隐私政策

1. 总则

1.1. 本隐私政策（以下简称本政策）规定互联网资源 go.ala.kz（以下简称本网站）用户个人数据的收集、处理、存储、传输、保护和销毁程序，并且是哈萨克斯坦共和国2013年5月21日第94-V号《个人数据及其保护法》（以下简称《个人数据及其保护法》）第25条第2款第1-1）项意义上的、确定运营者在个人数据收集、处理和保护方面之政策的文件。

1.2. 本政策依据下列法律法规制定：

• 《哈萨克斯坦共和国宪法》（第18条）；
• 《哈萨克斯坦共和国民法典》；
• 《个人数据及其保护法》；
• 哈萨克斯坦共和国2026年1月9日第255-VIII号《数字法典》；
• 经授权机关命令批准的《个人数据收集、处理规则》；
• 《所有者和（或）运营者以及第三人实施个人数据保护措施的规则》；
• 哈萨克斯坦共和国其他规范性法律文件。

1.3. 本政策为公开文件，在本网站上供自由查阅，适用于运营者因本网站之使用而获得的全部个人数据。

1.4. 使用本网站即表示用户已知悉本政策。收集和处理个人数据的同意，由用户按本政策第6节所述程序，以主动行为单独作出。

1.5. 本政策不适用于：

• 在 go.ala.kz 以外域名（含 ala-cargo.com）上设置的个人账户及其他数字服务中的个人数据处理，此类服务拥有各自的法律文件；
• 用户通过本网站链接跳转至的第三方服务和即时通讯工具（WhatsApp、Instagram、2GIS 等）所进行的数据处理，此类处理受相应主体的文件约束。

2. 术语和定义

本节未予定义的术语，按《个人数据及其保护法》和《哈萨克斯坦共和国数字法典》确定的含义适用。

3. 运营者信息

4. 处理原则和法律依据

4.1. 运营者依据《个人数据及其保护法》第5条的原则处理个人数据：遵守人和公民的权利与自由、合法性、受限访问个人数据的保密性、主体、所有者、运营者和第三人权利平等。

4.2. 处理的法律依据为：

1. 主体或其法定代理人的同意（《个人数据及其保护法》第7条、第8条），通过本网站获取数据的主要依据；
2. 《个人数据及其保护法》第9条规定的情形，即允许未经主体同意进行收集和处理的情形；
3. 履行合同，主体为该合同一方当事人，或者应主体的主动要求为签订合同实施准备行为；
4. 履行哈萨克斯坦共和国法律法规为运营者设定的义务（税务、会计、运输、海关法律法规，以及反洗钱法律法规）。

4.3. 运营者仅处理为实现既定目的所必需且充分的个人数据（最小化原则，《个人数据及其保护法》第12条第1款）。

4.4. 运营者不通过本网站收集特殊类别个人数据（健康、宗教信仰、政治信念、生物识别数据），亦不索取此类数据。若用户主动在表单的自由填写栏或通信中提供了此类信息，运营者不将其用于作出决定，并在第一时间予以删除。

5. 所处理个人数据的构成、目的和期限

5.1. 本网站为信息（展示）类资源。本网站不进行账户注册、在线支付受理和订单办理。

5.2. 运营者处理下列类别的数据：

5.3. 本网站表单的特殊性。 本网站的表单不会自动向运营者的服务器发送数据：点击按钮后生成消息文本，由用户自行通过 WhatsApp 即时通讯工具发送。这意味着：

• 数据向运营者的实际传输发生于用户在即时通讯工具中发送消息之时；
• 消息内容经由即时通讯工具所有者的基础设施传递，并由其按照自身文件的条件进行处理；
• 此种传输构成个人数据的跨境传输（本政策第9节）。

5.4. 存储期限届满后，以及在处理目的已达成、与主体的法律关系终止或者《个人数据及其保护法》第18条规定的其他情形下，个人数据应当予以销毁、删除或者匿名化。

6. 主体的同意：作出和撤回的程序

6.1. 收集和处理个人数据的同意，由用户以书面形式、通过国家服务、非国家服务或者其他能够确认已取得同意的方式作出（《个人数据及其保护法》第8条第1款）。在本网站上，同意以主动行为作出：在发送表单或咨询之前，于事先未勾选的同意栏中进行勾选。

6.2. 同意书载有《个人数据及其保护法》第8条第4款规定的信息：运营者的名称和商业识别号（БИН）；主体的姓、名、父称；同意的期限或有效期间；有无向第三人传输数据的信息；有无跨境传输的信息；数据在公开来源中传播可能性的信息；所收集数据的清单；运营者确定的其他信息。同意书全文载于本网站发布的《个人数据收集与处理同意书》文件中。

6.3. 同意的有效期不得超过实现收集和处理目的所必需的期限。未载明期限的，同意持续有效至实现作出同意时所确定的处理目的为止（《个人数据及其保护法》第8条第5款、第6款）。

6.4. 同意的撤回。 用户有权随时撤回同意，为此应向 privacy@ala.kz 或者运营者的通信地址发送通知。运营者自收到通知之日起十五个工作日内停止处理个人数据并确保将其销毁或删除，但依法继续处理的情形除外。

6.5. 若撤回同意违反哈萨克斯坦共和国法律，或者存在尚未履行完毕的义务，则不得撤回同意（《个人数据及其保护法》第8条第2款）。

6.6. 拒绝提供个人数据或撤回同意不会给用户带来不利后果，但无法提供客观上必须以相应数据为前提的服务的情形除外。

7. Cookie 文件和分析服务

7.1. 本网站使用 cookie 文件及类似技术。其使用条件、具体文件清单、用途和存储期限，载于发布于 https://go.ala.kz/zh/cookies.html 的 Cookie 政策。

7.2. 严格必要（技术类）cookie 保障本网站的基本可用性，包括保存所选语言版本，无需单独同意即可使用。

7.3. 分析类和统计类 cookie（Yandex.Metrica、Google Analytics 4）仅在取得用户在信息横幅中表示的同意后方予设置。在取得同意之前，相应脚本不予加载。

7.4. 用户有权随时通过本网站每个页面底部的“Cookie 设置”链接变更或撤回其决定，亦可自行通过浏览器功能删除 cookie 文件。

8. 向第三人传输个人数据

8.1. 运营者不出售个人数据，亦不向第三人传输个人数据，但本节所列情形除外。

8.2. 个人数据可传输给下列类别的接收方：

8.3. 向第三人传输个人数据时，运营者确保该第三人承担遵守保密义务并采取个人数据保护措施的义务。

8.4. 附有就其个人数据向第三人传输事宜通知主体之条件的，运营者在十个工作日内通知主体（《个人数据及其保护法》第19条）。

9. 个人数据的跨境传输

9.1. 个人数据的跨境传输依照《个人数据及其保护法》第16条进行：仅在外国确保个人数据保护的条件下进行，其他情形下须取得主体或其法定代理人的同意。

9.2. 因本网站的运行及运营者的经营活动，跨境传输可能按下列方向进行：

9.3. 用户有权拒绝其个人数据的跨境传输。在此情形下，运营者提供不涉及此种传输的替代沟通渠道（电话、电子邮件、亲自到办公室联系）。

10. 个人数据的存储地点

10.1. 依照《个人数据及其保护法》第12条第2款，个人数据存储于位于哈萨克斯坦共和国境内的数据库和（或）数字客体中。

10.2. 数据库所在地信息：托管服务商 PS.KZ（ps.kz），哈萨克斯坦共和国。本网站及运营者的信息系统均运行于运营者自有软件之上；仅在通过即时通讯工具和 Instagram 沟通时，第三方服务才参与处理。

10.3. 在遵守本政策第9节要求，且个人数据的初始积累和存储在哈萨克斯坦共和国境内进行的条件下，允许使用服务器位于哈萨克斯坦共和国境外的第三方服务。

11. 个人数据保护措施

11.1. 运营者采取法律、组织和技术保护措施，以确保防止未经授权访问个人数据、及时发现此类访问事实并最大限度减少不利后果（《个人数据及其保护法》第22条）。

11.2. 组织措施：

• 批准所处理个人数据的清单，该清单对所要解决的任务而言必要且充分；
• 指定个人数据处理组织工作的负责人；
• 批准个人数据处理和保护的内部规则；
• 按最小权限原则划分员工的访问权限；
• 使员工知悉法律法规要求并取得其保密承诺；
• 定期对员工进行培训并监督要求的执行情况。

11.3. 技术措施：

• 通过安全协议 HTTPS（TLS）传输数据；
• 对信息系统的访问实行权限划分和日志记录；
• 对个人数据的变更、封锁、销毁和删除行为进行登记和记录；
• 数据备份和完整性监控；
• 防病毒保护、网络防火墙、漏洞管控；

11.4. 运营者的个人数据保护义务自个人数据被收集之时产生，至其被销毁、删除、匿名化或去标识化之时终止（《个人数据及其保护法》第22条第2款）。

12. 个人数据安全遭受侵害时的处置

12.1. 发现个人数据安全遭受侵害（泄露、未经授权访问、数据被变更或销毁）时，运营者：

1. 自发现之时起立即通知授权机关，并注明个人数据处理组织工作负责人的联系方式；
2. 采取措施控制事件范围并最大限度减少其后果；
3. 开展内部调查并记录调查结果；
4. 存在侵害主体权利风险的，向受影响的主体告知事件性质和建议采取的措施。

12.2. 个人数据安全侵害的相关信息，应当按照哈萨克斯坦共和国法律法规规定的程序予以记录。

13. 自动化处理和算法系统

13.1. 运营者使用自动化数据处理工具，包括运输管理系统（TMS）、仓储管理系统（WMS）、CRM 以及基于算法系统的软件助手。

13.2. 对用户产生法律后果的决定（签订合同、确定服务费用、拒绝提供服务）不完全以自动化方式作出：最终决定由运营者的授权员工核准。

13.3. 依照《哈萨克斯坦共和国数字法典》第43条，用户有权：

1. 获知对其适用算法系统的事实；
2. 获得对影响该决定的关键因素和标准的说明，但不披露算法、源代码以及构成法律保护之秘密的信息；
3. 在决定产生法律后果或者可能影响其权利和合法利益时，要求由授权专业人员参与对该决定进行复核。

13.4. 自动计算的结果（包括物流费用计算器的结果）具有初步性和参考性，不构成要约。

14. 个人数据主体的权利及其行使程序

14.1. 依照《个人数据及其保护法》第24条和《哈萨克斯坦共和国数字法典》第41条，用户有权：

1. 获知运营者持有其个人数据的情况，并获取包含收集和处理之事实、目的、来源和方式确认，个人数据清单，处理和存储期限的信息；
2. 在有相应文件证实的依据时，要求变更和补充其个人数据；
3. 在掌握其个人数据收集和处理条件被违反的信息时，要求封锁和（或）匿名化其个人数据；
4. 要求销毁或删除违反法律法规收集和处理的其个人数据，以及法律规定的其他情形下的其个人数据；
5. 撤回就个人数据的收集、处理、在公开来源中传播、向第三人传输和跨境传输所作出的同意；
6. 同意或拒绝在公开来源中传播其个人数据；
7. 按照《哈萨克斯坦共和国数字法典》第41条规定的程序要求限制个人数据处理；
8. 保护其权利和合法利益，包括获得精神损害和物质损害的赔偿；
9. 就运营者的作为（不作为）向授权机关和法院提起申诉。

14.2. 申请程序。 申请发送至 privacy@ala.kz 或者运营者的通信地址。申请应当载明：主体的姓、名、父称；能够识别主体身份并证实其与所处理数据之关联的信息；请求事项的实质内容；答复的发送方式。运营者有权索取仅为识别申请人身份所必需的补充信息。

14.3. 办理期限：

14.4. 向主体提供与其有关的个人数据的查阅，免费进行。

14.5. 若满足请求违反哈萨克斯坦共和国法律，或者为履行尚未履行完毕的义务、为保护第三人的生命健康、权利和合法利益、为审理违法案件、为实施司法或者为档案保存所必需，运营者有权拒绝满足该请求。拒绝应当以书面形式作出并附具理由。

15. 未成年人的个人数据

15.1. 本网站不面向未满十八周岁的人士，运营者亦不定向收集其个人数据。

15.2. 未成年人个人数据的处理，仅在取得其法定代理人同意的情况下方予允许。

15.3. 发现处理未经法定代理人同意而取得的未成年人个人数据的事实时，此类数据应当自查明该情形之时起在最短期限内予以删除。

16. 第三方资源链接

16.1. 本网站含有指向外部资源的链接：位于 ala-cargo.com 的个人账户和计算器、WhatsApp 即时通讯工具、Instagram 社交网络、2GIS 地图服务、合作伙伴网站。

16.2. 运营者不控制此类资源所有者的个人数据处理行为，且不对其隐私政策承担责任。建议用户自行查阅相应资源的法律文件。

17. 本政策的变更

17.1. 运营者有权对本政策作出变更。现行版本始终可在 https://go.ala.kz/zh/privacy.html 查阅，并注明生效日期。

17.2. 对于涉及所处理数据范围、处理目的或接收方范围的重大变更，运营者应当在变更生效前不少于 10（十） 个日历日，通过在本网站上发布显著的信息提示予以通知。

17.3. 若变更需要取得主体的新同意，则仅在取得该同意后方可按新条件进行处理。

18. 申诉和争议解决

18.1. 有关个人数据处理事宜的一切申请，均由运营者以诉前程序办理。

18.2. 用户不同意运营者答复的，有权向哈萨克斯坦共和国个人数据保护领域授权机关，哈萨克斯坦共和国人工智能与数字发展部信息安全委员会 提出申诉，亦可按照《哈萨克斯坦共和国民事诉讼法典》确定的管辖规则向法院提起诉讼。

18.3. 本政策适用哈萨克斯坦共和国法律。

19. 语言版本

19.1. 本政策以哈萨克语、俄语、英语和中文发布。

19.2. 哈萨克语文本和俄语文本具有同等法律效力。英语文本和中文文本系为便于查阅而提供的译文。英语或中文文本与哈萨克语文本或俄语文本存在歧义的，以俄语文本为准。

20. 联络信息

有限责任合伙企业“ALA INTERNATIONAL” 商业识别号（БИН）250640012858 地址：哈萨克斯坦共和国，阿拉木图市，阿拉套区，阿尔加巴斯微区，7街，134/3号建筑 个人数据相关事宜受理电子邮箱：privacy@ala.kz 电话：+7 775 708 88 80 个人数据处理组织工作负责人：经理 Nurtiliyev Dias Manasuly