ГЛАВА 1
ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Политика обработки персональных данных (далее – Политика) в Товариществе с ограниченной ответственностью «Выставочная компания «Астана-Экспо КС» (далее – Компания) определяет основные принципы, цели, условия и способы обработки персональных данных, перечни субъектов и обрабатываемых персональных данных, функции Компании по обработке персональных данных, права субъектов персональных данных, а также реализуемые в Компанией требования к защите персональных данных.
1.2. Настоящая Политика подготовлена в соответствии с требованиями Конституции Республики Казахстан, Закона Республики Казахстан «О персональных данных и их защите» № 94–V от 21.05.2013 года (далее – Закон), иных нормативных правовых актов и действует в отношении всех персональных данных, обрабатываемых в Компании, которые могут быть получены от субъекта либо от представителя субъекта персональных данных, являющегося стороной по гражданско-правовому договору с Компанией, либо от юридического лица, вступившего с Компанией в гражданско-правовой договор, от субъекта персональных данных, состоящего с Компанией в трудовых отношениях, от посетителя офиса Компании, а также от посетителей Интернет-сайтов Компании и любых иных субъектов персональных данных.
Политика соответствует действующему законодательству РК и составлена на основании нормативных правовых актов:
- Конституция Республики Казахстан;
- Трудовой кодекс Республики Казахстан;
- законы Республики Казахстан от 21.05.2013г. «О персональных данных и их защите», от 24.11.2015г. «Об информатизации»;
Приказ Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 21.10.2020г. «Об утверждении Правил сбора, обработки персональных данных»;
- иные нормативные правовые акты Республики Казахстан.
1.3. Настоящая Политика Компании также применяется ко всей информации, которую Компания может получить о посетителях веб-сайтов Компании, включая astana-expo.com, promweek.kz, kmfexpo.kz, kss-expo.kz, btexpo.kz, moexpo.kz, ibexpo.kz, waterexpo.kz, flora-expo.kz, kadex.kz, digital-aex.com, cds-forum.kz, grow-expo.kz.
1.4. Основные термины и определения, используемые в настоящей Политике и иных локальных правовых актах и документах Компании, регламентирующих вопросы обработки персональных данных:
Биометрические данные – персональные данные, которые характеризуют физиологические и биологические особенности субъекта персональных данных, на основе которых можно установить его личность;
Блокирование персональных данных – действия по временному прекращению сбора, накопления, изменения, дополнения, использования, распространения, обезличивания и уничтожения персональных данных;
Использование персональных данных – действия с персональными данными, направленные на реализацию целей деятельности собственника, оператора и третьего лица;
Кандидат – претендующее на вакантную должность физическое лицо.
Накопление персональных данных – действия по систематизации персональных данных путем их внесения в базу, содержащую персональные данные;
Обезличивание персональных данных – действия, в результате совершения, которых определение принадлежности персональных данных субъекту персональных данных невозможно;
Обработка персональных данных – действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных;
Общедоступные персональные данные – персональные данные или сведения, на которые в соответствии с законодательством Республики Казахстан не распространяются требования соблюдения конфиденциальности, доступ к которым является свободным с согласия субъекта;
Оператор базы, содержащей персональные данные (далее - Оператор) – государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных;
Персональные данные – сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе;
Распространение персональных данных – действия, в результате совершения, которых происходит передача персональных данных, в том числе через средства массовой информации или предоставление доступа к персональным данным каким-либо иным способом;
Сбор персональных данных – действия, направленные на получение персональных данных;
Субъект персональных данных – физическое лицо, к которому относятся персональные данные;
Трансграничная передача персональных данных – передача персональных данных на территорию иностранных государств;
Уничтожение персональных данных – действия, в результате совершения которых невозможно восстановить персональные данные;
Хранение персональных данных – действия по обеспечению целостности, конфиденциальности и доступности персональных данных.

ГЛАВА 2
ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Компания, являясь Оператором персональных данных, осуществляет обработку персональных данных работников Компании и других субъектов персональных данных, не состоящих с Компанией в трудовых отношениях.
2.2. Обработка персональных данных в Компании осуществляется с учетом необходимости обеспечения защиты прав и свобод работников и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:
- обработка персональных данных осуществляется на законной и справедливой основе;
- обработка персональных данных осуществляется соразмерно заявленным целям их обработки и обеспечивает на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц;
- обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательными актами;
- обработка персональных данных носит прозрачный характер. Субъекту персональных данных может предоставляться соответствующая информация, касающаяся обработки исключительно его персональных данных;
- оператор принимает меры по обеспечению достоверности обрабатываемых им персональных данных, при необходимости обновляет их;
- хранение персональных данных осуществляется в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных;
- обработка персональных данных осуществляется на основе конфиденциальности персональных данных ограниченного доступа.
2.3. Персональные данные обрабатываются в Компании в целях:
- осуществления функций, полномочий и обязанностей, возложенных законодательством Республики Казахстан на Компанию, в том числе по предоставлению персональных данных в налоговые органы, Единый накопительный пенсионный фонд Республики Казахстан, в Государственный фонд социального страхования Республики Казахстан, в Фонд социального медицинского страхования, а также в иные органы;
- регулирования трудовых отношений с работниками Компании;
- подготовки, заключения, исполнения и прекращения договоров и иных отношений с контрагентами;
- осуществления прав и законных интересов Компании в рамках осуществления его видов деятельности;
- привлечения и отбора кандидатов на работу;
информирования и проведения Компанией мероприятий, акций, опросов, исследований;
- в иных законных целях, если это необходимо в связи с обеспечением соблюдения законодательства.

ГЛАВА 3
ПЕРЕЧЕНЬ СУБЪЕКТОВ, ПЕРСОНАЛЬНЫЕ ДАННЫЕ КОТОРЫХ
ОБРАБАТЫВАЮТСЯ КОМПАНИЕЙ
3.1. В Компании обрабатываются персональные данные следующих категорий субъектов:
- работники Компании;
- родственники работников Компании;
- кандидаты на рабочие места;
- физические лица, состоящие с Компанией в гражданско-правовых отношениях;
- физических лиц, являющихся контрагентами (клиентами) Компании;
работники и иные представители контрагентов - юридических лиц;
- иных субъектов, взаимодействие которых Компания создает необходимость обработки персональных данных.

ГЛАВА 4
ПЕРЕЧЕНЬ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБАТЫВАЕМЫХ В КОМПАНИИ
4.1. Перечень персональных данных, обрабатываемых в Компании, определяется в соответствии с законодательством Республики Казахстан и локальными правовыми актами Компании с учетом целей обработки персональных данных, указанных в настоящей Политике.
4.2. Персональные данные родственников работников включают:
- фамилию, имя, отчество;
- дату рождения;
- ИИН;
- гражданство;
- паспортные данные или данные иного документа, удостоверяющего личность;
- сведения о регистрации по месту жительства;
- сведения о месте фактического проживания;
- сведения медицинского характера (в случаях, предусмотренных законодательством);
- сведения о социальных льготах и выплатах;
- контактные данные
4.3. Персональные данные кандидатов на рабочие места включают:
- фамилию, имя, отчество (а также все предыдущие фамилии);
- дату и место рождения;
- ИИН;
- гражданство;
- паспортные данные или данные иного документа, удостоверяющего личность;
- пол;
- сведения о семейном положении и составе семьи с указанием фамилий, имен и отчеств членов семьи, даты рождения, места работы и/или учебы;
- сведения о регистрации по месту жительства;
- сведения о месте фактического проживания;
- номер и серию страхового свидетельства государственного социального страхования;
- данные об образовании, повышении квалификации и профессиональной переподготовке, ученой степени, ученом звании;
- сведения о трудовой деятельности (включая стаж и опыт работы, данные о занятости с указанием должности, подразделения, сведений о работодателе и др.);
- специальность, профессию, квалификацию;
- сведения о воинском учете;
- сведения медицинского характера (в случаях, предусмотренных законодательством);
- биометрические персональные данные (включая фотографии, изображения с камер видеонаблюдения, записи голоса);
- сведения о социальных льготах и выплатах;
- контактные данные;
- сведения о награждениях и поощрениях;
- сведения, предоставленные самим кандидатом в ходе заполнения личностных опросников; иные данные, которые могут быть указаны в резюме или анкете кандидата.
4.4. Персональные данные работников и иных представителей контрагентов - юридических лиц включают:
- фамилию, имя, отчество;
- паспортные данные или данные иного документа, удостоверяющего личность;
- ИИН;
- сведения о регистрации по месту жительства;
- контактные данные;
- должность;
иные данные, необходимые для исполнения взаимных прав и обязанностей между Компанией и контрагентом.
4.5. Персональные данные контрагентов - физических лиц включают:
- фамилию, имя, отчество;
- гражданство;
- ИИН;
- паспортные данные или данные иного документа, удостоверяющего;
- сведения о регистрации по месту жительства;
- номер и серию страхового свидетельства государственного социального страхования;
- реквизиты банковского счета;
- идентификационный номер налогоплательщика;
- контактные данные;
- данные свидетельства о регистрации права собственности;
- иные данные, необходимые для исполнения взаимных прав и обязанностей между Компанией и контрагентом.
4.6. Персональные данные физических лиц, состоящих с Компанией в гражданско-правовых отношениях, включают:
- фамилию, имя, отчество (а также все предыдущие фамилии);
- дату рождения;
- гражданство;
- паспортные данные или данные иного документа, удостоверяющего личность;
- пол;
- сведения о месте пребывания;
- номер и серию страхового свидетельства государственного социального страхования;
- данные об образовании, повышении квалификации и профессиональной переподготовке, ученой степени, ученом звании;
- реквизиты банковского счета;
- специальность, профессию, квалификацию;
- сведения медицинского характера (в случаях, предусмотренных законодательством);
- биометрические персональные данные (включая фотографии, изображения с камер видеонаблюдения, записи голоса);
- сведения о социальных льготах и выплатах;
- контактные данные;
- иные данные, необходимые для исполнения взаимных прав и обязанностей.
4.7. Обработка специальных персональных данных, касающихся расовой либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или интимной жизни, привлечения к административной или уголовной ответственности, а также генетических персональных данных, в Компании не осуществляется.

ГЛАВА 5
ФУНКЦИИ КОМПАНИИ ПРИ ОСУЩЕСТВЛЕНИИ
ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Компания при осуществлении обработки персональных данных:
- принимает меры, необходимые и достаточные для обеспечения выполнения требований законодательства Республики Казахстан и локальных правовых актов в области персональных данных;
- принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
- назначает лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных;
- издает локальные правовые акты, определяющие политику и вопросы обработки и защиты персональных данных в Компании;
- осуществляет ознакомление работников Компании, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Республики Казахстан и локальных правовых актов Компании в области персональных данных, в том числе требованиями к защите персональных данных, и обучение указанных работников;
- публикует или иным образом обеспечивает неограниченный доступ к настоящей Политике;
- сообщает в установленном порядке субъектам персональных данных или их представителям информацию о наличии персональных данных, относящихся к соответствующим субъектам, предоставляет возможность ознакомления с этими персональными данными при обращении и (или) поступлении запросов указанных субъектов персональных данных или их представителей, если иное не установлено законодательством Республики Казахстан;
- прекращает обработку и уничтожает персональные данные в случаях, предусмотренных законодательством Республики Казахстан в области персональных данных;
- совершает иные действия, предусмотренные законодательством Республики Казахстан в области персональных данных.

ГЛАВА 6
УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В КОМПАНИИ
6.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Республики Казахстан в области персональных данных.
6.2. Компания без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено законодательством Республики Казахстан.
6.3. Субъект или его законный представитель дает (отзывает) согласие на сбор, обработку персональных данных письменно либо в форме электронного документа.
6.4. Доступ к обрабатываемым персональным данным разрешается только работникам Компании, занимающимися осуществлением обработки персональных данных.

ГЛАВА 7
ПЕРЕЧЕНЬ ДЕЙСТВИЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
И СПОСОБЫ ИХ ОБРАБОТКИ
7.1. Компания осуществляет обработку персональных данных, которая включает в себя сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление и удаление персональных данных.
7.2. Обработка персональных данных осуществляется следующими способами:
- с использованием средств автоматизации;
- без использования средств автоматизации, если при этом обеспечиваются поиск персональных данных и (или) доступ к ним по определенным критериям (списки, базы данных, журналы и др.).
7.3. Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев:
- наличия согласия субъекта или его законного представителя на трансграничную передачу его персональных данных;
- предусмотренных международными договорами, ратифицированными Республикой Казахстан;
- предусмотренных законами Республики Казахстан, если это необходимо в целях защиты конституционного строя, охраны общественного порядка, прав и свобод человека и гражданина, здоровья и нравственности населения;
- защиты конституционных прав и свобод человека и гражданина, если получение согласия субъекта или его законного представителя невозможно.

ГЛАВА 8
ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Субъекты персональных данных имеют право:
знать о наличии у оператора, а также третьего лица своих персональных данных, а также получать информацию, содержащую:
- подтверждение факта, цели, источников, способов сбора и обработки персональных данных;
- перечень персональных данных;
- сроки обработки персональных данных, в том числе сроки их хранения;
- требовать от оператора изменения и дополнения своих персональных данных при наличии оснований, подтвержденных соответствующими документами;
- требовать от оператора, а также третьего лица блокирования своих персональных данных в случае наличия информации о нарушении условий сбора, обработки персональных данных;
- требовать от оператора, а также третьего лица уничтожения своих персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных Законом и иными нормативными правовыми актами Республики Казахстан;
- отозвать согласие на сбор, обработку персональных данных, кроме случаев, предусмотренных законодательными актами Республики Казахстан;
- дать согласие (отказать) оператору на распространение своих персональных данных в общедоступных источниках персональных данных;
- на защиту своих прав и законных интересов, в том числе возмещение морального и материального вреда;
- на осуществление иных прав, предусмотренных Законом и иными законами Республики Казахстан.
8.2. Субъект персональных данных обязан:
- предоставлять оператору достоверные персональные данные;
- своевременно сообщать оператору об изменениях и дополнениях своих персональных данных;
- исполнять иные обязанности, предусмотренные законодательством Республики Казахстан.


ГЛАВА 9
МЕРЫ, ПРИНИМАЕМЫЕ КОМПАНИЕЙ ДЛЯ ОБЕСПЕЧЕНИЯ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ОПЕРАТОРА ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Меры, необходимые и достаточные для обеспечения выполнения обязанностей оператора, предусмотренных законодательством Республики Казахстан в области персональных данных, включают:
- предоставление субъектам персональных данных необходимой информации до получения их согласий на обработку персональных данных;
- разъяснение субъектам персональных данных их прав, связанных с обработкой персональных данных;
- получение письменных согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Республики Казахстан;
- назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
- издание документов, определяющих политику Компании в отношении обработки персональных данных;
- ознакомление работников, непосредственно осуществляющих обработку персональных данных с положениями законодательства о персональных данных;
- установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе;
- осуществление технической защиты персональных данных;
- обеспечение неограниченного доступа, в том числе с использованием глобальной компьютерной сети Интернет, к документам, определяющим политику в отношении обработки персональных данных, до начала такой обработки;
- прекращение обработки персональных данных при отсутствии оснований для их обработки;
- осуществление изменения, блокирования, удаления недостоверных или полученных незаконным путем персональных данных;
- ограничение обработки персональных данных достижением конкретных, заранее заявленных законных целей;
- осуществление хранения персональных данных в форме, позволяющей идентифицировать субъектов персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.
9.2. Меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с локальными правовыми актами Компании, регламентирующими вопросы обеспечения безопасности персональных данных при их обработке.

ГЛАВА 10
КОНТРОЛЬ ЗА СОБЛЮДЕНИЕМ ЗАКОНОДАТЕЛЬСТВА РЕСПУБЛИКИ КАЗАХСТАН И ЛОКАЛЬНЫХ ПРАВОВЫХ АКТОВ В ОБЛАСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, В ТОМ ЧИСЛЕ ТРЕБОВАНИЙ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Контроль за соблюдением законодательства Республики Казахстан и локальных правовых актов Компании в области персональных данных, в том числе требований к защите персональных данных, осуществляется с целью проверки соответствия обработки персональных данных законодательству Республики Казахстан и локальным правовым актам в области персональных данных, в том числе требованиям к защите персональных данных, а также принятых мер, направленных на предотвращение и выявление нарушений законодательства Республики Казахстан в области персональных данных, выявления возможных каналов утечки и несанкционированного доступа к персональным данным, устранения последствий таких нарушений.
10.2. Внутренний контроль за соблюдением законодательства Республики Казахстан и локальных правовых актов в области персональных данных, в том числе требований к защите персональных данных, осуществляется лицом, ответственным за организацию обработки персональных данных в Компании.