隐私政策

本隐私及个人数据处理政策（以下简称“本政策”）规定了对网站 https://ecash.kz、网页应用程序和移动应用程序（以下合称“服务”）用户的个人数据进行收集、处理、存储、使用和保护的程序。上述活动由作为包含个人数据的数据库所有者的“Ecash”有限责任合伙企业（企业识别号 BIN 221240028699，以下简称“公司”），以及受公司委托、为实现用户注册流程自动化并提供服务功能访问权限而处理个人数据的“Quiq”有限责任合伙企业（企业识别号 BIN 230140017242，以下简称“运营者”）实施。

本政策依据哈萨克斯坦共和国2013年5月21日第94-V号《个人数据及其保护法》（以下简称“该法”）、哈萨克斯坦共和国2015年11月24日第418-V号《信息化法》以及哈萨克斯坦共和国规范个人数据收集、处理和保护领域关系的其他规范性法律文件制定。

使用服务即表示用户已阅读本政策。对收集和处理个人数据的单独且独立的同意，由用户按照本政策第5节规定的程序作出，并以单独的文件——《个人数据收集和处理同意书》的形式办理。

1. 术语和定义

本政策使用的概念，其含义依该法第1条确定，其中包括：

• 个人数据——与特定的或可据此确定的个人数据主体有关、并记录在电子、纸质和（或）其他物质载体上的信息。
• 个人数据主体（用户）——个人数据所涉及的、使用服务的自然人。
• 包含个人数据的数据库所有者（所有者）——公司，其对包含个人数据的数据库行使占有、使用和处分的权利。
• 包含个人数据的数据库运营者（运营者）——Quiq，其受所有者委托收集、处理和保护个人数据。
• 第三方——不属于主体、所有者和（或）运营者，但因个人数据的收集、处理和保护方面的情况或法律关系而与其相关联的人。
• 个人数据处理——旨在积累、存储、更改、补充、使用、传播、匿名化、封锁和销毁个人数据的行为。
• 个人数据跨境传输——将个人数据传输至外国境内。
• 同意——个人数据主体按照该法第8条规定的程序作出的、对收集和处理个人数据的同意。

2. 收集和处理的个人数据

在用户注册和使用服务时，所有者和运营者收集和处理用户的下列个人数据：

• 姓、名、父称（如身份证明文件中载有）；
• 手机号码和（或）电子邮箱地址；
• 关于作出同意的事实、日期和时间及其文本版本的信息，以及为确认已取得同意而记录的其他技术信息（账户或会话标识符）。

所有者和运营者不收集对于本政策第3节所述目的并非必要的个人数据。

3. 收集和处理个人数据的目的

收集和处理个人数据的目的如下：

• 用户在服务中注册并创建账户；
• 对用户进行身份识别和身份验证，包括通过一次性密码（OTP码）；
• 向用户提供对服务的功能和各项服务的访问权限；
• 确保用户能够登录账户并恢复账户；
• 向用户发送注册、身份验证和使用服务所必需的服务性消息；
• 保障服务的安全，防止对账户的非法访问。

未取得相应的合法依据（必要时包括主体的单独同意），不得将个人数据用于与上述目的不相符的目的。

4. 处理个人数据的法律依据

收集和处理个人数据的法律依据是主体的同意，该同意在服务中注册时以电子形式、通过在界面中勾选默认未勾选的复选框（checkbox）作出。未作出同意，无法完成注册。

同意以能够确认其已被取得的方式作出，符合该法第8条第1款的规定。作出同意的事实、作出同意的日期和时间、账户（会话）标识符以及同意书文本的版本，由所有者在个人数据处理的整个期间内予以记录和保存，并在该期间届满后，在确认处理合法性所需的期限内继续保存。

未经主体同意而收集和处理个人数据的情形，由该法第9条作出穷尽性规定；上述情形均不适用于所有者和运营者在服务范围内的活动，因此取得同意是处理个人数据的必要条件。

5. 所有者和运营者的角色

公司作为包含个人数据的数据库所有者，自主确定处理个人数据的目的和方式。

Quiq作为运营者，仅受公司委托并为公司的利益处理个人数据，其目的是实现用户注册流程自动化、管理账户以及与服务功能进行集成。运营者无权将所获得的个人数据用于未经公司同意的目的，并有义务依照哈萨克斯坦共和国法律的要求对个人数据保密并采取保护措施。

6. 向第三方提供个人数据

除运营者外，用户的个人数据可能提供给所有者和（或）运营者为本政策第3节所述目的而聘用的下列人员：

• 短信和（或）OTP消息发送服务提供商——用于确认注册和登录账户；
• 电子邮件服务提供商——用于发送服务性通知；
• 托管（数据中心）服务提供商——用于存储个人数据。

上述人员系依合同聘用，并有义务依照哈萨克斯坦共和国法律的要求对个人数据保密并采取保护措施。除哈萨克斯坦共和国法律明确规定的情形（包括应国家机关的合法要求）外，不以其他方式向第三方提供个人数据。

7. 个人数据跨境传输

截至本政策批准之日，所有者和运营者不进行个人数据跨境传输，即不将个人数据传输至外国境内，因为运营者以及本政策第6节所列的所有人员均在哈萨克斯坦共和国境内注册并开展活动，其所使用的信息系统和数据库在物理上位于哈萨克斯坦共和国境内。

如上述情况发生变化而需要进行个人数据跨境传输，所有者承诺在开始此类传输之前，使本政策和同意书符合该法第16条的要求，包括核实接收国的法律是否保障对个人数据的保护，并按照本政策第13节规定的程序将此通知用户。

8. 个人数据的存储地点

个人数据存储在物理上位于哈萨克斯坦共和国境内的数据库中，符合该法第12条第2款的规定。所有者确保运营者以及本政策第6节所列其他受聘人员所使用的基础设施遵守该项要求。

9. 个人数据的存储期限和销毁

个人数据的存储期限为实现本政策第3节所述收集和处理目的所必需的期限，以及用户账户的有效期。

在该法第18条规定的情形下，包括存储期限届满时、用户与所有者和（或）运营者之间的法律关系终止时，以及在哈萨克斯坦共和国法律规定的其他情形下，个人数据应予销毁。

10. 个人数据保护措施

所有者和运营者依照该法第20至23条的要求，采取组织性和技术性的个人数据保护措施，以防止未经授权访问、更改、复制、传播或销毁个人数据。用户的个人数据属于限制访问的保密信息，未经用户同意不予披露，也不予传播，但哈萨克斯坦共和国法律规定的情形除外。

11. 个人数据主体的权利

根据该法第24条，用户有权：

• 获取与处理其个人数据有关的信息，但哈萨克斯坦共和国法律规定的情形除外；
• 在其个人数据不完整、过时或不准确时，要求予以核实、更改或补充；
• 按照本政策第12节规定的程序撤回同意；
• 按照哈萨克斯坦共和国法律规定的程序，对所有者和（或）运营者与处理其个人数据有关的行为（不作为）和决定提出申诉。

有关行使上述权利的请求，应按本政策第15节所列的联系方式发送。

12. 撤回同意的程序

用户有权撤回同意，为此应按本政策第15节所列的联系方式向所有者发送相应请求。撤回同意将导致无法继续使用需要注册的服务。

根据该法第8条第2款，如撤回同意与哈萨克斯坦共和国法律相抵触，或者用户对所有者和（或）运营者负有尚未履行的义务，则不得撤回同意。

13. 本政策的修改

所有者有权单方面修改本政策，且无需事先通知用户。本政策的现行版本发布于 https://ecash.kz 以及网页应用程序和移动应用程序中，自发布之时起适用。用户有义务自行关注本政策的现行版本。

如所作修改与此前作出的同意相比，扩大了个人数据处理目的的范围、所收集个人数据的构成或者接收个人数据的人员范围，则只有在按照该法第8条规定的程序取得用户新的同意的条件下，方可将此类修改适用于其生效之前收集的个人数据。

14. 公司责任的限制

公司对下列事项不承担责任：

• 用户在注册和使用服务时自行提供的个人数据的真实性、准确性和完整性；
• 因用户提供不完整、不准确或已失效的数据而导致无法对用户进行身份识别或身份验证，以及由此产生的其他后果；
• 因通信运营商、电子邮件服务提供商或其他不受公司控制的第三方的过错而发生的短信和（或）OTP消息、电子邮件的发送延迟、未送达或其他故障；
• 因用户失去对电话号码、电子邮箱地址或其他账户访问手段的控制而发生的第三方对用户账户的未经授权访问；
• 因不可抗力情况以及哈萨克斯坦共和国国家机关的合法行为（不作为）而产生的损失。

违反哈萨克斯坦共和国个人数据法律要求的责任，依照该法第29条规定的程序产生，不得由本政策予以排除或限制。

15. 最后条款和联系方式

本政策适用哈萨克斯坦共和国法律。本政策个别条款无效，不导致其余条款无效。

就与个人数据处理、行使个人数据主体权利以及撤回同意有关的问题，用户可通过电子邮箱 info@ecash.kz 或电话 +7 701 666 4398 联系。