Политика конфиденциальности — ОсОО «Дрим Капитал»

Политика

Общества с ограниченной ответственностью «Дрим Капитал»

в отношении обработки и обеспечения защиты информации персонального характера (политика конфиденциальности).

г. Бишкек

1. Общие положения

1.1. Настоящая Политика Общества с ограниченной ответственностью «Дрим Капитал» (далее — Общество) устанавливает порядок обработки, хранения и защиты информации персонального характера физических лиц (далее — субъекты персональных данных), и определяет принципы деятельности Общества в этой сфере в соответствии с Конституцией Кыргызской Республики, Законом Кыргызской Республики от 14 апреля 2008 года № 58 «Об информации персонального характера», а также иными нормативными правовыми актами Кыргызской Республики.

Политика является основополагающим внутренним документом Общества, определяющим обязательные требования к сбору, обработке, передаче и защите персональных данных физических лиц, взаимодействующих с Обществом в рамках трудовых, гражданско-правовых, договорных или иных отношений.

1.2. Действие настоящей Политики распространяется на все персональные данные, которые могут быть получены, собраны, обработаны или сохранены Обществом в процессе его профессиональной, хозяйственной и иной деятельности, включая, но не ограничиваясь:

• данными клиентов и контрагентов;
• данными работников, соискателей и иных лиц, взаимодействующих с Обществом.

Обработка информации персонального характера в Обществе осуществляется строго в соответствии с требованиями законодательства Кыргызской Республики, включая:

• Трудовой кодекс Кыргызской Республики от 23 января 2025 года № 23
• Закон от 14 апреля 2008 года № 58 «Об информации персонального характера»;
• Приказ Государственного агентства по защите персональных данных при Кабинете Министров Кыргызской Республики от «15» апреля 2025 года № 27
• Приложение к приказу Государственного агентства по защите персональных данных при Кабинете Министров Кыргызской Республики от «15» апреля 2025 года № 27
• иные нормативные правовые акты Кыргызской Республики и нормативные документы исполнительных органов государственной власти.

1.3. Цель настоящей Политики заключается в обеспечении полного и неукоснительного соблюдения требований законодательства Кыргызской Республики в области защиты персональных данных, включая Закон КР «Об информации персонального характера».

Настоящая Политика направлена на:

• обеспечение законности и прозрачности обработки персональных данных, включая информирование субъектов о составе, объёме, целях, правовых основаниях и способах обработки их персональных данных;

• гарантирование защиты прав и свобод физических лиц при сборе, хранении, передаче и ином использовании их персональной информации;

• установление единых принципов и стандартов в области обработки и обеспечения безопасности персональных данных в деятельности Общества;

• формирование внутренней системы управления защитой персональных данных, включающей организационные, правовые и технические меры по предупреждению несанкционированного доступа, утраты, изменения или распространения данных;

• регламентацию внутренней практики работы с персональными данными, включая порядок их получения, учета, хранения, актуализации, передачи и уничтожения;

• повышение ответственности сотрудников Общества за соблюдение требований законодательства и внутренних процедур, связанных с защитой информации персонального характера.

1.4. Политика обеспечивает защиту прав и свобод субъектов при обработке их информации персонального характера с использованием средств автоматизации или без использования таких средств, а также устанавливает ответственность лиц, имеющих доступ к персональным данным, за невыполнение требований, регулирующих обработку и защиту персональных данных.

1.5. Пользователи, используя сервисы и услуги Общества, а также сервисы и услуги, размещенные на веб-сайте Общества https://dcapital.kg /, предоставляя Обществу свои персональные данные, дают согласие на их обработку в соответствии с настоящей Политикой и законодательством Кыргызской Республики.

Общество получает и начинает обработку персональных данных исключительно с момента получения от субъекта персональных данных подписанного письменного заявления на бумажном носителе либо электронного документа, подписанного в соответствии с законодательством Кыргызской Республики электронной подписью, если иное прямо не установлено законом.

Перед предоставлением своих персональных данных субъект получает от Общества информацию о:

перечне собираемых данных;

основаниях и целях их обработки;

возможной передаче персональных данных третьим лицам;

ином возможном использовании персональных данных.

В случае отсутствия согласия субъекта персональных данных обработка не осуществляется, за исключением случаев, прямо предусмотренных законодательством Кыргызской Республики.

1.6. Согласие на обработку информации персонального характера может быть отозвано субъектом персональных данных. В случае отзыва субъектом информации персонального характера согласия на обработку информации персонального характера оператор вправе продолжить обработку информации персонального характера без согласия субъекта информации персонального характера при наличии оснований, указанных действующим законодательством.

1.7. Общество оставляет за собой право вносить изменения в настоящую Политику. Актуальная редакция публикуется на веб-сайте Общества с указанием даты последнего обновления. Субъекты персональных данных обязаны самостоятельно отслеживать актуальную редакцию Политики. В случае внесения существенных изменений Общество предпринимает разумные меры для информирования субъектов персональных данных.

1.8. Настоящая Политика распространяется на персональные данные Пользователей Сервисов Общества и сотрудников, включая кандидатов на работу.

Для Пользователей она применяется к информации, получаемой в ходе использования Сервисов Общества. Общество не контролирует и не несет ответственности за обработку данных на сторонних веб-сайтах, переход на которые может осуществляться по ссылкам с официального ресурса Общества.

Для сотрудников и кандидатов Политика охватывает обработку персональных данных в целях трудовых отношений, кадрового и бухгалтерского учета, исполнения требований законодательства, а также обеспечения безопасности и нормального функционирования деятельности Общества.

1.9. Понятия, используемые в настоящей политике:

Информация персонального характера (персональные данные) - зафиксированная информация на материальном носителе о конкретном человеке, отождествленная с конкретным человеком или которая может быть отождествлена с конкретным человеком, позволяющая идентифицировать этого человека прямо или косвенно, посредством ссылки на один или несколько факторов, специфичных для его биологической, экономической, культурной, гражданской или социальной идентичности.

К персональным данным относятся биографические и опознавательные данные, личные характеристики, сведения о семейном положении, финансовом положении, состоянии здоровья и прочее.

Перечень информации персонального характера- список категорий данных об одном субъекте.

Массив информации персонального характера- любая структурированная совокупность информации персонального характера неопределенного числа субъектов, независимо от вида носителя информации и используемых средств их обработки (архивы, картотеки, электронные базы данных и т.п.).

Общедоступные массивы информации персонального характера- массивы персональных данных, доступ к которым не ограничен законодательством, и предназначенные для общего пользования (справочники, телефонные книги, адресные книги и т.п.).

Режим конфиденциальности информации персонального характера- нормативно установленные правила, определяющие ограничения доступа, передачи, предоставления и условия хранения персональных данных.

Субъект информации персонального характера(субъект) - физическое лицо, к которому относятся соответствующие персональные данные.

Держатель (обладатель) массива информации персонального характера- органы государственной власти, органы местного самоуправления и юридические лица, на которые возложены полномочия определять цели, категории информации персонального характера и контролировать сбор, хранение, обработку и использование информации персонального характера в соответствии с настоящим Законом.

Уполномоченный государственный орган по персональным данным (далее - уполномоченный государственный орган) - государственный орган, уполномоченный Правительством Кыргызской Республики осуществлять функции и полномочия по обеспечению соответствия обработки информации персонального характера требованиям настоящего Закона, защите прав субъектов информации персонального характера(субъектов), регистрации держателей (обладателей) массива персональных данных, ведению Реестра держателей массивов персональных данных, другие задачи, функции и полномочия, предусмотренные настоящим Законом.

Обработчик - физическое или юридическое лицо, определяемое держателем (обладателем) персональных данных, которое осуществляет обработку информации персонального характера на основании заключенного с ним договора.

Получатель информации персонального характера- орган государственной власти или органы местного самоуправления, юридические и физические лица, а также субъект информации персонального характера(субъект), которым передаются и предоставляются персональные данные в соответствии с настоящим Законом.

Сбор информации персонального характера- процедура получения информации персонального характера держателем (обладателем) массива информации персонального характера от субъектов этих данных либо из других источников в соответствии с законодательством Кыргызской Республики.

Обработка информации персонального характера- любая операция или набор операций, выполняемых независимо от способов держателем (обладателем) информации персонального характера либо по его поручению, автоматическими средствами или без таковых, в целях сбора, записи, хранения, актуализации, группировки, блокирования, стирания и разрушения персональных данных.

Согласие субъекта информации персонального характера- выраженное в форме, предусмотренной настоящим Законом, свободное, конкретное, безоговорочное и осознанное волеизъявление лица, в соответствии с которым субъект оповещает о своем согласии на осуществление процедур, связанных с обработкой его персональных данных.

Передача информации персонального характера- предоставление держателем (обладателем) информации персонального характера третьим лицам в соответствии с настоящим Законом и международными договорами.

Трансграничная передача информации персонального характера- передача держателем (обладателем) информации персонального характера держателям, находящимся под юрисдикцией других государств.

Актуализация информации персонального характера- оперативное внесение изменений в персональные данные в соответствии с процедурами, установленными действующим законодательством Кыргызской Республики.

Блокирование информации персонального характера- временное прекращение передачи, уточнения, использования и уничтожения персональных данных.

Уничтожение (стирание или разрушение) информации персонального характера- действия держателя (обладателя) информации персонального характера по приведению этих данных в состояние, не позволяющее восстановить их содержание.

Обезличивание информации персонального характера- изъятие из информации персонального характера той их части, которая позволяет отождествить их с конкретным человеком.

Информационная система информации персонального характера- совокупность содержащихся в базах данных информации персонального характера и обеспечивающих их обработку информационных технологий и технических средств.

2. Понятие и состав персональных данных

2.1. В целях настоящей Политики под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному физическому лицу (субъекту информации персонального характера).

2.2. В зависимости от субъекта персональных данных, Общество для осуществления своей деятельности и для выполнения своих обязательств может обрабатывать персональные данные следующих категорий субъектов:

• информации персонального характера работника Общества, кандидата на работу — информация, необходимая Обществу в связи с трудовыми отношениями и касающиеся конкретного работника;
• данные Клиента — информация, необходимая Обществу для выполнения своих обязательств в рамках договорных отношений с Клиентом и для выполнения требований законодательства Кыргызской Республики. Сюда также относятся данные, предоставленные потенциальными клиентами, представителями клиентов, уполномоченными представлять клиентов; руководителями и главным бухгалтерами юридических лиц, являющихся клиентами Общества, лицами, заключившими с Обществом гражданско-правовые договоры на оказание услуг Общества; работниками партнеров Общества и других юридических лиц, имеющих договорные отношения с Обществом, с которым взаимодействуют работники Общества в рамках своей деятельности;
• персональные данные Клиента, предоставленные при регистрации на web-сайте, в том числе при осуществлении Клиентом Заказов, а также при использовании сервисов и форм связи;
• персональные данные иных физических лиц, выразивших согласие на обработку Общества их информации персонального характера или физические лица, обработка информации персонального характера которых необходима Общества для достижения целей, предусмотренных международным договором Кыргызской Республики или законом, для осуществления и выполнения возложенных законодательством Кыргызской Республики на хостинг-провайдера и регистратора доменных имен функций, полномочий и обязанностей;
• персональные данные физических лиц, которые сделаны ими общедоступными, а их обработка не нарушает их прав и соответствует требованиям, установленным Законодательством об информации персонального характера.

2.3. Субъект персональных данных, подпадающий в перечень лиц, указанных в п. 2.2, клиент Общества дает согласие на обработку следующих персональных данных: фамилии, имени, отчества; даты рождения; почтовых адресов (по месту регистрации и для контактов); сведений о гражданстве; номере основного документа, удостоверяющего личность Заказчика, сведений о дате выдачи указанного документа и выдавшем его органе; номерах телефонов; номерах факсов; адресах электронной почты (E-mail).

3. Основания и цели обработки персональных данных

3.1. Общество обрабатывает персональные данные для осуществления своей деятельности, в том числе для оказания Клиентам услуг. Общество вправе:

• осуществлять возложенные на Общество законодательством Кыргызской Республики функции в соответствии с законом №58 «Об информации персонального характера» и иными законами и нормативными правовыми актами КР, а также Уставом и нормативными актами Общества;
• Общество собирает и хранит персональные данные Клиента, необходимые для оказания услуг, исполнения соглашений и договоров, исполнения обязательств перед Клиентом.

3.2. Общество обрабатывает персональные данные только при наличии хотя бы одного из следующих условий:

• обработка информации персонального характера осуществляется с согласия субъекта информации персонального характера на обработку его персональных данных;
• обработка информации персонального характера необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством КР на оператора функций, полномочий и обязанностей;
• обработка информации персонального характера необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта информации персонального характера или договора, по которому субъект информации персонального характера будет являться выгодоприобретателем или поручителем;
• обработка информации персонального характера необходима для осуществления прав и законных интересов Общества или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта информации персонального характера;
• осуществляется обработка информации персонального характера, доступ неограниченного круга лиц к которым предоставлен субъектом информации персонального характера либо по его просьбе;
• осуществляется обработка информации персонального характера, подлежащих опубликованию или обязательному раскрытию в соответствии с законом.

3.3. Общество и иные лица, получившие доступ к информации персонального характера, обязаны не раскрывать третьим лицам и не распространять информации персонального характера без согласия субъекта информации персонального характера, если иное не предусмотрено законом.

3.4. Общество может обрабатывать информацию персонального характера субъектов информации персонального характера в следующих целях:

• для идентификации субъекта информации персонального характера;
• для осуществления возможности регистрации и обслуживания доменного имени;
• для связи с субъектом информации персонального характера в случае необходимости, в том числе направление предложений, уведомлений, информации и запросов, как связанных, так и не связанных с оказанием услуг, а также обработка заявлений, запросов и заявок Клиента;
• улучшение качества услуг, оказываемых Обществом.

3.5. Обработка специальных категорий Персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Обществом не осуществляется.

3.6. Правовыми основаниями обработки информации персонального характера являются следующие правовые акты:

• Закон КР от 2 апреля 1998 года N 31 "Об электрической и почтовой связи";
• Закон от 19 июля 2017 года № 127 «Об электронном управлении»
• Уставные документы Общества;
• Договоры, заключаемые между Обществом и Клиентами в соответствии с имеющимися лицензиями Общества;
• иные акты, принятые уполномоченными государственными органами и организациями, регулирующие деятельность провайдеров, а также регистратора доменных имен в КР.

4. Принципы обработки информации персонального характера

4.1. Обработка информации персонального характера Обществом осуществляется на основе принципов:

• законности целей и способов Обработки информации персонального характера;
• добросовестности Общества, как оператора информации персонального характера, что достигается путем выполнения требований законодательства Кыргызской Республики в отношении Обработки информации персонального характера;
• соответствия состава и объема обрабатываемых информации персонального характера, а также способов Обработки Информации персонального характера заявленным целям Обработки;
• точности и достаточности, а в необходимых случаях и актуальности Информации персонального характера по отношению к заявленным целям их Обработки;
• уничтожения Информации персонального характера по достижении целей Обработки способом, исключающим возможность их восстановления;
• недопустимости объединения баз, данных содержащих информацию персонального характера, обработка которой осуществляется в целях, несовместимых между собой.
• Персональные данные должны храниться не дольше, чем этого требуют цели, для которых они накапливались, и подлежат уничтожению по достижении целей или минованию надобности в них.

4.2. Работники Общества, допущенные к Обработке информации персонального характера, обязаны:

• Знать и неукоснительно выполнять положения:
• законодательства Кыргызской Республики в области информации персонального характера, настоящей Политики;
• локальных актов Общества по вопросам Обработки и обеспечения безопасности информации персонального характера;
• Обрабатывать информацию персонального характера только в рамках выполнения своих должностных обязанностей;
• Не разглашать информацию персонального характера, обрабатываемые в Обществе;
• Сообщать о действиях других лиц, которые могут привести к нарушению положений настоящей Политики;
• Сообщать об известных фактах нарушения требований настоящей Политики Ответственному за организацию Обработки информации персонального характера в Обществе.

4.3. Безопасность информации персонального характера в Обществе обеспечивается выполнением согласованных мероприятий, направленных на предотвращение (нейтрализацию) и устранение угроз безопасности информации персонального характера, минимизацию возможного ущерба.

5. Сроки обработки персональных данных

5.1. Сроки обработки информации персонального характера определяются исходя из целей обработки в информационных системах Общества, в соответствии со сроком действия договора, соглашения с субъектом персональных данных.

5.2. Условием прекращения обработки информации персонального характера может являться достижение целей обработки информации персонального характера согласно условиям, заключенных между Обществом и субъектом информации персонального характера договором, истечение срока действия согласия или отзыв согласия субъекта информации персонального характера на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.

6. Круг лиц, допущенных к обработке информации персонального характера

6.1. Для достижения целей статьи 3 настоящей Политики к обработке информации персонального характера допущены только те сотрудники Общества, на которых возложена такая обязанность в соответствии с их служебными (трудовыми) обязанностями. Доступ других сотрудников может быть предоставлен только в предусмотренных законом случаях. Общество требует от своих сотрудников соблюдения конфиденциальности и обеспечения безопасности персональных данных, при их обработке.

6.2. Общество вправе передать персональные данные третьим лицам в следующих случаях:

• Субъект информации персонального характера явно выразил свое согласие на такие действия;
• Передача предусмотрена национальным или иным применимым законодательством в рамках установленной законодательством процедуры.

При этом к приобретателю переходят все обязательства по соблюдению условий настоящей Политики применительно к полученным им данным.

6.3. По мотивированному запросу уполномоченного органа и согласно действующему законодательству персональные данные субъекта без его согласия могут быть переданы:

• в связи с осуществлением правосудия в судебные органы;
• в органы внутренних дел, ГКНБ, прокуратуры;
• в иные уполномоченные действующим законодательством и применимыми нормами права органы и организации в случаях, установленных в нормативно-правовых актах, обязательных для исполнения оператором.

7. Порядок и методы обработки информации персонального характера

7.1. В процессе предоставления услуг, при осуществлении внутрихозяйственной деятельности Общество использует автоматизированную и неавтоматизированную обработку информации персонального характера.

7.2. Общество вправе поручить Обработку Информации персонального характера другому лицу с согласия Субъекта Персональных данных, если иное не предусмотрено законодательством КР, на основании заключаемого с этим лицом договора, обязательным условием которого является соблюдение этим лицом принципов и правил Обработки Персональных данных, предусмотренных Законом «Об информации персонального характера».

7.3. Персональные данные не раскрываются третьим лицам и не распространяются иным образом без согласия Субъекта информации персонального характера, если иное не предусмотрено законодательством КР.

7.4. Представители органов государственной власти (в том числе, контролирующих, надзорных, правоохранительных и иных органов) получают доступ к информации персонального характера, обрабатываемой в Обществе, в объеме и порядке, установленном законодательством КР.

7.5. В рамках обработки информации персонального характера для Субъекта информации персонального характера и Обществом определены следующие права.

7.5.1. Субъект информации персонального характера имеет право:

• получать информацию, касающуюся обработки его персональных данных, в порядке, форме и сроки, установленные Законодательством об информации персонального характера;
• требовать уточнения своей информации персонального характера, ее Блокирования или Уничтожения в случае, если информация персонального характера является неполной, устаревшей, недостоверной, незаконно полученной, не является необходимой для заявленной цели обработки или используются в целях, не заявленных ранее при предоставлении Субъектом информации персонального характера согласия на обработку персональных данных;
• заключить с Обществом Соглашение о приватном режиме доступа к информации персонального характера клиента
• принимать предусмотренные законом меры по защите своих прав;
• отозвать свое согласие на обработку персональных данных.

7.5.2. Общество имеет право:

• обрабатывать персональные данные Субъекта информации персонального характера в соответствии с заявленной целью;
• требовать от Субъекта информации персонального характера предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта персональных данных, а также в иных случаях, предусмотренных Законодательством о персональных данных;
• ограничить доступ Субъекта информации персонального характера к его персональным данным в случае, если Обработка информации персонального характера осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта информации персонального характера к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством КР;
• обрабатывать общедоступные персональные данные физических лиц;
• осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством КР;
• поручить обработку информации персонального характера другому лицу с согласия Субъекта персональных данных.

7.6. В случае подтверждения факта неточности информации персонального характера или неправомерности их обработки, информация персонального характера подлежит актуализации оператором, а обработка должна быть прекращена.

7.7. При достижении целей обработки информации персонального характера, а также в случае отзыва субъектом информации персонального характера согласия на ее обработку информация персонального характера подлежат уничтожению, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект информации персонального характера;
• Общество не вправе осуществлять обработку без согласия субъекта информации персонального характера на основаниях, предусмотренных законодательством КР;
• иное не предусмотрено иным соглашением между Обществом и субъектом информации персонального характера.

7.8. Общество обязано сообщить субъекту информации персонального характера или его представителю информацию об осуществляемой им обработке информации персонального характера такого субъекта по запросу последнего.

7.9. Общество также обладает иными правами и несет иные обязанности, установленные законом «Об информации персонального характера».

8. Реализация защиты персональных данных

8.1. Деятельность Общества по обработке информации персонального характера в информационных системах неразрывно связана с защитой Общества конфиденциальности полученной информации. Все работники Общества обязаны обеспечивать конфиденциальность персональных данных, а также об иных сведениях, установленных Обществом, если это не противоречит действующему законодательству КР.

8.2. Безопасность информации персонального характера при её обработке в информационных системах Общества обеспечивается посредством функционирования комплексной системы защиты информации.

Обеспечение безопасности персональных данных осуществляется Обществом в рамках единой совокупности организационных, технических и правовых мер, направленных на предотвращение, выявление и устранение угроз безопасности информации, а также на минимизацию возможного ущерба в случае их нарушения.

Система защиты строится с учётом требований законодательства Кыргызской Республики в области информации персонального характера и нормативных правовых актов, принятых во исполнение указанного законодательства, а также внутренних нормативных документов Общества.

8.3. Обмен информацией персонального характера при её обработке в информационных системах Общества осуществляется по каналам связи, обеспеченным сертифицированными средствами защиты информации, гарантирующими конфиденциальность, целостность и недопустимость несанкционированного доступа к передаваемым данным.

8.4. При обработке информации персонального характера в информационных системах Общества обеспечиваются:

• проведение мероприятий, направленных на предотвращение несанкционированного доступа к информации персонального характера и (или) передача ее лицам, не имеющим права доступа к такой информации;
• своевременное обнаружение фактов несанкционированного доступа к информации персонального характера;
• недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
• возможность незамедлительного восстановления информации персонального характера, модифицированной и уничтоженной вследствие несанкционированного доступа к ней;
• постоянный контроль уровня защищенности информации персонального характера.
• назначение должностных лиц, ответственных за организацию обработки и защиты информации персонального характера;
• ограничение состава лиц, имеющих доступ к информации персонального характера;
• ознакомление субъектов с требованиями законодательства и нормативных документов Общества по обработке и защите информации персонального характера;
• производится ознакомление сотрудников Общества, осуществляющих обработку информации персонального характера, c требованиями законодательства КР об информации персонального характера, локальными актами по вопросам обработки информации персонального характера.

8.5. Общество обязано пройти государственную регистрацию в качестве держателя массива персональных данных в уполномоченном государственном органе в соответствии со ст. 16 и ст. 30 Закона КР «О персональных данных».

8.6. Общество разрабатывает и утверждает Перечень персональных данных, подлежащих обработке, с классификацией по категориям субъектов, видам данных и целям их использования.

Перечень включает:

• виды персональных данных, собираемых и обрабатываемых Обществом в отношении каждой категории субъектов (работники, клиенты, контрагенты, кандидаты на трудоустройство и др.);
• правовые основания их обработки;
• цели, для которых осуществляется обработка данных;
• сроки хранения и порядок уничтожения информации по окончании срока обработки;
• перечень лиц (должностей), имеющих доступ к соответствующим категориям данных;
• описание технических и организационных мер, обеспечивающих защиту информации персонального характера.

Разработка и ведение Перечня осуществляется ответственным лицом за организацию обработки персональных данных в тесном взаимодействии с подразделениями Общества, осуществляющими кадровую, клиентскую, бухгалтерскую и иную деятельность, связанную с обработкой персональных данных.

Согласование Перечня с уполномоченным государственным органом по защите персональных данных проводится в порядке, установленном статьёй 18 Закона Кыргызской Республики «О персональных данных».

Общество обязано своевременно вносить изменения в утверждённый Перечень при изменении состава обрабатываемых данных, категорий субъектов или целей обработки, а также по требованию уполномоченного органа. Перечень хранится в Обществе в печатном и (или) электронном виде и является неотъемлемой частью внутренней системы защиты персональных данных, подлежащей внутреннему контролю и проверкам со стороны компетентных органов.

8.7. Общество принимает, внедряет и последовательно реализует организационные, правовые и технические меры защиты персональных данных, в объёме, предусмотренном статьёй 21 Закона Кыргызской Республики «О персональных данных», а также в соответствии с иными нормативными правовыми актами, регулирующими вопросы информационной безопасности.

• Меры защиты направлены на предотвращение несанкционированного доступа, утраты, искажения или неправомерного распространения информации персонального характера и включают в себя, в частности:
• контроль и разграничение доступа к оборудованию, программному обеспечению и информационным системам, используемым для обработки персональных данных, с применением идентификации и аутентификации пользователей;
• учёт и контроль использования машинных носителей информации, содержащих персональные данные, включая их регистрацию, хранение, выдачу и уничтожение в соответствии с установленными процедурами;

• контроль за процессами записи, ввода, передачи и транспортировки персональных данных, обеспечивающий их целостность и исключающий возможность вмешательства посторонних лиц;
• ограничение прав доступа пользователей к персональным данным строго в пределах их должностных обязанностей и в соответствии с принципом минимально необходимого доступа;
• ведение журналов регистрации действий и операций с персональными данными, позволяющих при необходимости установить дату, время, инициатора и характер произведённых изменений или обращений к данным;
• осуществление постоянного мониторинга технических средств защиты, включая своевременное обновление антивирусных и криптографических средств, систем обнаружения вторжений и контроля целостности данных;
• принятие мер по предотвращению несанкционированного чтения, копирования, модификации, блокирования или уничтожения данных, включая использование сертифицированных программно-аппаратных средств защиты информации;
• обеспечение восстановления персональных данных, подвергшихся модификации, удалению или уничтожению вследствие технических сбоев или несанкционированного доступа, с использованием резервного копирования и систем аварийного восстановления;
• обеспечение физической безопасности помещений, в которых расположены серверы и иные устройства, используемые для хранения и обработки персональных данных, с контролем доступа и системой видеонаблюдения;
• проведение регулярных проверок уровня защищённости персональных данных, в том числе внутреннего аудита, а также устранение выявленных нарушений и уязвимостей;
• соблюдение установленных Правительством Кыргызской Республики требований к уровням защищённости персональных данных, а также обеспечение соответствия внутренних процедур и технических решений этим требованиям.
• Внедрение, контроль и совершенствование указанных мер осуществляется ответственным лицом за организацию обработки и защиты персональных данных совместно с подразделениями Общества, обеспечивающими техническую и правовую поддержку процессов обработки персональной информации.

‹ Назад