Политика ТОО «ЛОМБАРД EXPRESS CREDIT» в отношении сбора, обработки и защиты персональных данных

Утверждена приказом директора ТОО «ЛОМБАРД EXPRESS CREDIT» от 24.10.2026 № 13. Вводится в действие с даты размещения на интернет-ресурсе Ломбарда.

Тексты на казахском и русском языках имеют одинаковую силу. Қазақша

1. Общие положения

1.1. Настоящая Политика ТОО «ЛОМБАРД EXPRESS CREDIT» в отношении сбора, обработки и защиты персональных данных (далее — Политика) определяет цели, основания, порядок и условия сбора, обработки, хранения, передачи и защиты персональных данных, а также меры по обеспечению прав субъектов персональных данных.

1.2. Политика разработана в соответствии с Конституцией Республики Казахстан, Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите», Правилами сбора, обработки персональных данных, утвержденными приказом от 21 октября 2020 года № 395/НҚ, Правилами определения перечня персональных данных, необходимого и достаточного для выполнения задач, утвержденными приказом от 21 июня 2023 года № 199/НҚ, Правилами осуществления мер по защите персональных данных, утвержденными приказом от 12 июня 2023 года № 179/НҚ, требованиями к маскированию и хешированию персональных данных, утвержденными приказом от 3 сентября 2026 года № 535/НҚ, Законом Республики Казахстан «Об искусственном интеллекте», иными нормативными правовыми актами Республики Казахстан, включая законодательство о микрофинансовой деятельности, противодействии легализации (отмыванию) доходов, бухгалтерском учете, архивном деле и защите прав потребителей.

1.3. Собственником и оператором базы, содержащей персональные данные, является Товарищество с ограниченной ответственностью «ЛОМБАРД EXPRESS CREDIT» (далее — Ломбард), БИН 160140023509, лицензия на осуществление микрофинансовой деятельности № 02.21.0050.L от 26 марта 2021 года: адрес 070019, Республика Казахстан, г. Усть-Каменогорск, ул. Казахстан, 75; интернет-ресурс www.expresscredit.kz; электронная почта info@expresscredit.kz.

1.4. Политика распространяется на обработку персональных данных на бумажных и электронных носителях в головном офисе и структурных подразделениях Ломбарда, на его интернет-ресурсе и в используемых им информационных системах. Требования Политики обязательны для работников Ломбарда и привлеченных лиц, получающих доступ к персональным данным.

1.5. Субъектами персональных данных являются заявители, заемщики, залогодатели, получатели заложенного имущества, их представители, наследники и иные правопреемники; посетители помещений; пользователи интернет-ресурса; работники и кандидаты; представители контрагентов; иные физические лица, сведения о которых законно обрабатывает Ломбард.

1.6. Термины «персональные данные», «биометрические данные», «сбор», «обработка», «распространение», «передача третьим лицам», «трансграничная передача», «блокирование», «обезличивание», «уничтожение», «нарушение безопасности персональных данных», «собственник» и «оператор» применяются в значениях, установленных законодательством Республики Казахстан.

1.7. Политика является открытым документом. Ознакомление с Политикой само по себе не является согласием субъекта на сбор и обработку персональных данных и не заменяет получение отдельного, подтверждаемого согласия в случаях, когда такое согласие требуется законом.

2. Принципы обработки персональных данных

2.1. Ломбард обрабатывает персональные данные законно, добросовестно и только для конкретных, заранее определенных и законных целей.

2.2. Состав и объем обрабатываемых данных должны быть необходимыми и достаточными для соответствующей цели. Сбор избыточных данных, а также использование данных для несовместимых с первоначальной целью задач не допускаются.

2.3. Ломбард обеспечивает точность и актуальность персональных данных в пределах, необходимых для целей обработки, а также принимает меры по их исправлению, блокированию или уничтожению в случаях, установленных законом.

2.4. Доступ к персональным данным предоставляется только тем работникам и привлеченным лицам, которым он необходим для исполнения должностных или договорных обязанностей, в объеме такого доступа.

2.5. Обязанность защищать персональные данные возникает с момента их сбора и действует до уничтожения либо надлежащего обезличивания.

3. Состав персональных данных

3.1. Ломбард обрабатывает только те персональные данные, которые включены в утвержденный Перечень персональных данных, необходимый и достаточный для выполнения осуществляемых задач. Перечень приведен в приложении 1 к Политике и является ее неотъемлемой частью.

3.2. В зависимости от цели обработки могут обрабатываться идентификационные, контактные, договорные, финансовые, платежные, кредитные, имущественные и иные сведения, прямо относящиеся к предоставлению микрокредита, исполнению обязательств, урегулированию задолженности, рассмотрению обращения либо выполнению обязанности Ломбарда по закону.

3.3. Сбор и обработка бумажных копий документов, удостоверяющих личность, запрещаются, кроме случаев отсутствия необходимой интеграции с цифровыми объектами государственных органов или государственных юридических лиц, невозможности идентификации субъекта технологическими средствами либо иных случаев, прямо предусмотренных законами Республики Казахстан. При наличии технической возможности Ломбард использует сервис цифровых документов и не требует бумажную копию документа.

3.4. Сведения о здоровье, социальном статусе, доходах и иных обстоятельствах частной жизни обрабатываются лишь тогда, когда они необходимы для рассмотрения заявления о реструктуризации, предоставления предусмотренных законом льгот, подтверждения платежеспособности или исполнения иной законной обязанности, и только при наличии соответствующего правового основания.

3.5. Изображение лица, полученное системой видеонаблюдения, обрабатывается в целях безопасности. Оно не используется для создания биометрического вектора или автоматической идентификации лица, если Ломбард не ввел такую обработку на отдельном законном основании с предварительным уведомлением субъектов и, когда требуется, получением отдельного согласия.

4. Цели обработки персональных данных

4.1. Ломбард обрабатывает персональные данные для приема и рассмотрения заявки на микрокредит, идентификации и проверки полномочий заявителя или представителя, оценки возможности заключения договора, проверки кредитоспособности и предотвращения мошенничества.

4.2. Данные обрабатываются для заключения и исполнения договора о предоставлении микрокредита и договора о залоге, оформления реестра залоговых билетов, залогового билета, дополнительных соглашений и иных документов по договору, оценки, фотографирования, учета, хранения и реализации предмета залога либо его возврата законному получателю.

4.3. Данные обрабатываются для выдачи микрокредита, приема платежей, расчета вознаграждения и задолженности, ведения лицевого учета, направления предусмотренных договором и законом уведомлений, приема заявлений об изменении условий договора и урегулирования просроченной задолженности.

4.4. Данные обрабатываются для получения кредитного отчета и передачи информации в кредитные бюро в случаях и порядке, установленных законодательством, а также для исполнения обязанностей по противодействию легализации (отмыванию) доходов, финансированию терроризма и финансированию распространения оружия массового уничтожения.

4.5. Данные обрабатываются для рассмотрения обращений, жалоб и претензий, разрешения споров, защиты прав и законных интересов Ломбарда и субъекта, взаимодействия с микрофинансовым омбудсманом, судами, нотариусами, частными судебными исполнителями и государственными органами.

4.6. Данные обрабатываются для ведения бухгалтерского, налогового, управленческого и статистического учета, формирования обязательной отчетности, внутреннего контроля, аудита, управления рисками, информационной безопасности и обеспечения непрерывности деятельности.

4.7. Данные работников, кандидатов и представителей контрагентов обрабатываются для заключения и исполнения трудовых и гражданско-правовых договоров, кадрового и воинского учета, охраны труда, начисления выплат, закупок, проверки полномочий и деловой коммуникации.

4.8. Рекламные и маркетинговые сообщения с использованием персональных данных направляются только на основании отдельного добровольного согласия. Отказ от маркетинга не влияет на возможность получения основной услуги. Субъект вправе в любое время отказаться от таких сообщений.

4.9. Данные обрабатываются для предоставления Заемщику доступа к документам по договору в разделе «Мой договор» на интернет-ресурсе (вход по ИИН и коду доступа; журнал входов — дата, время, документ, сетевой адрес) и для оплаты продления онлайн (номер заказа, сумма, дата и результат оплаты, маскированный номер карты в том виде, в каком его сообщает банк).

4.10. Для сверки фотографий предметов заклада на весах с данными о весе и для подготовки проектов ответов на обращения Ломбард использует сервисы на основе искусственного интеллекта. В такие сервисы передаются только фотографии изделий без изображения людей и документов, без номера залогового билета и сведений о месте съемки, а также тексты, из которых удалены (замаскированы) персональные данные. Решения по договору и ответы на обращения принимают и подписывают работники Ломбарда; по запросу субъект получает сведения о том, использовался ли такой сервис при рассмотрении его обращения.

5. Правовые основания и согласие субъекта

5.1. Сбор и обработка осуществляются с согласия субъекта или его законного представителя, кроме случаев, когда обработка без согласия прямо допускается статьей 9 Закона Республики Казахстан «О персональных данных и их защите» или иными законами Республики Казахстан.

5.2. Согласие и его отзыв оформляются письменно, посредством государственного или негосударственного сервиса либо иным способом, позволяющим подтвердить их получение. При получении данных из цифровых объектов государственных органов или государственных юридических лиц согласие предоставляется посредством государственного сервиса в установленных законом случаях.

5.3. Форма согласия должна содержать сведения, предусмотренные законом: наименование и идентификационные данные оператора; сведения о субъекте; срок или период действия; возможность передачи третьим лицам, трансграничной передачи и распространения в общедоступных источниках; перечень собираемых данных; цели обработки и иные необходимые условия.

5.4. Срок согласия не может превышать срок, необходимый для достижения заявленных целей, если иной срок не установлен законом или договором. Если срок не указан, согласие действует до достижения целей обработки.

5.5. Согласие на передачу третьим лицам, распространение данных в общедоступных источниках, трансграничную передачу, маркетинг и обработку биометрических данных оформляется отдельно либо выделяется в форме согласия таким образом, чтобы субъект мог сделать свободный и информированный выбор.

5.6. Субъект вправе отозвать согласие, уведомив Ломбард. В течение пятнадцати рабочих дней Ломбард прекращает обработку, если дальнейшее хранение или обработка не требуются законом и отсутствует неисполненное обязательство, либо направляет субъекту мотивированный отказ.

6. Порядок и способы обработки

6.1. Обработка включает сбор, систематизацию, накопление, хранение, уточнение, изменение, дополнение, использование, передачу в предусмотренных законом случаях, блокирование, обезличивание, удаление и уничтожение. Она осуществляется с использованием средств автоматизации и без их использования.

6.2. Данные могут быть получены от субъекта или его представителя; из государственных информационных систем и сервиса цифровых документов; от кредитных бюро, банков, платежных организаций, оценщиков, страховщиков и иных лиц при наличии законного основания; из официальных общедоступных источников; посредством видеонаблюдения, записи обращений и технических журналов интернет-ресурса.

6.3. Ломбард подтверждает законность сбора и последующей обработки персональных данных из общедоступного источника. Нецелевое извлечение данных из открытых источников для создания или расширения базы персональных данных не допускается.

6.4. Если применяется автоматизированная обработка, в результате которой у субъекта возникают, изменяются или прекращаются права либо законные интересы, такая обработка допускается с согласия субъекта или в случаях, предусмотренных законом. По запросу Ломбард разъясняет порядок и возможные последствия обработки и обеспечивает возможность заявить возражение.

6.5. Возражение против автоматизированной обработки рассматривается в течение трех рабочих дней со дня получения, после чего субъект уведомляется о результате.

7. Передача и предоставление доступа третьим лицам

7.1. Персональные данные передаются только в необходимом объеме и при наличии согласия субъекта либо иного законного основания. Получатель обязан обеспечить конфиденциальность и защиту данных. Сведения, составляющие тайну предоставления микрокредита, передаются только в случаях, предусмотренных Законом Республики Казахстан «О микрофинансовой деятельности».

7.2. В зависимости от цели и правового основания получателями могут быть кредитные бюро; банки и платежные организации; страховые, оценочные, охранные, архивные, почтовые, курьерские и информационно-технологические организации; операторы связи; лица, обеспечивающие хранение и реализацию предмета залога; коллекторские агентства и лица, которым законно уступлено право требования; аудиторы и профессиональные консультанты.

7.3. Данные предоставляются уполномоченному органу по регулированию и развитию финансового рынка, уполномоченному органу в сфере персональных данных, органам государственных доходов, финансового мониторинга, правоохранительным органам, судам, нотариусам, частным судебным исполнителям, микрофинансовому омбудсману и иным лицам в случаях и объеме, установленных законом.

7.4. Привлечение оператора или третьего лица для обработки оформляется договором, который устанавливает цели, состав и действия с данными, требования конфиденциальности, безопасности, возврата или уничтожения данных, а также ответственность и порядок реагирования на нарушение безопасности.

7.5. Размещение персональных данных в общедоступных источниках допускается при наличии отдельного согласия либо прямой обязанности по закону. Данные, не подлежащие раскрытию, маскируются. Условия об уведомлении субъекта о передаче выполняются в сроки и случаях, установленных законом и согласием.

7.6. При оплате картой на интернет-ресурсе данные карты вводятся субъектом на платежной странице банка (платежной организации) и Ломбарду не передаются. Ломбард передает банку только номер заказа, сумму и назначение платежа (номер залогового билета и срок продления); фамилия, имя, отчество, ИИН и опись предмета заклада банку не передаются.

7.7. Уведомления субъектам Ломбард направляет самостоятельно — через своих работников и собственные информационные системы, без передачи персональных данных сервисам массовых рассылок.

8. Трансграничная передача и локализация

8.1. Накопление и хранение персональных данных осуществляются в базе, находящейся на территории Республики Казахстан.

8.2. Трансграничная передача в государство, обеспечивающее защиту персональных данных, допускается при соблюдении требований законодательства и условий согласия. Передача в государство, не обеспечивающее такую защиту, допускается лишь при наличии отдельного согласия или в иных прямо предусмотренных законом случаях.

8.3. До подключения иностранного облачного, аналитического, почтового или иного сервиса Ломбард оценивает, происходит ли трансграничная передача, документирует правовое основание и обеспечивает выполнение требований к локализации и безопасности.

8.4. Ломбард использует следующие сервисы, серверы которых могут находиться за пределами Республики Казахстан: 1) сервис на основе искусственного интеллекта — только фотографии изделий и обезличенные тексты (пункт 4.10); 2) мессенджер Telegram — служебные уведомления руководителям Ломбарда о результатах сверки фотографий (фотография изделия на весах, код филиала, номер залогового билета, вес, фамилия и инициал выдавшего работника — с согласия работника), без сведений о Заемщике; 3) мессенджер WhatsApp — сообщения Заемщику, давшему согласие на этот канал связи, направляются работниками Ломбарда с абонентского номера Ломбарда. Иные персональные данные за пределы Республики Казахстан не передаются; база персональных данных и ее резервные копии находятся на территории Республики Казахстан.

9. Хранение, блокирование и уничтожение

9.1. Персональные данные хранятся не дольше, чем это необходимо для достижения целей обработки, если иной срок не установлен законодательством, договором, правилами бухгалтерского и архивного хранения, требованиями по противодействию легализации доходов либо необходимостью защиты прав в пределах применимого срока.

9.2. Прекращение договорных отношений не влечет немедленного уничтожения сведений, которые Ломбард обязан хранить по закону либо которые необходимы в связи с неисполненным обязательством, обращением, проверкой, спором или исполнительным производством.

9.3. По достижении цели и истечении обязательных сроков данные уничтожаются способом, исключающим восстановление, либо обезличиваются. Уничтожение электронных данных учитывает сроки обновления резервных копий; до окончательного удаления доступ к таким копиям ограничивается.

9.4. При получении подтвержденных сведений о незаконном или неточном характере обработки Ломбард блокирует, исправляет, дополняет либо уничтожает данные в порядке и сроки, установленные законом.

9.5. Ломбард маскирует персональные данные при их отображении в интерфейсах информационных систем, в отчетах, печатных формах и выгрузках, если полный объем сведений для соответствующей задачи не требуется, а также при передаче третьим лицам и в тестовой среде. Коды доступа к разделу «Мой договор», пароли и иные идентификаторы, для проверки которых исходное значение не нужно, хранятся в виде хеш-значений (СТ РК ГОСТ Р 34.11-2015). Операции маскирования и хеширования учитываются в журнале.

10. Права субъекта и порядок обращений

10.1. Субъект вправе знать о наличии у Ломбарда своих персональных данных и получать информацию о факте, целях, источниках, способах и сроках обработки, составе данных и сроках их хранения.

10.2. Субъект вправе требовать изменения и дополнения достоверно подтвержденных данных; блокирования данных при наличии информации о нарушении условий обработки; уничтожения данных, собранных или обрабатываемых с нарушением закона; отозвать согласие с учетом установленных законом ограничений; возражать против автоматизированной обработки; защищать права и требовать возмещения причиненного вреда.

10.3. Обращение подается лично или через представителя по адресу Ломбарда, в форме электронного документа либо иным способом, позволяющим надежно идентифицировать заявителя и защитить данные от предоставления неуполномоченному лицу. Обращение должно позволять определить субъект, содержание требования и способ получения ответа.

10.4. Подтвержденные данные изменяются или дополняются, а незаконно обработанные данные блокируются либо уничтожаются в сроки, установленные законодательством. При отказе Ломбард предоставляет мотивированный ответ.

10.5. Обращения принимаются по адресу: 070019, Республика Казахстан, г. Усть-Каменогорск, ул. Казахстан, 75; по электронной почте info@expresscredit.kz; а также через доступные каналы на www.expresscredit.kz. До предоставления данных Ломбард вправе провести соразмерную проверку личности и полномочий заявителя.

10.6. Действия или бездействие Ломбарда могут быть обжалованы уполномоченному органу в сфере персональных данных или в суд в порядке, установленном законодательством Республики Казахстан.

11. Защита персональных данных

11.1. Директор Ломбарда назначает приказом лицо, ответственное за организацию обработки персональных данных. Ответственное лицо осуществляет внутренний контроль, обучение работников и контроль приема и рассмотрения обращений субъектов.

11.2. Ломбард утверждает внутренние документы, включая Перечень необходимых и достаточных персональных данных, правила доступа, сроки хранения и уничтожения, порядок реагирования на нарушения безопасности, а также распределяет роли и ответственность.

11.3. Организационные и технические меры включают учет носителей и информационных систем, разграничение прав доступа, надежную аутентификацию, регистрацию действий пользователей, резервное копирование, защиту каналов связи и устройств, антивирусную защиту, своевременное обновление программного обеспечения, физическую охрану помещений и периодическую проверку эффективности мер.

11.4. Работники и привлеченные лица знакомятся с требованиями конфиденциальности и несут ответственность за их нарушение. Доступ прекращается при утрате служебной или договорной необходимости.

11.5. Ломбард обеспечивает своевременное обнаружение нарушения безопасности, ограничение его последствий, сохранение доказательств, устранение причин и учет инцидента. Уполномоченный орган уведомляется о нарушении безопасности не позднее одного рабочего дня с момента обнаружения с указанием контактных данных ответственного лица и иной требуемой информации.

11.6. Вопрос об уведомлении затронутых субъектов, оператора цифровой инфраструктуры «цифрового правительства» и иных лиц решается в соответствии с характером нарушения, риском для прав субъектов и требованиями законодательства.

12. Видеонаблюдение, записи обращений и интернет-ресурс

12.1. В помещениях Ломбарда может вестись видеонаблюдение для защиты жизни и здоровья, предотвращения правонарушений, обеспечения сохранности имущества и разрешения спорных ситуаций. До входа в зону наблюдения размещается заметное уведомление. Камеры не устанавливаются в местах, где наблюдение нарушало бы разумное ожидание приватности.

12.2. Доступ к видеозаписям ограничивается уполномоченными лицами. Срок хранения устанавливается внутренним актом исходя из цели и объема риска; при инциденте соответствующая запись может храниться до окончания проверки, спора или производства.

12.3. Телефонные разговоры и устные обращения могут записываться для контроля качества, подтверждения волеизъявления и разрешения споров. До начала записи субъект уведомляется о ней и цели обработки.

12.4. Интернет-ресурс обрабатывает IP-адрес, сведения об устройстве и браузере, дату и время обращения и журналы безопасности только для работы и защиты ресурса. Счетчики посещаемости, запись действий пользователя и рекламные технологии на интернет-ресурсе не применяются; используются только технически необходимые файлы cookie и данные браузера (выбор языка, сеанс раздела «Мой договор»). Заявка, направленная через форму на интернет-ресурсе (имя, телефон, по желанию — фотография изделия), поступает на электронную почту Ломбарда info@expresscredit.kz и используется только для ответа на нее. Если в дальнейшем Ломбард решит применять аналитические технологии, они будут включаться только после согласия пользователя.

12.5. Ломбард не считает сведения автоматически обезличенными только потому, что они получены через cookie или технический журнал: возможность отнесения сведений к определенному лицу оценивается с учетом всех доступных средств идентификации.

13. Ответственность и заключительные положения

13.1. Лица, виновные в нарушении законодательства и Политики, несут ответственность в соответствии с законодательством Республики Казахстан, трудовым договором и заключенными соглашениями.

13.2. Политика пересматривается при изменении законодательства, процессов обработки, применяемых информационных систем или состава получателей данных. Новая редакция не имеет обратной силы в части, ухудшающей положение субъекта или расширяющей ранее предоставленное согласие без нового законного основания.

13.3. Политика вступает в силу с даты ее утверждения и действует до утверждения новой редакции. Актуальная редакция размещается на www.expresscredit.kz и в доступном для клиентов месте в структурных подразделениях Ломбарда.

13.4. Политика доводится до сведения субъектов на государственном и русском языках. При расхождении версий применяется текст, соответствующий законодательству Республики Казахстан, с устранением расхождения в кратчайший срок.

Приложение 1. Перечень персональных данных, необходимый и достаточный для выполнения осуществляемых задач

Перечень применяется совместно с целями, основаниями и ограничениями, установленными Политикой, и утверждается тем же приказом.

Примечания к Перечню

1. Конкретный набор данных по каждой операции определяется ее целью. Включение категории в Перечень не означает право собирать ее у каждого субъекта.

2. До начала обработки новой категории данных или для новой цели Ломбард проводит повторный анализ задач, проверяет законное основание, необходимость и достаточность, вносит изменения в Перечень и форму согласия, если оно требуется.

3. Бумажные копии документов, удостоверяющих личность, не собираются и не обрабатываются, кроме прямо допускаемых законодательством случаев.