и иных непосредственно связанных с ними отношений, осуществление пропускного режима.

8.1.3. Близкие родственники Работников

Обрабатываемые персональные данные: фамилия, имя, отчество; степень родства; год рождения; иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

Цели обработки: исполнение трудового законодательства в рамках трудовых и иных непосредственно связанных с ними отношений.

8.1.4. Физические лица, выполняющие работы (оказывающие услуги) по гражданско-правовым договорам

Обрабатываемые персональные данные: фамилия, имя, отчество; дата и место рождения; данные документа, удостоверяющего личность; персональный идентификационный номер (ПИН); адрес регистрации по месту жительства; контактные данные (телефон, адрес электронной почты); идентификационный налоговый номер (ИНН); номер расчётного (текущего) счёта; иные персональные данные, необходимые для заключения и исполнения договоров.

Цели обработки: осуществление деятельности в соответствии с уставом Общества, заключение и исполнение договоров, осуществление пропускного режима.

8.1.5. Физические лица, входящие в органы управления Общества, кроме Работников

Обрабатываемые персональные данные: фамилия, имя, отчество; дата и место рождения; данные документа, удостоверяющего личность; адрес регистрации по месту жительства; адрес фактического проживания; контактные данные (телефон, адрес электронной почты).

Цели обработки: осуществление деятельности в соответствии с уставом Общества, осуществление прав и обязанностей в сфере корпоративного управления, осуществление пропускного режима.

8.1.6. Физические лица, представляющие интересы Контрагентов (потенциальных Контрагентов)

Обрабатываемые персональные данные: фамилия, имя, отчество; данные документа, удостоверяющего личность; контактные данные (телефон, адрес электронной почты); регистрационные данные и банковские реквизиты (для индивидуальных предпринимателей); адрес регистрации; логин; занимаемая должность; наименование организации-контрагента; информация о действиях, совершаемых на сайте Общества и в личном кабинете; статистические, технические и функциональные типы данных (тип выполняемого действия, дата и время его выполнения, URL страницы, тип пользовательского устройства, IP-адрес и т.д.); информация, автоматически передаваемая устройством в результате технологического взаимодействия с сайтом, в том числе cookies; иная информация, предоставляемая лицом самостоятельно в процессе коммуникации с Обществом, а также иные персональные данные, необходимые для заключения и исполнения договоров.

Цели обработки: осуществление деятельности в соответствии с уставом Общества, заключение и исполнение договоров, осуществление пропускного режима.

8.1.7. Пользователи, Плательщики, их представители, бенефициарные владельцы и выгодоприобретатели, а также Иные физические лица

Обрабатываемые персональные данные: фамилия, имя, отчество; адрес регистрации по месту жительства; адрес фактического проживания; контактные данные (телефон, адрес электронной почты); данные документа, удостоверяющего личность; идентификационный налоговый номер (ИНН) — в случаях, предусмотренных законодательством; номер электронного средства платежа; сведения об операции (сумма, валюта, дата и время, назначение платежа); информация о действиях Пользователя в Платёжном сервисе; информация о получателях и отправителях, не являющихся Пользователями; информация об участии в программах лояльности Общества и (или) его Контрагентов; идентификаторы Пользователя в базах данных партнёров Общества; информация о действиях, совершаемых на сайте Общества; статистические, технические и функциональные типы данных (тип выполняемого действия, дата и время его выполнения, URL страницы, тип пользовательского устройства, IP-адрес и т.д.); информация, автоматически передаваемая устройством в результате технологического взаимодействия с сайтом Общества, в том числе cookies; иная информация, предоставляемая лицом самостоятельно в процессе коммуникации с Обществом.

Цели обработки: осуществление деятельности в соответствии с уставом Общества, заключение и исполнение договоров, оказание платёжных услуг, исполнение требований законодательства о противодействии финансированию террористической деятельности и легализации (отмыванию) преступных доходов.

8.1.8. Посетители сайта Общества

Обрабатываемые персональные данные: IP-адрес; информация из cookies; информация о браузере (или иной программе, осуществляющей доступ к сайту); время доступа; адрес страницы; реферер (адрес предыдущей страницы).

Цели обработки: обеспечение работоспособности и безопасности сайта, сбор обезличенной статистики посещений, выявление и устранение технических неисправностей.

8.2. Общество не осуществляет обработку специальных категорий персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных и философских убеждений, интимной жизни, судимости физических лиц, если иное не установлено законодательством Кыргызской Республики.

8.3. Биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, — могут обрабатываться Обществом только при наличии согласия субъекта персональных данных в письменной форме либо в случаях, прямо предусмотренных законодательством.

8.4. Отключение cookies может повлечь невозможность доступа к частям сайта и Платёжного сервиса, требующим авторизации.

8.5. Общество осуществляет сбор статистики об IP-адресах посетителей сайта. Данная информация используется в целях выявления и решения технических проблем и контроля законности проводимых платежей.

8.6. Любая иная персональная информация, не оговорённая выше (история платежей, сведения об операционных системах и т.д.), подлежит надёжному хранению и нераспространению, за исключением случаев, предусмотренных действующим законодательством и настоящей Политикой.

9. Основные участники системы управления процессом обработки персональных данных

9.1. В целях осуществления эффективного управления процессом обработки персональных данных определены основные его участники.

9.1.1. Генеральный директор Общества

• определяет и утверждает политику Общества в отношении обработки персональных данных.

9.1.2. Лицо, ответственное за организацию обработки и защиту персональных данных

Назначается приказом генерального директора Общества и выполняет следующие функции:

• разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с законодательством о персональных данных, настоящей Политикой и внутренними нормативными документами Общества;
• разрабатывает и представляет для утверждения генеральному директору Общества внутренние нормативные документы, касающиеся вопросов обработки персональных данных и требований к их защите;
• организует доведение и (или) доводит до сведения Работников Общества положений законодательства о персональных данных, настоящей Политики и внутренних нормативных документов Общества;
• осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных в Обществе, вырабатывает меры по снижению рисков;
• осуществляет оценку влияния процессов на права и свободы субъектов персональных данных;
• осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям;
• ведёт учёт процедур и средств обработки персональных данных;
• определяет угрозы безопасности персональных данных при их обработке;
• организует и контролирует уровень защищённости информационных систем персональных данных;
• оценивает эффективность принимаемых мер по обеспечению безопасности персональных данных;
• разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
• организует и осуществляет контроль соблюдения Обществом и его Работниками законодательства о персональных данных, настоящей Политики и внутренних нормативных документов Общества;
• осуществляет взаимодействие с уполномоченным органом и иными органами государственной власти по вопросам защиты персональных данных;
• осуществляет иные функции, предусмотренные законодательством о персональных данных.

9.1.3. Лицо, ответственное за приём и обработку обращений и запросов

• организует приём и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществляет контроль за приёмом и обработкой таких обращений и запросов.

9.1.4. Лицо, ответственное за организацию и ведение кадровой работы

• организует учёт и хранение документов, содержащих персональные данные Кандидатов, Работников и их близких родственников, бывших Работников Общества.

10. Организация системы управления процессом обработки персональных данных

10.1. Обработка персональных данных субъекта персональных данных осуществляется с его согласия, а также без такового, если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, для заключения договора по инициативе субъекта персональных данных, либо в иных случаях, предусмотренных законодательством о персональных данных.

10.2. Обработка специальной категории персональных данных, касающейся состояния здоровья субъекта персональных данных, осуществляется с его согласия в письменной форме, а также без такового, если персональные данные сделаны общедоступными самим субъектом персональных данных.

10.3. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено законодательством. Такая обработка осуществляется только на основании договора, заключённого между Обществом и третьим лицом, в котором должны быть определены:

• перечень действий (операций) с персональными данными, которые будут совершаться третьим лицом;
• цели обработки персональных данных;
• обязанности третьего лица соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке, а также требования к защите обрабатываемых персональных данных.

10.4. Общество осуществляет передачу персональных данных государственным органам в рамках их полномочий в соответствии с законодательством Кыргызской Республики, а также банкам, платёжным организациям и иным участникам расчётов — в объёме, необходимом для исполнения распоряжения субъекта персональных данных и проведения платёжной операции.

10.5. Общество несёт ответственность перед субъектом персональных данных за действия лиц, которым поручает обработку персональных данных субъекта персональных данных.

10.6. Доступ к обрабатываемым персональным данным предоставляется только тем Работникам Общества, которым он необходим в связи с исполнением ими своих должностных обязанностей, с соблюдением принципов персональной ответственности.

10.7. Обработка персональных данных прекращается при достижении целей такой обработки, а также по истечении срока, предусмотренного законом, договором или согласием субъекта персональных данных. При отзыве субъектом персональных данных согласия на обработку его персональных данных Общество вправе продолжить обработку без согласия субъекта, если такая обработка предусмотрена договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных, либо если Общество вправе осуществлять обработку персональных данных без согласия субъекта на основаниях, предусмотренных действующим законодательством Кыргызской Республики.

10.8. Обработка персональных данных осуществляется с соблюдением конфиденциальности, под которой понимается обязанность не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Кыргызской Республики.

10.9. Общество обеспечивает конфиденциальность персональных данных субъекта персональных данных со своей стороны и со стороны своих Работников, имеющих доступ к персональным данным, а также обеспечивает использование персональных данных указанными лицами исключительно в целях, соответствующих закону, договору или иному соглашению, заключённому с субъектом персональных данных.

10.10. Обеспечение безопасности обрабатываемых персональных данных осуществляется Обществом в рамках единой комплексной системы организационно-технических и правовых мероприятий по защите информации с учётом требований действующего законодательства о персональных данных и требований Национального банка Кыргызской Республики к участникам платёжной системы.

11. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов

11.1. Подтверждение факта обработки персональных данных Обществом, правовые основания и цели обработки персональных данных, а также иные сведения в соответствии с требованиями действующего законодательства предоставляются Обществом субъекту персональных данных или его представителю в сроки, установленные законодательством Кыргызской Республики.

11.2. В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.

11.3. Запрос субъекта персональных данных должен содержать:

• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
• подпись субъекта персональных данных или его представителя.

Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с действующим законодательством. Общество предоставляет субъекту персональных данных или его представителю сведения в той форме, в которой направлено соответствующее обращение либо запрос, если иное не указано в обращении или запросе. В случае несоответствия обращения (запроса) требованиям действующего законодательства Общество направляет субъекту персональных данных или его представителю мотивированный отказ в предоставлении сведений. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с требованиями действующего законодательства, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

11.4. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя, по их запросу либо по запросу уполномоченного государственного органа Общество осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. В случае подтверждения факта неточности персональных данных Общество на основании представленных сведений уточняет персональные данные в течение 7 (семи) рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.

11.5. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных, его представителя либо уполномоченного государственного органа Общество осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.

11.6. При выявлении Обществом, уполномоченным государственным органом или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Общество незамедлительно принимает меры по устранению последствий инцидента, проводит внутреннее расследование и уведомляет уполномоченный государственный орган в порядке и сроки, установленные законодательством Кыргызской Республики, с указанием предполагаемых причин инцидента, предполагаемого вреда правам субъектов персональных данных и принятых мер.

11.7. Порядок уничтожения персональных данных Обществом.

11.7.1. Условия и сроки уничтожения персональных данных Обществом:

• достижение цели обработки персональных данных либо утрата необходимости достигать эту цель — в течение 30 дней;
• достижение максимальных сроков хранения документов, содержащих персональные данные, — в течение 30 дней;
• предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, — в течение 7 рабочих дней;
• отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели обработки более не требуется, — в течение 30 дней.

11.7.2. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• Общество не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных действующим законодательством;
• иное не предусмотрено другим соглашением между Обществом и субъектом персональных данных.

11.7.3. Уничтожение персональных данных осуществляет комиссия, созданная в соответствии с приказом генерального директора Общества.

11.7.4. Способы уничтожения персональных данных устанавливаются во внутренних нормативных и (или) распорядительных актах Общества.

12. Меры по обеспечению безопасности персональных данных при их обработке

12.1. При обработке персональных данных Общество принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

12.2. Общество назначает сотрудника, ответственного за организацию обработки персональных данных.

12.3. Обеспечение безопасности персональных данных достигается, в частности:

• определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, установленных законодательством Кыргызской Республики и нормативными актами Национального банка Кыргызской Республики;
• применением средств криптографической защиты информации и шифрования при передаче и хранении данных платёжных операций;
• оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учётом машинных носителей персональных данных;
• обнаружением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер;
• восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учёта действий, совершаемых с персональными данными;
• ознакомлением работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, требованиями к защите персональных данных и внутренними актами по вопросам обработки персональных данных;
• контролем доступа в помещения, в которых осуществляется обработка персональных данных;
• контролем эффективности применяемых мер и средств по обеспечению безопасности персональных данных, а также контролем уровня защищённости информационных систем персональных данных.

13. Трансграничная передача персональных данных и особенности обработки данных резидентов иных государств

13.1. Общество осуществляет деятельность на территории Кыргызской Республики. Трансграничная передача персональных данных осуществляется Обществом только в случаях, когда это необходимо для исполнения договора, стороной которого является субъект персональных данных, для проведения платёжной операции с участием иностранных банков, платёжных систем и иных участников расчётов, либо на основании согласия субъекта персональных данных, и при условии обеспечения принимающей стороной адекватной защиты прав субъектов персональных данных.

13.3. Требования настоящего раздела не ограничивают права субъектов персональных данных, предусмотренные законодательством Кыргызской Республики.

14. Заключительные положения

14.1. Общество, его должностные лица и Работники несут гражданско-правовую, административную и иную ответственность за несоблюдение принципов и условий обработки персональных данных физических лиц, а также за разглашение или незаконное использование персональных данных в соответствии с законодательством Кыргызской Республики.

14.2. Настоящая Политика подлежит пересмотру по мере необходимости, в том числе при изменении законодательства Кыргызской Республики или бизнес-процессов Общества. Актуальная редакция Политики всегда размещена на сайте Общества.

14.3. По всем вопросам, связанным с обработкой персональных данных, в том числе для отзыва согласия, направления запросов и обращений, субъект персональных данных может обратиться в Общество.