隐私与个人数据处理政策

1. 总则

1.1. 本隐私与个人数据处理政策（以下简称"政策"）依据吉尔吉斯共和国《个人性质信息法》第四条第二款的要求制定，确定“Royal Group LTD”有限责任公司（ОсОО "Роял Групп ЛТД"，以下简称"持有人/处理者"）处理个人数据的法律与组织依据。

1.2. 本政策旨在保障处理个人数据时数据主体的权利与自由，适用于持有人/处理者以自动化方式或非自动化方式实施的一切个人数据操作。

2. 双方的权利与义务

2.1. 数据主体有权：

• 获得关于持有人/处理者所处理的其个人数据的完整信息；
• 访问其个人数据，包括获取任何含有其个人数据的记录副本的权利，但吉尔吉斯共和国《个人性质信息法》规定的情形除外；
• 在个人数据不完整、过时、不准确、非法取得或对于声明的处理目的并非必要的情况下，要求更正、封存或销毁其个人数据；
• 采取法律规定的措施保护自身权利，包括向个人数据授权国家机关提出申请；
• 行使吉尔吉斯共和国法律规定的其他权利。

2.2. 数据主体有义务：

• 仅向持有人/处理者提供关于本人的真实数据；
• 在处理目的所必需的范围内提供含有个人数据的文件；
• 就其个人数据的更正（更新、变更）通知持有人/处理者。

2.3. 持有人/处理者有权：

• 从数据主体处获取真实的信息和/或含有个人数据的文件；
• 对数据主体所提供的个人数据进行核实。
• 在必要时向第三方转移数据主体的个人数据

2.4. 持有人/处理者有义务：

• 按照吉尔吉斯共和国《个人性质信息法》规定的程序处理个人数据；
• 审理数据主体关于个人数据处理问题的申请，并自申请提交之日起不超过 7 日内作出答复；
• 为数据主体提供免费访问其个人数据的可能；
• 应数据主体的申请采取更新个人数据的措施；
• 依照吉尔吉斯共和国法律的要求组织个人数据的保护。

3. 所处理个人数据的范围与类别

3.1. 持有人/处理者依照本政策及吉尔吉斯共和国法律，收集、使用并保护数据主体以任何形式沟通时所提供的个人数据。

3.2. 持有人/处理者处理下列数据主体的个人数据：姓、名、父称、国籍、性别、出生日期、出生地、个人识别号/纳税人识别号、实际居住地址、电话号码、电子邮箱、通信地址、学历、资质、最近工作单位、最近工作单位的评鉴、结算账户、证书与许可证、与劳动条件相关的医疗信息、指纹、声音数据、面部图像、IP 地址、设备标识符、Cookies 及浏览器会话数据、指纹、声音数据、面部图像、社交网络账号、偏好、兴趣、购买记录、用户在网站上的行为、机构名称及机构创始人信息

3.3. 持有人/处理者所处理的个人数据特殊类别包括：

• 民族归属
• 数字照片
• 视频录像
• 指纹

3.4. 持有人确保所处理个人数据的内容与范围符合声明的处理目的，并在必要时采取措施消除其相对于声明目的的冗余。

3.5. 对揭示种族或民族出身、民族归属、政治观点、宗教或哲学信仰，以及涉及健康状况和私生活的个人数据特殊类别，持有人/处理者不予处理／严格依照吉尔吉斯共和国《个人性质信息法》第八条进行处理。

3.6. 个人数据清单及数据主体类别可由持有人重新审定，但须在本政策中强制记载相关变更，并以任何可行方式（官方网站、公告、推送通知、发送电子邮件等）通知数据主体

4. 收集个人数据的目的

4.1. 持有人/处理者基于下列预先确定且合法的目的处理个人数据：

• 为使用信息系统而授予访问权限
• 为保障对本地信息资源的访问
• 为提供咨询帮助
• 签订劳动合同
• 签订、履行与终止民事法律合同
• 为用户提供对网站所含服务、信息和/或资料的访问
• 实习的进行

5. 处理个人数据的法律依据

5.1. 持有人/处理者处理个人数据的法律依据为：

• 吉尔吉斯共和国劳动法典；
• 吉尔吉斯共和国民法典；
• 吉尔吉斯共和国《个人性质信息法》；
• 持有人/处理者的章程性文件；
• 持有人/处理者与数据主体之间签订的合同；
• 数据主体对个人数据处理的同意；

6. 个人数据处理的程序与条件

6.1. 持有人/处理者以自动化方式处理个人数据。

6.2. 持有人/处理者实施的个人数据处理，包括为收集、记录、存储、更新、分组、封存、擦除和销毁个人数据之目的，不论采用何种方式，借助或不借助自动化手段所执行的任何操作或操作组合。

6.3. 个人数据的处理以取得数据主体的同意（以下简称"同意"）为条件，但法律规定的可以在无此类同意的情况下处理个人数据的情形除外。

6.4. 通知数据主体的方式为：电子邮件、电话呼叫、短信、邮政通知、官方网站、用户个人账户、社交网络、推送通知、交互式语音应答（IVR）

6.5. 数据主体自行决定是否提供其个人数据，并以纸质书面形式、电子文件形式，或通过持有人/处理者的应用程序及网站的注册界面提供。

6.6. 终止个人数据处理的条件可以是：达到个人数据处理目的、个人数据的更新，以及发现个人数据的非法处理。

6.7. 为达到处理目的，在取得数据主体同意的情况下，持有人/处理者有权向第三方转移个人数据，条件是数据接收方负有遵守该等数据保密制度的义务。

6.8. 持有人/处理者在处理个人数据时，采取或确保采取必要的法律、组织与技术措施，保护个人数据免遭非法或偶然的访问、销毁、变更、封存、复制、提供、传播，以及其他针对个人数据的非法行为。

6.9. 个人数据的存储时间不得超过实现其收集目的所必需的期限。存储期限仅可为数据主体的利益或在吉尔吉斯共和国法律规定的情况下延长。

7. 个人数据的更新、更正、删除与销毁，以及对数据主体访问请求的答复

7.1. 在确认个人数据不真实或其处理不合法的情况下，视持有人/处理者收集、存储和处理该等个人数据的合法性，个人数据应予更新、封存或销毁，或相应地终止对其的处理。

7.2. 就个人数据不真实或其处理不合法的事实，数据主体有权直接向持有人提出申请，或向个人数据授权国家机关提出申请。

7.3. 应数据主体的书面请求，持有人/处理者有义务告知其所实施的个人数据处理情况，并载明下列信息：

• 持有人/处理者处理个人数据这一事实的确认；
• 个人数据处理的法律依据与目的；
• 持有人/处理者处理个人数据的目的与所采用的方式；
• 持有人的名称与所在地，以及有权访问个人数据或依据与个人数据集合持有人签订的合同或依据法律可以获得个人数据的人员信息（持有人的员工除外）；
• 与相应数据主体有关的所处理的个人数据及其取得来源；
• 个人数据的处理期限，包括其存储期限；
• 数据主体就个人数据的更新、封存与销毁行使其权利的程序；
• 关于已实施或拟实施的跨境数据转移的信息。

7.4. 如数据主体无权访问所请求的信息，则向其发出附理由的拒绝答复。

7.5. 存储期限届满并达到个人数据收集目的后，个人数据应在两周内销毁。销毁以记录文件确认，其副本可应数据主体的书面请求交付予其。

8. 最终条款

8.1. 与个人数据处理有关但未在本政策中体现的一切关系，依照吉尔吉斯共和国《个人性质信息法》的规定予以调整。

8.2. 持有人/处理者有权对本政策作出修改。作出修改时，现行版本中注明最后更新日期。政策新版本自其公开发布以供查阅之时起生效，但须在新版本发布日期前至少 14 个工作日强制预先公告拟议的修改。