个人数据处理政策

第一章 总则
1.1. MESSORPROJECTS 有限责任合伙企业（ТОО MESSORPROJECTS / МЕССОР ПРОДЖЕКТС）（以下简称“本公司”）的个人数据处理政策（以下简称“本政策”）确立了个人数据处理的基本原则、目的、条件和方式，个人数据主体及所处理个人数据的范围，本公司在个人数据处理方面的职责，个人数据主体的权利，以及本公司所落实的个人数据保护要求。
1.2. 本政策依据《哈萨克斯坦共和国宪法》、2013年5月21日第94-V号哈萨克斯坦共和国《个人数据及其保护法》（以下简称“《法律》”）以及其他规范性法律文件的要求制定，适用于本公司处理的所有个人数据。此类个人数据可能来自于：
  • 作为与本公司签订民事合同一方的个人数据主体或其代表；
  • 与本公司订立民事合同的法人；
  • 与本公司存在劳动关系的个人数据主体；
  • 本公司办公场所的访客；
  • 本公司网站的访客及任何其他个人数据主体。
本政策符合哈萨克斯坦共和国现行法律法规，并基于以下规范性法律文件制定：
  • 《哈萨克斯坦共和国宪法》；
  • 《哈萨克斯坦共和国劳动法典》；
  • 2013年5月21日哈萨克斯坦共和国《个人数据及其保护法》、2015年11月24日《信息化法》；
  • 哈萨克斯坦共和国数字发展、创新和航空航天工业部部长2020年10月21日第395号《关于批准个人数据收集和处理规则》的命令；
  • 哈萨克斯坦共和国其他规范性法律文件。
1.3. 本公司的本政策同样适用于本公司可能获取的关于本公司 messorprojects.com 网站访客的所有信息。
1.4. 本政策及本公司其他规范个人数据处理事项的内部规章制度中使用的主要术语和定义如下：
  • 生物识别数据（Biometric data） —— 表征个人数据主体的生理和生物学特征、可据以确定其身份的个人数据；
  • 个人数据封存（Blocking of personal data） —— 暂时停止收集、累积、修改、补充、使用、传播、去标识化和销毁个人数据的行为；
  • 个人数据使用（Use of personal data） —— 旨在实现所有者、操作者及第三方业务活动目的而对个人数据采取的行为；
  • 候选人 / 应聘者（Candidate） —— 申请空缺职位的自然人；
  • 个人数据累积（Accumulation of personal data） —— 通过将个人数据录入包含个人数据的数据库以实现个人数据系统化的行为；
  • 个人数据去标识化（De-identification of personal data） —— 导致无法确定个人数据属于特定个人数据主体的行为；
  • 个人数据处理（Processing of personal data） —— 旨在累积、存储、修改、补充、使用、传播、去标识化、封存和销毁个人数据的行为；
  • 公开个人数据（Publicly available personal data） —— 根据哈萨克斯坦共和国法律不适用保密要求、且经主体同意可自由访问的个人数据或信息；
  • 个人数据数据库操作者（以下简称“操作者”，Operator） —— 开展个人数据收集、处理和保护的国家机关、自然人和（或）法人；
  • 个人数据（Personal data） —— 与特定或可据以识别的个人数据主体相关的、记录在电子、纸质和（或）其他有形载体上的信息；
  • 个人数据传播（Dissemination of personal data） —— 导致个人数据被转移的行为，包括通过大众媒体或以任何其他方式提供对个人数据的访问权限；
  • 个人数据收集（Collection of personal data） —— 旨在获取个人数据的行为；
  • 个人数据主体（Personal data subject） —— 个人数据所涉及的自然人；
  • 个人数据跨境传输（Cross-border transfer of personal data） —— 将个人数据转移至外国境内的行为；
  • 个人数据销毁（Destruction of personal data） —— 导致无法恢复个人数据的行为；
  • 个人数据存储（Storage of personal data） —— 确保个人数据完整性、保密性和可用性的行为。

第二章 个人数据处理的原则和目的
2.1. 本公司作为个人数据操作者，对本公司员工以及与本公司不存在劳动关系的其他个人数据主体的个人数据进行处理。
2.2. 本公司进行个人数据处理时，充分考虑保障员工及其他个人数据主体的权利和自由的必要性，包括保护隐私权、个人和家庭秘密的权利，并遵循以下原则：
  • 个人数据的处理在合法、公正的基础上进行；
  • 个人数据的处理与所声明的处理目的相适应，并在该处理的所有阶段确保所有利害关系方利益的公正平衡；
  • 个人数据的处理在取得个人数据主体同意的前提下进行，法律法规另有规定的情形除外；
  • 个人数据的处理具有透明性。可向个人数据主体提供仅与其本人个人数据处理相关的相应信息；
  • 操作者采取措施确保所处理个人数据的真实性和准确性，必要时予以更新；
  • 个人数据的存储形式应当能够识别个人数据主体，且存储期限不得长于实现所声明的个人数据处理目的所需的时间；
  • 个人数据的处理基于对限制访问个人数据的保密性原则开展；
  • 处理来自 messorprojects.com 网站用户的进港查询、物流服务费用测算申请及反馈意见；
  • 保障 messorprojects.com 网站的稳定运行、数据分析与网络安全。
2.3. 本公司处理个人数据出于以下目的：
  • 履行哈萨克斯坦共和国法律赋予本公司的职责、权限和义务，包括向税务机关、哈萨克斯坦共和国统一累积养老基金（UAPF）、哈萨克斯坦共和国国家社会保险基金（GFSS）、社会医疗保险基金（FSMS）以及其他法定主管机关提供个人数据；
  • 规范与本公司员工的劳动关系；
  • 筹备、订立、履行和终止与交易对方（客户及合作伙伴）的合同及其他民事关系；
  • 在开展经营活动范围内行使本公司的权利和合法利益；
  • 招聘和选拔求职候选人；
  • 由本公司开展信息告知、举办活动、推广企划、问卷调查及市场研究；
  • 为确保遵守法律法规所必需的其他合法目的。
第三章 公司处理其个人数据的主体范围
3.1. 本公司处理以下类别的个人数据主体的个人数据：
  • 本公司员工；
  • 本公司员工的亲属；
  • 岗位应聘候选人；
  • 与本公司存在民事法律关系的自然人；
  • 作为本公司交易对方（客户）的自然人；
  • 法人交易对方的员工及其他授权代表；
  • 与本公司产生业务交互从而有必要处理其个人数据的其他主体；
  • 提交申请或使用网站服务的 messorprojects.com 网站用户（访客）。

第四章 公司处理的个人数据清单
4.1. 本公司处理的个人数据范围根据哈萨克斯坦共和国法律及本公司内部规章制度确定，并考量本政策中所述的个人数据处理目的。
4.2. 员工亲属的个人数据包括：
  • 姓、名、父称；
  • 出生日期；
  • 个人识别号（IIN）；
  • 国籍；
  • 护照信息或其他身份证件信息；
  • 户籍 / 住所登记信息；
  • 实际居住地信息；
  • 医疗健康信息（法律规定的情形下）；
  • 社会福利和津贴补助信息；
  • 联系方式。
4.3. 岗位应聘候选人的个人数据包括：
  • 姓、名、父称（以及所有曾用名）；
  • 出生日期及出生地；
  • 个人识别号（IIN）；
  • 国籍；
  • 护照信息或其他身份证件信息；
  • 性别；
  • 婚姻状况及家庭成员构成信息（注明家庭成员的姓名、出生日期、工作和/或学习单位）；
  • 户籍 / 住所登记信息；
  • 实际居住地信息；
  • 学历、进修、专业再培训、学位及学衔信息；
  • 工作履历信息（包括工龄、工作经验、任职记录，注明职位、部门及雇主信息等）；
  • 专业、职业及专业资格 / 技能等级；
  • 兵役登记信息；
  • 医疗健康信息（法律规定的情形下）；
  • 生物识别个人数据（包括照片、闭路监控摄像影像、录音）；
  • 社会福利和津贴补助信息；
  • 联系方式；
  • 获奖及表彰记录；
  • 候选人在填写个性测评问卷过程中提供的信息；候选人简历或申请表中可能注明的其他信息。
4.4. 法人交易对方员工及其他代表的个人数据包括：
  • 姓、名、父称；
  • 护照信息或其他身份证件信息；
  • 个人识别号（IIN）；
  • 户籍 / 住所登记信息；
  • 联系方式；
  • 职务 / 头衔；
  • 履行本公司与交易对方之间相互权利和义务所必需的其他数据。
4.5. 自然人交易对方的个人数据包括：
  • 姓、名、父称；
  • 国籍；
  • 个人识别号（IIN）；
  • 护照信息或其他身份证件信息；
  • 户籍 / 住所登记信息；
  • 银行账户信息；
  • 联系方式；
  • 产权登记证明信息；
  • 履行本公司与交易对方之间相互权利和义务所必需的其他数据。
4.6. 与本公司存在民事法律关系的自然人的个人数据包括：
  • 姓、名、父称（以及所有曾用名）；
  • 出生日期；
  • 国籍；
  • 护照信息或其他身份证件信息；
  • 性别；
  • 暂住地 / 居留地信息；
  • 学历、进修、专业再培训、学位及学衔信息；
  • 银行账户信息；
  • 专业、职业及专业资格；
  • 医疗健康信息（法律规定的情形下）；
  • 生物识别个人数据（包括照片、闭路监控摄像影像、录音）；
  • 社会福利和津贴补助信息；
  • 联系方式；
  • 履行相互权利和义务所必需的其他数据。
4.7. 本公司不处理涉及种族或民族归属、政治观点、工会成员身份、宗教或其他信仰、健康状况或私密生活、受到行政或刑事处罚记录等特殊类别的个人数据，亦不处理基因个人数据。
4.8. messorprojects.com 网站用户的个人数据包括：
  • 姓、名、父称（如有）；
  • 联系电话号码；
  • 电子邮箱地址（e-mail）；
  • 所代表机构名称及职务；
  • 在申请表单中填写的关于所询路线及货物参数的信息；
  • 由设备自动传输的技术数据：IP地址、Cookie数据、浏览器类型、操作系统、网站访问来源渠道。
第五章 公司在开展个人数据处理时的职责
5.1. 本公司在开展个人数据处理时：
  • 采取必要且充分的措施，以确保符合哈萨克斯坦共和国法律及个人数据领域内部规章制度的要求；
  • 采取法律、组织和技术措施，保护个人数据免遭非法或意外访问、销毁、修改、封存、复制、提供、传播以及针对个人数据的其他非法行为；
  • 指定负责对个人数据处理实施内部监督的人员；
  • 颁布确定本公司个人数据处理与保护政策及相关事项的内部规章文件；
  • 使直接开展个人数据处理的本公司员工熟悉哈萨克斯坦共和国法律及本公司个人数据领域内部规章制度的规定（包括个人数据保护要求），并对上述员工开展培训；
  • 发布或以其他方式确保公众可无限制查阅本政策；
  • 在收到有关个人数据主体或其代表的申请和（或）查询时，按规定程序向其告知是否存在涉及该主体的个人数据，并提供查阅此类个人数据的机会，哈萨克斯坦共和国法律另有规定的除外；
  • 在哈萨克斯坦共和国个人数据法律规定的情形下，终止处理并销毁个人数据；
  • 履行哈萨克斯坦共和国个人数据法律规定的其他行为。
第六章 公司处理个人数据的条件
6.1. 个人数据的处理须在取得个人数据主体对其个人数据处理同意的前提下进行，哈萨克斯坦共和国个人数据法律另有规定的除外。
6.2. 未经个人数据主体同意，本公司不得向第三方披露或传播个人数据，哈萨克斯坦共和国法律另有规定的除外。
6.3. 主体或其法定代理人以书面形式、电子文件形式、通过个人数据访问控制服务或以能够证实取得同意事实的其他方式给予（撤回）收集和处理个人数据的同意，包括通过在 messorprojects.com 网站的网页表单中勾选相应确认框（承诺接受）。
6.4. 仅允许负责开展个人数据处理工作的本公司授权员工访问所处理的个人数据。

第七章 个人数据处理行为及处理方式
7.1. 本公司开展的个人数据处理包括对个人数据的收集、系统化、存储、修改、使用、去标识化、封存、传播、提供和删除。
7.2. 个人数据处理通过以下方式进行：
  • 使用自动化工具处理；
  • 不使用自动化工具处理，前提是确保可按特定标准（名单、数据库、登记簿等）检索个人数据和（或）访问个人数据。
7.3. 若外国境内未能对个人数据主体的权利提供适当水平的保护，则禁止向该国跨境传输个人数据，以下情形除外：
  • 主体或其法定代理人明确同意对其个人数据进行跨境传输；
  • 哈萨克斯坦共和国批准的国际条约规定的情形；
  • 为维护宪法制度、保护公共秩序、公民人身权利与自由、保护公众健康和道德风尚所必需，由哈萨克斯坦共和国法律规定的情形；
  • 为保护公民宪法权利与自由，且无法取得主体或其法定代理人同意的情形。
7.4. 本公司对哈萨克斯坦共和国公民个人数据的累积和存储，均在物理位置位于哈萨克斯坦共和国境内的服务器和有形介质上的数据库中进行。

第八章 个人数据主体的权利与义务
8.1. 个人数据主体有权： 获知操作者及第三方是否持有其个人数据，并获取包含以下内容的信息：
  • 收集和处理个人数据的事实确认、目的、来源和处理方式；
  • 个人数据清单；
  • 个人数据处理期限，包括存储期限；
  • 在具备相应证明文件作为依据的情况下，要求操作者修改和补充其个人数据；
  • 在获悉收集、处理个人数据的条件受到侵犯的情况下，要求操作者及第三方封存其个人数据；
  • 在个人数据的收集和处理违反哈萨克斯坦共和国法律，以及本《法律》和哈萨克斯坦共和国其他规范性法律文件规定的其他情形下，要求操作者及第三方销毁其个人数据；
  • 撤回对收集和处理个人数据的同意，哈萨克斯坦共和国法律法规另有规定的除外；
  • 同意（或拒绝）操作者在公开个人数据来源中传播其个人数据；
  • 保护其自身权利和合法利益，包括要求赔偿精神损害和财产损失；
  • 行使本《法律》及哈萨克斯坦共和国其他法律规定的其他权利。
8.2. 个人数据主体有义务：
  • 向操作者提供真实准确的个人数据；
  • 及时向操作者通报其个人数据的变更和补充；
  • 履行哈萨克斯坦共和国法律规定的其他义务。

第九章 公司为确保履行操作者在处理个人数据时的义务所采取的措施
9.1. 为确保履行哈萨克斯坦共和国个人数据法律规定的操作者义务所采取的必要且充分的措施包括：
  • 在取得个人数据主体对处理个人数据的同意之前，向其提供必要信息；
  • 向个人数据主体说明其与个人数据处理相关的法定权利；
  • 取得个人数据主体关于处理其个人数据的书面同意，哈萨克斯坦共和国法律另有规定的除外；
  • 指定负责对个人数据处理实施内部监督的人员；
  • 制定确立本公司个人数据处理政策的规章文件；
  • 使直接开展个人数据处理的员工熟悉个人数据法律法规的规定；
  • 确立对个人数据（包括在信息资源中处理的数据）的访问权限规程；
  • 落实对个人数据的技术保护措施；
  • 在开展此类处理之前，确保公众能够不受限制地查阅（包括通过互联网）确立个人数据处理政策的文件；
  • 在缺乏处理依据时，终止对个人数据的处理；
  • 对不真实或非法获取的个人数据进行修改、封存或删除；
  • 将个人数据处理严格限制在实现预先声明的特定合法目的范围内；
  • 以能够识别个人数据主体的形式存储个人数据，且存储期限不得长于实现所声明的个人数据处理目的所需的时间。
9.2. 在个人数据信息系统中处理个人数据时的安全保障措施，根据本公司规范处理过程中个人数据安全保障事项的内部规章文件予以确立。

第十章 遵守哈萨克斯坦共和国个人数据法律及内部规章（包括个人数据保护要求）的监督
10.1. 对遵守哈萨克斯坦共和国法律及本公司个人数据领域内部规章制度（包括个人数据保护要求）的监督，旨在审查个人数据处理是否符合哈萨克斯坦共和国法律及内部规章（包括保护要求），并审查为预防和发现违反哈萨克斯坦共和国个人数据法律的行为、发现潜在泄密渠道和未经授权访问、以及消除此类违规行为后果而采取的措施。
10.2. 对遵守哈萨克斯坦共和国法律及个人数据领域内部规章制度（包括个人数据保护要求）的内部监督，由本公司内负责组织个人数据处理工作的专职人员负责实施。

第十一章 操作者基本信息及联系方式
  • 企业名称： MESSORPROJECTS 有限责任合伙企业 (ТОО «MESSORPROJECTS»)
  • 商业识别号（BIN）： 221140030637
  • 法定地址： 哈萨克斯坦共和国，阿拉木图市，克里姆·敏巴耶夫街43号，408室 (Республика Казахстан, г. Алматы, ул. Керима Мынбаева 43, офис 408)
  • 个人数据查询及撤回同意电子邮箱： info@messorprojects.com
  • 联系电话： +7 771 929 20 61