PaxFinance

Политика обработки и защиты персональных данных

Товарищество с ограниченной ответственностью «Pax Finance»

БИН 260540020321

Лицензия Национального Банка Республики Казахстан на дилерскую деятельность на рынке цифровых активов - обменные операции с необеспеченными цифровыми активами № 0126001O от 30 июня 2026 года

ПОЛИТИКА

обработки и защиты персональных данных

Публичная редакция для клиентов

Редакция 1.0

УТВЕРЖДЕНО

приказом Директора ТОО «Pax Finance»

Беиспеков Аслан Галимович

№ 6 от «10» июля 2026 г.

1. Общие положения

1.1. Настоящая Политика обработки и защиты персональных данных (далее - «Политика») разработана ТОО «Pax Finance», БИН 260540020321 (далее - «Компания», «Оператор персональных данных»), на основании Лицензии на дилерскую деятельность на рынке цифровых активов — обменные операции с необеспеченными цифровыми активами № 0126001O от 30 июня 2026 года, выданной Национальным Банком Республики Казахстан.

1.2. Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон о персональных данных»), пунктом 50.5) Правил осуществления деятельности операторов обмена необеспеченных цифровых активов, утвержденных постановлением Правления Национального Банка Республики Казахстан от 29 апреля 2026 года № 45, Разделом 18 Правил осуществления деятельности оператора обмена необеспеченных цифровых активов Компании и Разделом 13 Политики информационной безопасности и кибербезопасности Компании, и является детальным порядком обработки и защиты персональных данных, предусмотренным пунктом 13.9 указанной Политики.

1.3. Настоящая Политика определяет цели, правовые основания, порядок, сроки обработки и хранения персональных данных, права субъектов персональных данных и меры защиты, применяемые Компанией.

1.4. Регистрация учетной записи, прохождение процедур идентификации и использование услуг Компании означает ознакомление Клиента с настоящей Политикой и, в случаях, предусмотренных Законом о персональных данных, - предоставление Компании согласия на обработку персональных данных в объеме и на условиях, определенных настоящей Политикой.

1.5. Ничто в настоящей Политике не ограничивает и не может толковаться как ограничение императивных прав субъекта персональных данных, установленных Законом о персональных данных и иным законодательством Республики Казахстан.

2. Термины

  • Персональные данные - сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
  • Субъект персональных данных (Клиент) - физическое лицо, к которому относятся персональные данные, обрабатываемые Компанией.
  • Оператор персональных данных - Компания, самостоятельно или совместно с иными лицами организующая и (или) осуществляющая сбор и обработку персональных данных, а также определяющая цели сбора, обработки, содержание обрабатываемых персональных данных, действия (операции), совершаемые с ними.
  • Обработка персональных данных - действия по сбору, обработке и защите персональных данных, направленные на достижение определенных целей, с использованием средств автоматизации или без использования таких средств.
  • Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства.

3. Цели обработки персональных данных

3.1. Компания обрабатывает персональные данные Клиента для следующих целей:

  • идентификация и верификация Клиента в рамках процедур надлежащей проверки (KYC) в соответствии с законодательством Республики Казахстан о противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения;
  • заключение и исполнение договора с Клиентом, оказание услуг по покупке, продаже и (или) обмену необеспеченных цифровых активов;
  • оценка риска Клиента, мониторинг операций, выявление и предотвращение мошенничества и иной противоправной деятельности;
  • исполнение требований законодательства Республики Казахстан, включая представление отчетности и сведений уполномоченным государственным органам, в том числе Национальному Банку Республики Казахстан и уполномоченному органу по финансовому мониторингу;
  • рассмотрение обращений, жалоб и споров Клиентов;
  • обеспечение информационной безопасности и кибербезопасности, защита прав и законных интересов Компании, включая защиту в случае предъявления претензий или судебных требований;
  • информирование Клиента об изменениях условий обслуживания, тарифов и внутренних документов Компании;
  • направление Клиенту маркетинговых и информационных сообщений - исключительно при наличии отдельного согласия Клиента, которое может быть отозвано в любое время без ущерба для оказания основных услуг Компании.

3.2. Компания обрабатывает персональные данные в объеме, необходимом и достаточном для достижения указанных целей, и не осуществляет обработку персональных данных, не совместимую с этими целями.

4. Правовые основания обработки

4.1. Обработка персональных данных Компанией осуществляется на одном или нескольких из следующих правовых оснований:

  • согласие субъекта персональных данных;
  • необходимость исполнения договора, стороной которого является субъект персональных данных, либо для принятия мер по просьбе субъекта персональных данных до заключения договора;
  • исполнение обязанности, прямо предусмотренной законодательством Республики Казахстан, в том числе Законом Республики Казахстан «О противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения», актами Национального Банка Республики Казахстан;
  • защита жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или третьих лиц;
  • иные основания, прямо предусмотренные законодательством Республики Казахстан.

4.2. Согласие

Форма и содержание согласия субъекта персональных данных на сбор и обработку персональных данных соответствуют требованиям пункта 4 статьи 7 Закона о персональных данных и предоставляются Компанией при регистрации учетной записи. Если срок действия согласия не указан, оно считается действующим до достижения целей обработки, определенных при его предоставлении (пункт 6 статьи 7 Закона о персональных данных).

Субъект персональных данных вправе в любое время отозвать согласие на сбор и обработку персональных данных, уведомив об этом Компанию. Компания обязана прекратить обработку персональных данных в течение 15 (пятнадцати) рабочих дней с момента получения такого уведомления, если хранение или обработка таких данных не требуется в соответствии с законодательством Республики Казахстан, либо представить субъекту мотивированный отказ (пункт 7 статьи 7 Закона о персональных данных).

5. Категории обрабатываемых персональных данных

5.1. В зависимости от вида Клиента и оказываемой услуги Компания может обрабатывать следующие категории персональных данных:

  • фамилия, имя, отчество (при наличии), дата рождения, гражданство;
  • индивидуальный идентификационный номер (ИИН), реквизиты документа, удостоверяющего личность;
  • контактные данные (номер телефона, адрес электронной почты, адрес места жительства);
  • биометрические данные - исключительно в рамках прохождения идентификации через Центр обмена идентификационными данными Национального Банка Республики Казахстан (ЦОИД) в порядке, установленном законодательством Республики Казахстан;
  • сведения об источниках происхождения денег и (или) цифровых активов, финансовом положении - в случаях, предусмотренных законодательством о ПОД/ФТ/ФРОМУ;
  • сведения об операциях, совершенных Клиентом с использованием сервисов Компании, включая адреса кошельков цифровых активов, используемых Клиентом;
  • данные об использовании личного кабинета и мобильного приложения (технические и статистические данные, IP-адрес, файлы cookie - в соответствии с отдельной Cookie Policy Компании);
  • сведения о статусе публичного должностного лица (ПДЛ/PEP) и иные сведения, необходимые для оценки риска Клиента.

5.2. Компания не осуществляет обработку персональных данных, относящихся к специальным категориям (о расовой, национальной принадлежности, политических, религиозных и иных убеждениях, состоянии здоровья, интимной жизни), за исключением случаев, прямо предусмотренных законодательством Республики Казахстан или с явного согласия субъекта персональных данных, предоставленного для конкретной, заранее определенной цели.

6. Порядок сбора и источники персональных данных

6.1. Компания собирает персональные данные непосредственно от Клиента при регистрации, прохождении идентификации и в процессе использования услуг Компании.

6.2. Компания вправе получать персональные данные Клиента из государственных информационных систем Республики Казахстан через шлюз «электронного правительства», от Центра обмена идентификационными данными Национального Банка Республики Казахстан, а также из иных источников, доступ к которым предусмотрен законодательством Республики Казахстан, в объеме, необходимом для целей, указанных в разделе 3 настоящей Политики.
6.3. Обработка персональных данных Клиентов-нерезидентов Республики Казахстан

Идентификация Клиентов, не являющихся резидентами Республики Казахстан, осуществляется посредством Центра обмена идентификационными данными Национального Банка Республики Казахстан (ЦОИД) и (или) сторонних сервисов удаленной идентификации при условии соблюдения требований законодательства Республики Казахстан и внутренних Правил Компании, в порядке, установленном пунктом 5.1.2 Правил осуществления деятельности оператора обмена необеспеченных цифровых активов Компании и пунктом 30 Правил осуществления деятельности операторов обмена необеспеченных цифровых активов, утвержденных постановлением Правления Национального Банка Республики Казахстан от 29 апреля 2026 года № 45.

При использовании сторонних сервисов удаленной идентификации в отношении Клиентов-нерезидентов Компания вправе получать и обрабатывать персональные данные, поступившие от таких сервисов, в объеме, необходимом для целей идентификации и надлежащей проверки клиента (KYC), с соблюдением требований раздела 8 настоящей Политики (трансграничная передача персональных данных), если такой сервис расположен за пределами Республики Казахстан.

Операции по покупке и продаже необеспеченных цифровых активов с Клиентами-нерезидентами осуществляются в национальной и (или) иностранной валюте в соответствии с законодательством Республики Казахстан, что может потребовать обработки дополнительных сведений (в том числе сведений о налоговом резидентстве и реквизитах счетов в иностранной валюте) по сравнению с Клиентами-резидентами.

7. Хранение персональных данных

7.1. Персональные данные Клиентов хранятся в базе данных, физически расположенной на территории Республики Казахстан.

7.2. Срок хранения персональных данных определяется достижением целей их сбора и обработки, если иной срок не установлен законодательством Республики Казахстан, договором с Клиентом или внутренними документами Компании.

7.3. Персональные данные, полученные в рамках процедур надлежащей проверки клиента (KYC) и сведения об операциях Клиента, хранятся не менее 5 (пяти) лет со дня прекращения деловых отношений с Клиентом в соответствии с законодательством Республики Казахстан о противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения.

7.4. По истечении установленного срока хранения персональные данные подлежат уничтожению либо обезличиванию в документированном порядке, за исключением случаев, когда законодательство Республики Казахстан требует более длительного хранения (в том числе при наличии незавершенных проверок уполномоченных органов, судебных споров или иных законных оснований).

8. Трансграничная передача и использование внешних сервисов

8.1. Условия трансграничной передачи персональных данных установлены статьей 16 Закона о персональных данных. Трансграничная передача персональных данных на территорию иностранного государства осуществляется Компанией при условии обеспечения этим государством защиты прав субъектов персональных данных, соразмерной защите, предусмотренной законодательством Республики Казахстан, либо на основании согласия субъекта персональных данных, содержащего сведения о трансграничной передаче, либо при наличии иного правового основания, прямо предусмотренного законодательством Республики Казахстан или международным договором, ратифицированным Республикой Казахстан.

8.2. Компания вправе привлекать сторонних поставщиков услуг (в том числе облачные сервисы, платежных провайдеров, сервисы удаленной идентификации, поставщиков услуг кибербезопасности), включая находящихся за пределами Республики Казахстан, для обработки отдельных операций с персональными данными, при условии проведения предварительной юридической и технической оценки, сохранения обязательной базы данных на территории Республики Казахстан в соответствии со статьей 12 Закона о персональных данных и соблюдения требований настоящего раздела.

8.3. Передача персональных данных третьим лицам на территории Республики Казахстан осуществляется при наличии правового основания и заключенного с таким лицом договора, предусматривающего цели, состав передаваемых данных, меры защиты, конфиденциальность, сроки хранения, порядок возврата или уничтожения данных и порядок уведомления об инцидентах безопасности.

8.4. Компания вправе раскрывать персональные данные Клиента государственным органам Республики Казахстан (Национальному Банку, уполномоченному органу по финансовому мониторингу, правоохранительным и судебным органам) по их законному запросу либо в силу прямого указания законодательства Республики Казахстан без дополнительного согласия Клиента.

9. Меры защиты персональных данных

9.1. Компания применяет организационные и технические меры защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, включая: разграничение и журналирование доступа; криптографические средства защиты; резервное копирование; мониторинг и реагирование на инциденты информационной безопасности в соответствии с Политикой информационной безопасности и кибербезопасности Компании.

9.2. Доступ к персональным данным предоставляется исключительно уполномоченным работникам Компании в объеме, необходимом для выполнения их должностных обязанностей.

9.3. В случае инцидента, повлекшего нарушение безопасности персональных данных, Компания принимает меры по устранению последствий инцидента в соответствии с Политикой информационной безопасности и кибербезопасности Компании. Если такой инцидент одновременно является инцидентом кибербезопасности, Компания уведомляет Национальный Банк Республики Казахстан в течение 24 (двадцати четырех) часов с момента обнаружения инцидента в порядке, установленном пунктом 49 Правил осуществления деятельности операторов обмена необеспеченных цифровых активов, утвержденных постановлением Правления Национального Банка Республики Казахстан от 29 апреля 2026 года № 45. Уведомление уполномоченного органа в сфере защиты персональных данных и (или) затронутых субъектов персональных данных осуществляется в случаях и порядке, предусмотренных законодательством Республики Казахстан о персональных данных.

10. Права субъекта персональных данных

10.1. Клиент как субъект персональных данных вправе в порядке, предусмотренном Законом о персональных данных, обратиться к Компании за получением:

  • информации, касающейся обработки его персональных данных, включая цели и правовые основания обработки;
  • уточнения, изменения или дополнения своих персональных данных в случае их неполноты, устаревания или неточности;
  • блокирования своих персональных данных при выявлении неправомерной обработки, на период проверки;
  • уничтожения своих персональных данных при отсутствии законных оснований для их дальнейшей обработки;
  • отзыва согласия на обработку персональных данных в части, не относящейся к обработке, осуществляемой на ином правовом основании, предусмотренном разделом 4 настоящей Политики.

10.2. Право на уничтожение персональных данных не носит абсолютного характера. В соответствии с пунктами 3 и 4 статьи 41 Цифрового кодекса Республики Казахстан (введен в действие 9 июля 2026 года) требование субъекта об удалении, анонимизации или ограничении обработки персональных данных не подлежит исполнению, если данные необходимы для защиты жизни, здоровья и прав третьих лиц, для целей правосудия и рассмотрения дел о правонарушениях, в силу публичного интереса, прямо установленного законами, для государственной статистики и научных исследований при условии анонимизации, а также для реализации государственных функций и оказания государственных услуг, в том числе в силу требований законодательства о противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения. В указанных случаях Компания представляет субъекту мотивированный отказ, ограничивая доступ к данным и приостанавливая их обработку вместо удаления.

10.3. Сроки рассмотрения обращений

Компания рассматривает обращения субъекта персональных данных в следующие сроки, установленные Законом о персональных данных:

  • предоставление информации, относящейся к субъекту, либо мотивированный отказ в ее предоставлении — в течение 3 (трех) рабочих дней со дня получения обращения (статья 10, статья 25 Закона о персональных данных);
  • изменение, дополнение или уничтожение персональных данных на основании подтверждающих документов, блокирование персональных данных при наличии сведений о нарушении условий их сбора и обработки - в течение 1 (одного) рабочего дня (статья 25 Закона о персональных данных);
  • прекращение обработки персональных данных при отзыве согласия либо мотивированный отказ - в течение 15 (пятнадцати) рабочих дней (пункт 7 статьи 7 Закона о персональных данных).

10.4. Клиент, полагающий, что его права как субъекта персональных данных нарушены, вправе обратиться с жалобой в Министерство искусственного интеллекта и цифрового развития Республики Казахстан как уполномоченный орган в сфере защиты персональных данных, в Национальный Банк Республики Казахстан (в части, связанной с деятельностью Компании как оператора обмена необеспеченных цифровых активов), либо в суд Республики Казахстан.

11. Файлы cookie и аналогичные технологии

11.1. Порядок использования файлов cookie и аналогичных технологий на официальном веб-сайте и в мобильном приложении Компании установлен отдельной Cookie Policy Компании, размещенной на официальном веб-сайте https://paxfinance.kz.

12. Ответственность

12.1. Компания несет ответственность за нарушение требований законодательства Республики Казахстан о защите персональных данных в порядке, предусмотренном законодательством Республики Казахстан. В соответствии со статьей 79 Кодекса Республики Казахстан об административных правонарушениях несоблюдение мер по защите персональных данных, повлекшее их утрату либо незаконный сбор или обработку, влечет штраф в размере до 2 000 (двух тысяч) месячных расчетных показателей - для субъектов крупного предпринимательства, до 1 000 (одной тысячи) месячных расчетных показателей - для субъектов среднего предпринимательства, до 750 (семисот пятидесяти) месячных расчетных показателей - для субъектов малого предпринимательства.

12.2. Компания не несет ответственности за последствия обработки персональных данных, наступившие вследствие предоставления Клиентом недостоверных, неполных или устаревших сведений, а также вследствие нарушения Клиентом порядка защиты своих идентификаторов доступа (логина, пароля, кодов двухфакторной аутентификации).

12.3. Компания не несет ответственности за действия третьих лиц, получивших неправомерный доступ к персональным данным Клиента не по вине Компании, при условии, что Компанией были предприняты все разумные и предусмотренные законодательством Республики Казахстан меры защиты.

13. Заключительные положения

13.1. Компания вправе в одностороннем порядке вносить изменения в настоящую Политику в связи с изменением законодательства Республики Казахстан, требований Национального Банка либо внутренних процедур Компании.

13.2. Актуальная редакция Политики размещается на официальном веб-сайте Компании https://paxfinance.kz и вступает в силу с момента опубликования, если иной срок не указан в новой редакции. Продолжение использования Клиентом услуг Компании после вступления в силу новой редакции означает согласие Клиента с изменениями.

13.3. В случае противоречия между настоящей Политикой и Разделом 18 Правил осуществления деятельности Компании либо Разделом 13 Политики информационной безопасности и кибербезопасности Компании применяются положения указанных внутренних документов в части, не противоречащей законодательству Республики Казахстан.

14. Реквизиты и контактная информация Компании

Полное наименование

Товарищество с ограниченной ответственностью «Pax Finance»

Сокращенное наименование

ТОО «Pax Finance»

БИН

260540020321

Директор

Беиспеков Аслан Галимович

Основание деятельности

Лицензия № 0126001O от 30 июня 2026 года, выданная Национальным Банком Республики Казахстан

Юридический адрес

010000, Республика Казахстан, город Астана, район Нұра, проспект Кабанбай Батыр, 47/2, нежилое помещение 2

Веб-сайт

https://paxfinance.kz

Телефон

+7 777 992 1113

Электронная почта

info@paxfinance.kz

Дата вступления в силу: [20.07.2026] Редакция: 1.0