ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — Политика) определяет порядок сбора, обработки и защиты персональных данных пользователей сайта https://fondkamkor.kz и мобильного приложения «Tourcode» (далее совместно — Платформа), а также иных физических лиц, персональные данные которых обрабатываются с использованием Платформы.

1.2. Политика разработана в соответствии с Конституцией Республики Казахстан, Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — Закон), Цифровым кодексом Республики Казахстан, Правилами сбора, обработки персональных данных, Правилами осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных, законодательством Республики Казахстан о туристской деятельности и иными нормативными правовыми актами. Политика является документом, определяющим политику Оператора в отношении сбора, обработки и защиты персональных данных, в смысле подпункта 1-1) пункта 2 статьи 25 Закона.

1.3. Оператором является Корпоративный фонд «Туристік Қамқор» (далее — Оператор, Фонд), являющийся собственником и (или) оператором базы и (или) цифрового объекта, содержащего персональные данные, которые обрабатываются с использованием Платформы. Реквизиты Оператора указаны в разделе 16 Политики.

1.4. Политика применяется ко всем персональным данным, которые Оператор получает через Платформу, а также к персональным данным, поступающим Оператору в связи с функционированием Платформы от туроператоров, турагентов и иных участников системы гарантирования прав граждан Республики Казахстан в сфере выездного туризма (далее — Система гарантирования).

1.5. Политика является общедоступной и размещается на Платформе. Ознакомление с Политикой и принятие Пользовательского соглашения не заменяют согласие субъекта на сбор и обработку персональных данных в случаях, когда такое согласие требуется Законом.

1.6. Политика не распространяется на сайты и сервисы третьих лиц, ссылки на которые могут размещаться на Платформе. Обработка персональных данных такими лицами осуществляется по их собственным правилам.

2. Основные понятия

2.1. В Политике используются следующие понятия в значении, установленном Законом:

• персональные данные — сведения или совокупность сведений о субъекте персональных данных, дополненные одним или несколькими идентификаторами персональных данных;
• идентификатор персональных данных — информация, позволяющая идентифицировать субъекта персональных данных или связать отдельные наборы данных о нем в совокупность сведений, позволяющих идентифицировать данного субъекта;
• субъект персональных данных (далее — субъект) — физическое лицо, к которому относятся персональные данные;
• обработка персональных данных — действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, анонимизацию, блокирование, уничтожение и удаление персональных данных;
• персональные данные ограниченного доступа — персональные данные, доступ к которым ограничен законодательством Республики Казахстан;
• третье лицо — лицо, не являющееся субъектом, собственником и (или) оператором, но связанное с ними обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранных государств;
• маскирование персональных данных — процесс защиты информации путем замены части реальных персональных данных на недействительные и (или) обезличенные;
• нарушение безопасности персональных данных — нарушение защиты персональных данных, повлекшее их незаконное распространение, изменение, уничтожение и удаление, несанкционированное распространение или несанкционированный доступ к ним.

2.2. Пользователь — физическое лицо, использующее Платформу. Иные термины используются в значениях, установленных законодательством Республики Казахстан и Пользовательским соглашением.

3. Принципы обработки персональных данных

3.1. Оператор осуществляет сбор, обработку и защиту персональных данных в соответствии с принципами соблюдения конституционных прав и свобод человека и гражданина, законности, конфиденциальности персональных данных ограниченного доступа, равенства прав субъектов, собственников и операторов, обеспечения безопасности личности, общества и государства.

3.2. Сбор и обработка персональных данных ограничиваются достижением конкретных, заранее определенных и законных целей, указанных в разделе 4 Политики. Оператор не обрабатывает персональные данные, содержание и объем которых являются избыточными по отношению к целям их обработки, и использует персональные данные только для ранее заявленных целей их сбора.

3.3. Оператор не собирает и не обрабатывает копии документов, удостоверяющих личность, на бумажном носителе, за исключением случаев, предусмотренных пунктом 10 статьи 7 Закона, и не формирует базы путем нецелевого извлечения персональных данных из общедоступных источников.

4. Состав персональных данных, цели и правовые основания обработки

4.1. Оператор утверждает перечень персональных данных, необходимый и достаточный для выполнения осуществляемых им задач. С использованием Платформы обрабатываются следующие персональные данные:

4.2. Персональные данные собираются только в объеме фактически реализованных функций Платформы. Если функция не реализована, соответствующие персональные данные не собираются. Оператор не запрашивает через Платформу биометрические данные и сведения о состоянии здоровья, за исключением случаев, указанных в пункте 4.1 Политики.

4.3. Технические данные, файлы cookie и иные сведения, не связанные с идентификаторами персональных данных, сами по себе не являются персональными данными. Если такие сведения связываются с идентификатором (например, с учетной записью или номером телефона), они обрабатываются как персональные данные в соответствии с Политикой.

5. Согласие на сбор и обработку персональных данных

5.1. Сбор и обработка персональных данных осуществляются с согласия субъекта или его законного представителя, за исключением случаев, предусмотренных пунктом 5 статьи 7 и статьей 9 Закона.

5.2. Согласие дается письменно, посредством государственного или негосударственного сервиса контроля доступа к персональным данным либо иным способом, позволяющим подтвердить получение согласия. На Платформе согласие дается до начала сбора персональных данных, отдельно от принятия Пользовательского соглашения, путем активного действия субъекта (проставления отметки в поле, не заполненном по умолчанию, и нажатия соответствующей кнопки). При сборе и обработке персональных данных, содержащихся в цифровых объектах государственных органов и (или) государственных юридических лиц, согласие предоставляется посредством государственного сервиса.

5.3. Текст согласия содержит: наименование и бизнес-идентификационный номер Оператора; фамилию, имя, отчество (при наличии) субъекта; срок или период действия согласия; сведения о возможности или отсутствии возможности передачи персональных данных третьим лицам; сведения о наличии либо отсутствии трансграничной передачи; сведения о возможности или отсутствии возможности распространения персональных данных в общедоступных источниках; перечень собираемых данных.

5.4. Срок действия согласия не превышает срок, необходимый для достижения целей сбора и обработки персональных данных, если иное не установлено законами Республики Казахстан или договором. Если срок не указан, согласие действует до достижения целей обработки, определенных при его предоставлении.

5.5. Оператор фиксирует и хранит сведения о факте, дате, времени и способе получения согласия и о редакции его текста, представляет доказательство получения согласия в случаях, предусмотренных законодательством, а также ведет регистрацию и учет действий с персональными данными в части соблюдения срока действия согласия, передачи третьим лицам, трансграничной передачи и распространения в общедоступных источниках.

5.6. Согласие в отношении лица, не достигшего совершеннолетия, или недееспособного лица дается его законным представителем. Пользователь, вводящий на Платформе персональные данные другого лица (в том числе члена семьи или иного участника поездки), подтверждает, что является его законным представителем либо получил согласие такого лица на передачу его персональных данных Оператору.

5.7. В случаях сбора и обработки персональных данных без согласия субъекта на основании статьи 9 Закона Оператор обрабатывает только сведения, необходимые для соответствующей цели, и в пределах, установленных законом.

6. Порядок сбора, обработки и использования

6.1. Персональные данные поступают Оператору: непосредственно от субъекта (его законного представителя) при заполнении форм Платформы; от туроператоров, турагентов и иных участников Системы гарантирования в порядке, установленном законодательством и правилами Системы гарантирования; автоматически — в виде технических данных при использовании Платформы.

6.2. Использование персональных данных в целях, не указанных в Политике и согласии, а также их распространение за рамками ранее заявленных целей осуществляются только с нового согласия субъекта или его законного представителя.

6.3. Для статистических, аналитических и исследовательских целей Оператор использует персональные данные в обезличенном виде.

6.4. Автоматическая проверка туристического кода на Платформе носит информационный характер и сама по себе не порождает, не изменяет и не прекращает права субъекта. Оператор не осуществляет автоматизированную обработку персональных данных, в результате которой у субъекта возникают, изменяются или прекращаются права и законные интересы, без согласия субъекта, за исключением случаев, предусмотренных законами Республики Казахстан. При осуществлении такой обработки Оператор разъясняет субъекту ее порядок и возможные последствия, обеспечивает возможность заявить возражение и рассматривает его в течение трех рабочих дней со дня получения.

7. Хранение персональных данных

7.1. Персональные данные, включая резервные копии, хранятся в базе и (или) цифровом объекте, находящихся на территории Республики Казахстан: Дата-центр АО «Казахтелеком», г. Алматы, мкр. Коктем-3, АТС-47.

7.2. Срок хранения персональных данных определяется датой достижения целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан. Оператор устанавливает следующие сроки хранения:

• данные учетной записи — до удаления учетной записи и в течение 3 лет после этого;
• обращения и переписка — 3 года с даты предоставления ответа;
• сведения о туристе и поездке в Системе гарантирования — 3 года;
• сведения о согласиях и их отзыве — в течение срока действия согласия и 3 года после его прекращения в целях подтверждения законности обработки;
• технические журналы — 3 года; файлы cookie — в пределах сроков, указанных в разделе 11 Политики.

7.3. По истечении срока хранения, при прекращении правоотношений с субъектом, при вступлении в силу решения суда, при выявлении сбора и обработки без согласия (если согласие требовалось) и в иных случаях, установленных законодательством, персональные данные уничтожаются или удаляются либо, если это допускается законодательством, анонимизируются или обезличиваются.

8. Передача персональных данных третьим лицам

8.1. Передача персональных данных третьим лицам осуществляется при наличии согласия субъекта либо в случаях, предусмотренных законами Республики Казахстан, и только в объеме, необходимом для соответствующей цели.

8.2. Получателями персональных данных могут являться:

• туроператоры и турагенты — участники Системы гарантирования — в части сведений о поездке и обращении туриста;
• уполномоченный орган в сфере туристской деятельности и иные государственные органы — при наличии оснований, предусмотренных законами Республики Казахстан;
• Министерство иностранных дел Республики Казахстан и загранучреждения Республики Казахстан, перевозчики, средства размещения, страховые организации и принимающие стороны — в объеме, необходимом для оказания экстренной помощи и возвращения туриста;
• лица, оказывающие Оператору услуги по хостингу, разработке, технической поддержке Платформы, рассылке SMS- и push-уведомлений: сервис https://mobizon.kz;
• суды, правоохранительные и иные уполномоченные органы — в случаях и порядке, установленных законами Республики Казахстан.

8.3. Оператор передает персональные данные третьим лицам только при условии принятия ими обязательств по обеспечению конфиденциальности и защиты персональных данных в соответствии с Законом, закрепленных договором. Доступ к персональным данным не предоставляется лицам, которые отказываются принять такие обязательства или не могут их обеспечить.

8.4. Персональные данные ограниченного доступа передаются третьим лицам по защищенным каналам связи и (или) с применением шифрования.

8.5. Если согласием предусмотрено условие об уведомлении субъекта о передаче его персональных данных третьему лицу, Оператор уведомляет субъекта в течение десяти рабочих дней, если иное не предусмотрено законами Республики Казахстан.

8.6. Оператор не продает персональные данные и не передает их третьим лицам для целей рекламы или маркетинга.

9. Трансграничная передача персональных данных

9.1. Трансграничная передача персональных данных осуществляется в случаях, указанных в пункте 9.2 Политики. Трансграничная передача не отменяет обязанности хранения персональных данных на территории Республики Казахстан.

9.2. Трансграничная передача может осуществляться в случаях: оказания экстренной помощи туристу в стране пребывания — средствам размещения, перевозчикам, принимающим сторонам и иным лицам в стране пребывания.

9.3. Трансграничная передача осуществляется на территорию иностранных государств, обеспечивающих защиту персональных данных. Передача на территорию государств, не обеспечивающих защиту персональных данных, допускается только при наличии согласия субъекта на трансграничную передачу, в случаях, предусмотренных международными договорами, ратифицированными Республикой Казахстан, законами Республики Казахстан, а также для защиты конституционных прав и свобод человека и гражданина, если получение согласия невозможно.

10. Распространение в общедоступных источниках

10.1. Оператор не распространяет персональные данные в общедоступных источниках без согласия субъекта или его законного представителя, за исключением случаев, когда обязанность такого размещения установлена законами Республики Казахстан. В таких случаях персональные данные, не подлежащие распространению, защищаются путем маскирования.

10.2. Результаты проверки туристического кода предоставляются лицу, осуществившему проверку, без раскрытия персональных данных ограниченного доступа; идентифицирующие сведения о туристе отображаются в маскированном виде.

11. Файлы cookie и аналогичные технологии

11.1. На сайте используются файлы cookie, а в мобильном приложении — аналогичные технологии (идентификаторы устройства и программные компоненты):

• обязательные — для авторизации, обеспечения безопасности и сохранения настроек; без них Платформа не может работать корректно.

11.2. Пользователь может в любой момент изменить настройки cookie в баннере Платформы или в браузере, а также отозвать разрешения в настройках устройства. Отказ от обязательных cookie может ограничить функциональность Платформы.

12. Меры по защите персональных данных

12.1. Оператор принимает правовые, организационные и технические меры по защите персональных данных в соответствии с Законом и порядком, определяемым уполномоченным органом в сфере защиты персональных данных, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных, утверждает перечень персональных данных и внутренние документы по их обработке и защите;
• ограничивает доступ работников к персональным данным в пределах их должностных обязанностей; лица, получившие доступ, обязаны обеспечивать их конфиденциальность;
• применяет шифрование при передаче и хранении персональных данных, методы маскирования и хеширования, контроль и журналирование доступа, резервное копирование, антивирусную защиту и межсетевое экранирование;
• обеспечивает предотвращение несанкционированного доступа к персональным данным, своевременное обнаружение такого доступа и минимизацию его неблагоприятных последствий;
• предоставляет доступ государственной технической службе к цифровым объектам, обрабатывающим персональные данные ограниченного доступа, для обследования обеспечения их защищенности в порядке, определяемом уполномоченным органом;
• определяет свою категорию как собственника и (или) оператора в соответствии со статьей 25-1 Закона и в случаях, предусмотренных статьей 10-1 Закона, уведомляет уполномоченный орган о начале и прекращении обработки персональных данных.

12.2. В случае обнаружения нарушения безопасности персональных данных Оператор в течение одного рабочего дня с момента обнаружения уведомляет об этом уполномоченный орган с указанием контактных данных лица, ответственного за организацию обработки персональных данных, и принимает меры по минимизации последствий нарушения.

12.3. Обязанности Оператора по защите персональных данных возникают с момента их сбора и действуют до их уничтожения, удаления, анонимизации либо обезличивания.

13. Права субъекта персональных данных

13.1. Субъект имеет право:

• знать о наличии у Оператора, а также третьего лица своих персональных данных и получать информацию, содержащую подтверждение факта, цели, источников, способов сбора и обработки персональных данных, перечень персональных данных, сроки обработки, в том числе сроки хранения;
• требовать изменения и дополнения своих персональных данных при наличии оснований, подтвержденных соответствующими документами;
• требовать блокирования и (или) анонимизации своих персональных данных в случае наличия информации о нарушении условий их сбора, обработки;
• требовать уничтожения или удаления своих персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных законодательством;
• отозвать согласие на сбор, обработку, распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу персональных данных, кроме случаев, предусмотренных пунктом 2 статьи 8 Закона;
• дать согласие (отказать) на распространение своих персональных данных в общедоступных источниках;
• заявить возражение против автоматизированной обработки своих персональных данных;
• на защиту своих прав и законных интересов, в том числе на возмещение морального и материального вреда, и на осуществление иных прав, предусмотренных законами Республики Казахстан.

13.2. Субъект обязан представлять свои персональные данные в случаях, установленных законами Республики Казахстан.

14. Порядок реализации прав субъекта и сроки

14.1. Обращение (запрос) субъекта или его законного представителя подается Оператору письменно, в форме электронного документа либо иным способом с применением элементов защитных действий по контактам, указанным в разделе 16 Политики. Оператор вправе запросить сведения, необходимые для идентификации заявителя.

14.2. Оператор безвозмездно предоставляет субъекту возможность ознакомления с относящимися к нему персональными данными и сообщает запрошенную информацию в сроки, предусмотренные законодательством Республики Казахстан. В случае отказа в предоставлении информации Оператор направляет мотивированный ответ.

14.3. В течение одного рабочего дня Оператор: изменяет и (или) дополняет персональные данные на основании документов, подтверждающих их достоверность, либо уничтожает или удаляет их при невозможности изменения или дополнения; блокирует персональные данные при наличии информации о нарушении условий их сбора, обработки; уничтожает или удаляет персональные данные при подтверждении факта их сбора, обработки с нарушением законодательства; снимает блокирование при неподтверждении факта нарушения.

14.4. При отзыве согласия Оператор в течение пятнадцати рабочих дней прекращает обработку персональных данных, если их хранение или обработка не требуются в соответствии с законодательством Республики Казахстан, либо представляет мотивированный отказ. Согласие не может быть отозвано, если это противоречит законам Республики Казахстан, либо при наличии неисполненного обязательства.

14.5. Возражение против автоматизированной обработки персональных данных рассматривается в течение трех рабочих дней со дня его получения, о результатах рассмотрения субъект уведомляется.

14.6. Субъект вправе обжаловать действия (бездействие) Оператора в уполномоченный орган в сфере защиты персональных данных, местный исполнительный орган области, города республиканского значения или столицы либо в суд в порядке, установленном законами Республики Казахстан.

15. Изменение Политики

15.1. Оператор вправе изменять Политику при изменении законодательства Республики Казахстан, функционала Платформы или процессов обработки персональных данных. Новая редакция размещается на Платформе с указанием даты вступления в силу и номера редакции; предыдущие редакции хранятся Оператором.

15.2. Если изменения затрагивают сведения, включенные в согласие (перечень данных, срок, передачу третьим лицам, трансграничную передачу, распространение в общедоступных источниках), Оператор получает новое согласие субъекта до применения таких изменений.

16. Реквизиты и контакты Оператора