1. Жалпы жоболор

1.1. Ушул Жеке маалыматтардын купуялуулук саясаты (мындан ары – Саясат) Кыргыз Республикасынын «Жеке
мүнөздөгү маалымат жөнүндө» Мыйзамынын 4-беренесинин 2-бөлүгүнүн талаптарын аткаруу максатында
иштелип чыккан жана «ЭкоИсламикБанк» ЖАКынын (мындан ары – Кармоочу/Иштеп чыгуучу) жеке
маалыматтарды чогултуу, иштеп чыгуу жана алмашуу боюнча укуктук жана уюштуруучулук негиздерин
аныктайт.

1.2. Ушул Саясат жеке маалыматтар субъектисинин жеке маалыматтарын чогултууда, иштеп чыгууда жана
алмашууда анын укуктарын жана эркиндиктерин камсыз кылууга багытталган жана автоматташтырылган
режимде да, ансыз да Кармоочу/Иштеп чыгуучу тарабынан
жүргүзүлүүчү бардык жеке маалыматтар
операцияларына жайылтылат.

2. Жеке маалыматтарды чогултуу, иштеп чыгуу жана алмашуу максаттары

2.1. Жеке маалыматтар Кармоочу/Иштеп чыгуучу тарабынан төмөнкү максаттарда чогултулат, иштеп чыгылат
жана алмашылат:
-Банктын банктык, финансылык жана башка кызматтарын алуу боюнча консультациялык жардам көрсөтүү;
-Банк менен келишимдерди түзүү жана аларды андан ары колдонуу;
-Банктык кызматтарды алууга сиздин арыздарыңызды жана суроо-талаптарыңызды иштеп чыгуу;
-Банктын жаңы продуктуларын жана кызматтарын жакшыртуу/кеңейтүү/киргизүү үчүн Банк тарабынан
акцияларды, сурамжылоолорду, изилдөөлөрдү, статистикалык маалыматтарды талдоону өткөрүү;
-Банктын жаңы продуктулары жана кызматтары жөнүндө кабарлоо/билдирүү/сунуш/маалымат берүү;
-Банктын алдындагы карыздарды өндүрүп алуу максатында;
-Банктын кызматтарын колдонуу менен байланышкан алдамчылык аракеттерден коргоо;
-ушул Саясатта көрсөтүлгөн жана Кыргыз Республикасынын мыйзамдарында каралган башка максаттарда.

3. Жеке маалыматтарды чогултуунун, иштеп чыгуунун жана алмашуунун укуктук негиздери

3.1. Кармоочу/Иштеп чыгуучу тарабынан жеке маалыматтарды иштеп чыгуусунун укуктук негиздери болуп
төмөнкүлөр саналат:
-Кыргыз Республикасынын Конституциясы;
-Кыргыз Республикасынын Жарандык кодекси;
-Кыргыз Республикасынын «Жеке мүнөздөгү маалымат жөнүндө» Мыйзамы;
-Кармоочунун/Иштеп чыгуучунун уставдык документтери;
-Кармоочу/Иштеп чыгуучу жана жеке маалыматтар субъектилеринин ортосунда түзүлүүчү келишимдер;
-жеке маалыматтар субъектилеринин жеке маалыматтарын чогултууга, иштеп чыгууга жана алмашууга
макулдугу.

4. Жеке маалыматтар субъектилеринин негизги укуктары жана милдеттери

4.1. Жеке маалыматтар субъектилери төмөнкүлөргө укуктуу:
-Кармоочу/Иштеп чыгуучу тарабынан чогултулуучу, иштеп чыгылуучу жана алмашылуучу алардын жеке
маалыматтары жөнүндө толук маалымат алууга;
-Кыргыз Республикасынын «Жеке мүнөздөгү маалымат жөнүндө» Мыйзамында каралган учурлардан
тышкары, алардын жеке маалыматтарын камтыган ар кандай жазуулардын көчүрмөсүн алуу укугун
кошкондо, алардын жеке маалыматтарын алууга;
-эгерде жеке маалыматтар толук эмес, эскирген, так эмес, мыйзамсыз алынган же иштеп чыгуунун
билдирилген максаты үчүн зарыл эмес болсо, алардын жеке маалыматтарын тактоого, бөгөттөөгө же жок
кылууга;
-өз укуктарын коргоо боюнча мыйзамда каралган чараларды көрүүгө, анын ичинде жеке маалыматтар
боюнча ыйгарым укуктуу мамлекеттик органга кайрылууга;
-Кыргыз Республикасынын мыйзамдарында каралган башка укуктарды жүзөгө ашырууга.

4.2. Жеке маалыматтар субъектилери төмөнкүлөргө милдеттүү:
-Кармоочуга/Иштеп чыгуучуга өзү жөнүндө так, ишенимдүү маалыматтарды гана берүүгө;
-иштеп чыгуу максаты үчүн зарыл болгон көлөмдө жеке маалыматтарды камтыган документтерди берүүгө;
-Кармоочуга/Иштеп чыгуучуга өзүнүн жеке маалыматтарын тактоо (жаңыртуу, өзгөртүү) жөнүндө
билдирүүгө.

5. Кармоочунун/Иштеп чыгуучунун негизги укуктары жана милдеттери

5.1. Кармоочу/Иштеп чыгуучу төмөнкүлөргө укуктуу:
-жеке маалыматтар субъектисинен жеке маалыматтарды камтыган так маалыматты жана/же документтерди
алууга;
-субъект тарабынан берилген жеке маалыматтарды тактоого.

5.2. Кармоочу/Иштеп чыгуучу төмөнкүлөргө милдеттүү:
-Кыргыз Республикасынын «Жеке мүнөздөгү маалымат жөнүндө» Мыйзамында белгиленген тартипте жеке
маалыматтарды чогултууга, иштеп чыгууга, алмашууга;
-жеке маалыматтар субъектисинин жеке маалыматтарды чогултуу, иштеп чыгуу жана алмашуу маселелери
боюнча кайрылууларын кароого жана арыз берилген учурдан тартып 7 күндөн ашпаган мөөнөттө жооп
берүүгө;
-жеке маалыматтар субъектисине анын жеке маалыматтарына акысыз кирүү мүмкүндүгүн берүүгө;
-жеке маалыматтар субъектисинин кайрылуусуна байланыштуу жеке маалыматтарды актуалдаштыруу
боюнча чараларды көрүүгө;
-Кыргыз Республикасынын мыйзамдарынын талаптарына ылайык жеке маалыматтарды коргоону
уюштурууга.

5.3. Кармоочу/Иштеп чыгуучу жеке маалыматтар субъектиси кандай гана болбосун байланыш ыкмасы аркылуу
берген жеке маалыматтарды ушул Саясатка жана Кыргыз Республикасынын мыйзамдарына ылайык чогултат,
иштеп чыгат, алмашат, колдонот жана коргойт.

6. Чогултулуучу жеке маалыматтардын тизмеси

6.1. Кармоочу/Иштеп чыгуучу ушул Саясаттын 2-пунктунда гана каралган максаттарда Банктык кызматтарды
алган/алып жаткан/алгысы келген Субъектилердин жеке маалыматтарын чогултат, иштеп чыгат жана алмашат.

6.2. Чогултулуучу жеке маалыматтарга төмөнкүлөр кирет:
-Аты-жөнү, жынысы, электрондук почта дареги, телефон номери, жүзүнүн санариптик сүрөтү, жашаган
жери, үй-бүлөлүк абалы жана үй-бүлөсүнүн курамы, жарандыгы, улуту, ИЖН/ИСН, иштеген жери, эмгек
акысы жана башка кирешелери, банктык картанын же башка электрондук төлөм каражатынын
реквизиттери, кызмат үчүн төлөө же которуу үчүн QR-код же штрих-код ж.б.;
-Банктын кызматтарын алууда автоматтык түрдө берилүүчү маалыматтар: IP-дарек, cookie файлдары,
жеткиликтүүлүк ишке ашырылган мобилдик түзмөк жөнүндө маалыматтар, мобилдик түзмөк тарабынан
жөнөтүлгөн GPS маалыматтары ж.б.;
-Сиз жүктөгөн файлдар жана сүрөттөр;
-Кыргыз Республикасынын «Жеке мүнөздөгү маалымат жөнүндө» Мыйзамында аныкталган башка жеке
маалыматтар.

6.3. Кармоочу чогултулган, иштеп чыгылган жеке маалыматтардын мазмунунун жана көлөмүнүн чогултуу,
иштеп чыгуу, алмашуу боюнча билдирилген максаттарына шайкештигин камсыз кылат жана зарыл болгон
учурда, ушул Саясаттын 2-пунктунда каралган билдирилген максаттарга карата алардын ашыкчалыгын жоюу
боюнча чараларды көрөт.

6.4. Жеке маалыматтардын тизмектери жана жеке маалыматтар субъектилеринин категориялары ушул Саясатка
өзгөртүүлөрдү милдеттүү түрдө бекитүү жана жеке маалыматтар субъектилерине ар кандай жеткиликтүү ыкма
менен (расмий сайт, кулактандыруу, push-билдирүү, смс-билдирүү, электрондук почтага билдирүү жөнөтүү
ж.б.) кабарлоо аркылуу Кармоочу тарабынан кайра каралышы мүмкүн.

7. Жеке маалыматтарды иштеп чыгуунун тартиби жана шарттары

7.1. Кармоочу/Иштеп чыгуучу тарабынан жеке маалыматтарды иштеп чыгуу төмөнкү ыкмалар менен
жүргүзүлөт:
-Аралаш

7.2. Кармоочу/Иштеп чыгуучу тарабынан жүргүзүлүүчү жеке маалыматтарды иштеп чыгуу өзүнө жеке
маалыматтарды чогултуу, жазуу, сактоо, актуалдаштыруу, топтоштуруу, бөгөттөө, өчүрүү жана жок кылуу
максатында автоматтык каражаттар менен же автоматтык каражатсыз ыкмаларга карабастан аткарылуучу ар
кандай операцияларды же операциялардын топтомун камтыйт.

7.3. Жеке маалыматтарды иштеп чыгуу Кармоочу/Иштеп чыгуучу тарабынан жеке маалыматтар субъектисинин
макулдугун (мындан ары – Макулдук) алуу шартында ишке ашырылат, мыйзамдарда белгиленген учурларды
кошпогондо, жеке маалыматтарды иштеп чыгуу мындай Макулдуксуз ишке ашырылышы мүмкүн.

7.4. Жеке маалыматтар субъектисин кабарландыруу ыкмалары:
-смс
-мессенджер аркылуу
-электрондук почта аркылуу

7.5. Жеке маалыматтар субъектиси анын жеке маалыматтарын берүү жөнүндө чечим кабыл алат жана аны жазуу
жүзүндө кагаз түрүндө же Кыргыз Республикасынын мыйзамдарына ылайык электрондук кол тамга коюлган
электрондук документ түрүндө берет.

7.6. Жеке маалыматтарды иштеп чыгууну токтотуунун шарты жеке маалыматтарды иштеп чыгуу максаттарына
жетүү, жеке маалыматтарды актуалдаштыруу, ошондой эле жеке маалыматтарды укук ченемсиз иштеп чыгууну
аныктоо болушу мүмкүн.

7.7. Кармоочу/Иштеп чыгуучу жеке маалыматтар субъектисинин макулдугу болгондо, иштеп чыгуу
максаттарына жетүү үчүн жеке маалыматтарды үчүнчү жактарга берүүгө укуктуу, эгерде маалыматтарды
алуучуга бул маалыматтардын купуялуулук режимин сактоо милдети жүктөлсө.

7.8. Кармоочу/Иштеп чыгуучу жеке маалыматтарды иштеп чыгууда жеке маалыматтарды укук ченемсиз же
кокусунан аларга кирүүдөн, жок кылуудан, өзгөртүүдөн, бөгөттөөдөн, көчүрүүдөн, берүүдөн, жайылтуудан,
ошондой эле жеке маалыматтарга карата башка укук ченемсиз аракеттерден коргоо үчүн зарыл болгон укуктук,
уюштуруучулук жана техникалык чараларды көрөт же көрүүнү камсыз кылат.

7.9. Жеке маалыматтар аларды чогултуу максаттарын аткаруу үчүн зарыл болгондон узак сакталбашы керек.
Сактоо мөөнөттөрү жеке маалыматтар субъектисинин кызыкчылыгында гана, же эгерде бул Кыргыз
Республикасынын мыйзамдарында каралган болсо, узартылышы мүмкүн.

8. Жеке маалыматтарды актуалдаштыруу, оңдоо, өчүрүү жана жок кылуу, жеке маалыматтар
субъектилеринин жеке маалыматтарга кирүү боюнча суроо-талаптарына жооптор

8.1. Жеке маалыматтардын анык эместиги же аларды иштеп чыгуунун укук ченемсиздик фактысы ырасталган
учурда, жеке маалыматтар Кармоочу/Иштеп чыгуучу тарабынан мындай жеке маалыматтарды чогултуунун,
сактоонун жана иштеп чыгуунун мыйзамдуулугуна жараша актуалдаштырылууга, бөгөттөлүүгө же жок
кылынууга тийиш, же аларды иштеп чыгуу тиешелүү түрдө токтотулууга тийиш.

8.2. Жеке маалыматтардын анык эместиги же аларды чогултуунун, иштеп чыгуунун укук ченемсиздик
фактылары боюнча жеке маалыматтар субъектиси түздөн-түз Кармоочунун дарегине, же Жеке маалыматтар
боюнча ыйгарым укуктуу мамлекеттик органга кайрылууга укуктуу.

8.3. Жеке маалыматтар субъектисинин жазуу жүзүндөгү суроо-талабы боюнча Кармоочу/Иштеп чыгуучу
төмөнкү маалыматты чагылдыруу менен жеке маалыматтарды чогултуу, иштеп чыгуу жана берүү боюнча өзү
жүзөгө ашырган маалыматты билдирүүгө милдеттүү:
-Кармоочу/Иштеп чыгуучу тарабынан жеке маалыматтарды чогултуу, иштеп чыгуу жана берүү фактысын
ырастоо;
-жеке маалыматтарды чогултуунун, иштеп чыгуунун жана алмашуунун укуктук негиздери жана максаттары;
-Кармоочу/Иштеп чыгуучу тарабынан колдонулуучу жеке маалыматтарды чогултуу, иштеп чыгуу жана
берүү максаттары жана ыкмалары;
-Кармоочунун аталышы жана жайгашкан жери, жеке маалыматтарга жеткиликтүүлүгү бар же жеке
маалыматтар массивин Кармоочусу менен түзүлгөн келишимдин негизинде же мыйзамдын негизинде жеке
маалыматтар берилиши мүмкүн болгон жактар (кармоочунун кызматкерлерин кошпогондо) жөнүндө
маалыматтар;
-тийиштүү жеке маалыматтар субъектисине тиешелүү чогултулуучу, иштеп чыгылуучу жана берилүүчү
жеке маалыматтар, аларды алуу булагы;
-жеке маалыматтарды иштеп чыгуу мөөнөттөрү, анын ичинде аларды сактоо мөөнөттөрү;
-жеке маалыматтар субъектисинин жеке маалыматтарды актуалдаштыруу, бөгөттөө жана жок кылуу
маселелери боюнча өз укуктарын ишке ашыруу тартиби;
-ишке ашырылган же болжолдонгон трансчек аралык маалыматтарды берүү жөнүндө маалымат.

8.4. Эгерде субъект суралган маалыматка жеткиликтүүлүк укугуна ээ болбосо, анда ага жүйөлүү баш тартуу
жөнөтүлөт.

8.5. Сактоо мөөнөтү аяктагандан жана жеке маалыматтарды чогултуу максаттарына жеткенден кийин, алар эки
жуманын ичинде жок кылынууга тийиш. Жок кылуу акт менен ырасталат, анын көчүрмөсү жеке маалыматтар
субъектисине анын жазуу жүзүндөгү суроо-талабы боюнча берилиши мүмкүн.

9.Жеке маалыматтардын купуялуулугун сактоо боюнча коопсуздук чаралары

9.1. Кармоочу/Иштеп чыгуучу Сиздин жеке маалыматтарыңызды уруксатсыз кирүү, өзгөртүү, ачыкка чыгаруу
же жок кылуу аракеттеринен, ошондой эле тиешеси жок башка түрдөгү колдонуудан коопсуздугун жана
коргоону камсыз кылуу үчүн бардык мүмкүн болгон чараларды тийиштүү түрдө камсыз кылууга милдеттүү.

9.2. Банктын Сиздин жеке маалыматтарыңызды коргоо боюнча сунуштары:
-Банктын кызматкерлерин кошо алганда, бөтөн адамдарга логинди, паролду жана башка жеке
маалыматтарды ачыкка чыгарбоо;
-эгерде тиешелүү коргоо камсыздалбаса, өзүңүздүн логиниңизди жана паролуңузду жана башка купуя
маалыматтарды жеткиликтүүлүк түзмөктөрүндө (жеке компьютер, уюлдук телефон ж.б.) же башка
корголбогон алып жүрүүчүлөрдө, анын ичинде кагаз түрүндө сактабоо;
-мезгил-мезгили менен паролду атайын символдорду жана цифраларды колдонуу менен жогорку
деңгээлдеги коргоого өзгөртүү;
-жеке маалыматты (паспорттук маалыматтар, электрондук почта дареги жана башка маалыматтар) бөтөн
адамдарга ачыкка чыгарбоо;
-эсеп боюнча каталарды же уруксатсыз операцияларды көзөмөлдөө үчүн операциялардын тарыхын жана
көчүрмөлөрдү үзгүлтүксүз текшерип туруу, уруксатсыз операциялардын бардык учурлары жөнүндө
токтоосуз Банкка билдирүү;
-онлайн-операцияларда жана жеке маалыматты берүүдө интернет-банкингдин жана Банктын башка
кызматтарынын туура веб-баракчасы колдонулуп жатканына ынануу, алдамчылык максатында түзүлгөн
жасалма веб-баракчалардан сактануу, веб-баракчанын URL дарегин түздөн-түз интернет-браузерге
киргизүү жана башка ишенимсиз баракчаларга багыттоодон же шилтемелерден качуу;
-электрондук операцияларды жүзөгө ашыруу процессинде берилүүчү маалыматты автоматтык түрдө
шифрлеген же коддогон программаны колдонуу, өзүңүздүн жеткиликтүүлүк түзмөгүңүздү (жеке
компьютер, уюлдук телефон ж.б.) уруксатсыз кирүүдөн жана зыяндуу программалардан коргоо,
операциялар ишке ашырылган сайттан дароо чыгып кетүү, түзмөк кыска убакытка кароосуз калтырылган
учурда да сайтты жабуу жана операцияларды аяктагандан кийин Банктын онлайн кызматтарынан чыгууну
унутпоо.

10. Корутунду жоболор

10.1. Ушул Саясатта чагылдырылбаган жеке маалыматтарды иштеп чыгууга тиешелүү бардык мамилелер
Кыргыз Республикасынын «Жеке мүнөздөгү маалымат жөнүндө» Мыйзамынын жоболоруна ылайык жөнгө
салынат.

10.2. Банк ушул Саясатка өзгөртүүлөрдү киргизүүгө укуктуу. Өзгөртүүлөр киргизилгенде актуалдуу
редакциясында акыркы жаңыртуунун датасы көрсөтүлөт.
Саясаттын жаңы редакциясы Саясаттын жаңы
редакциясы жарыяланган датага чейин 14 жумушчу күндөн кем эмес убакытта пландалып жаткан өзгөртүүлөр
жөнүндө милдеттүү түрдө алдын ала жарыялоо шарты менен таанышуу мүмкүнчүлүгү үчүн аны эркин
колдонууга киргизген учурдан тартып күчүнө кирет.

10.3. Ушул Саясат боюнча бардык сунуштарды же суроолорду «ЭкоИсламикБанк» ЖАКынын төмөнкү
электрондук почта дарегине билдирүү керек:

• office@ecoislamicbank.kg

Телефон номерлери аркылуу:

• 0 (312) 900 800
• 0 (555) 900 800
• 0 (775) 900 800
• 0 (703) 900 800
• +996 555 900 800 Telergram
• +996 225 900 800 (w/a)

Дареги боюнча: Бишкек ш., Геологиялык чолок көчөсү, 17

Эгерде Сиз өзүңүздүн маалыматтарыңызды иштеп чыгуу тартиби жөнүндө арыз берүүнү кааласаңыз, жогоруда

көрсөтүлгөн даректер боюнча Банкка кайрылыңыз жана Банк Сиздин сурооңузга мүмкүн болушунча кыска

мөөнөттө жооп берүүгө аракет кылат

1. General Provisions

1.1. This Personal Data Privacy Policy (hereinafter — the "Policy") has been developed pursuant to the requirements of Part 2 of Article 4 of the Law of the Kyrgyz Republic "On Personal Information" and establishes the legal and organizational basis for the collection, processing and exchange of personal data by CJSC "EcoIslamicBank" (hereinafter — the "Holder/Processor").

1.2. This Policy is intended to ensure the protection of the rights and freedoms of the personal data subject in the course of the collection, processing and exchange of their personal data, and applies to all operations with personal data performed by the Holder/Processor, whether by automated means or otherwise.

2. Purposes of the Collection, Processing and Exchange of Personal Data

2.1. Personal data is collected, processed and exchanged by the Holder/Processor for the following purposes:
- provision of advisory assistance in obtaining banking, financial and other services of the Bank;
- conclusion of agreements with the Bank and their subsequent performance;
- processing of your applications and requests for banking services;
- conducting promotions, surveys, research and statistical analysis by the Bank in order to improve, expand or introduce new products and services of the Bank;
- notification, announcement, offering of, and provision of information about new products and services of the Bank;
- recovery of debts owed to the Bank;
- protection against fraudulent activity connected with the use of the Bank's services;
- other purposes specified in this Policy and provided for by the legislation of the Kyrgyz Republic.

3. Legal Grounds for the Collection, Processing and Exchange of Personal Data

3.1. The legal grounds for the processing of personal data by the Holder/Processor are:
- the Constitution of the Kyrgyz Republic;
- the Civil Code of the Kyrgyz Republic;
- the Law of the Kyrgyz Republic "On Personal Information";
- the constituent documents of the Holder/Processor;
- agreements concluded between the Holder/Processor and personal data subjects;
- the consent of personal data subjects to the collection, processing and exchange of personal data.

4. Principal Rights and Obligations of Personal Data Subjects

4.1. Personal data subjects have the right:
- to receive full information about their personal data that is collected, processed and exchanged by the Holder/Processor;
- to access their personal data, including the right to obtain a copy of any record containing their personal data, except in the cases provided for by the Law of the Kyrgyz Republic "On Personal Information";
- to have their personal data updated, blocked or destroyed where such data is incomplete, outdated, inaccurate, unlawfully obtained, or not necessary for the stated purpose of processing;
- to take the measures provided for by law to protect their rights, including by applying to the authorized state body for personal data;
- to exercise other rights provided for by the legislation of the Kyrgyz Republic.

4.2. Personal data subjects are obliged:
- to provide the Holder/Processor only with accurate and reliable information about themselves;
- to provide documents containing personal data to the extent necessary for the purpose of processing;
- to inform the Holder/Processor of any update (renewal or change) to their personal data.

5. Principal Rights and Obligations of the Holder/Processor

5.1. The Holder/Processor has the right:
- to obtain from the personal data subject accurate information and/or documents containing personal data;
- to verify the personal data provided by the subject.

5.2. The Holder/Processor is obliged:
- to collect, process and exchange personal data in the manner established by the Law of the Kyrgyz Republic "On Personal Information";
- to consider requests from personal data subjects concerning the collection, processing and exchange of personal data, and to respond within a period not exceeding 7 days from the date the request is submitted;
- to provide the personal data subject with free access to their personal data;
- to take measures to update personal data in response to a request from the personal data subject;
- to organize the protection of personal data in accordance with the requirements of the legislation of the Kyrgyz Republic.

5.3. The Holder/Processor collects, processes, exchanges, uses and protects the personal data provided by the personal data subject through communication in any form, in accordance with this Policy and the legislation of the Kyrgyz Republic.

6. List of Personal Data Collected

6.1. The Holder/Processor collects, processes and exchanges the personal data of those Subjects who have received, are receiving, or wish to receive banking services, solely for the purposes set out in Section 2 of this Policy.

6.2. The personal data collected includes:
- full name, gender, email address, telephone number, digital facial image, place of residence, marital status and family composition, citizenship, ethnicity, PIN/TIN, place of employment, salary and other income, bank card details or details of other electronic means of payment, QR code or barcode for payment for a service or for a transfer, and similar data;
- data transmitted automatically when receiving the Bank's services: IP address, cookies, information about the mobile device from which access is made, GPS data sent by the mobile device, and similar data;
- files and images uploaded by you;
- other personal data defined in the Law of the Kyrgyz Republic "On Personal Information".

6.3. The Holder ensures that the content and volume of the personal data collected and processed correspond to the stated purposes of collection, processing and exchange and, where necessary, takes measures to eliminate any excess data relative to the stated purposes set out in Section 2 of this Policy.

6.4. The lists of personal data and the categories of personal data subjects may be revised by the Holder, provided that such changes are recorded in this Policy and that personal data subjects are notified by any available means (official website, announcement, push notification, SMS message, email message, and similar).

7. Procedure and Conditions for the Processing of Personal Data

7.1. Processing of personal data by the Holder/Processor is carried out by the following method:
- Mixed

7.2. Processing of personal data performed by the Holder/Processor comprises any operation or set of operations performed, irrespective of method and whether by automated means or otherwise, for the purposes of collecting, recording, storing, updating, grouping, blocking, erasing and destroying personal data.

7.3. Processing of personal data is carried out by the Holder/Processor subject to obtaining the consent of the personal data subject (hereinafter — the "Consent"), except in the cases established by law where personal data may be processed without such Consent.

7.4. Methods of notifying the personal data subject:
- SMS
- messenger
- email

7.5. The personal data subject decides whether to provide their personal data and gives such data in written form on paper, or in the form of an electronic document signed with an electronic signature in accordance with the legislation of the Kyrgyz Republic.

7.6. Grounds for terminating the processing of personal data may include the achievement of the purposes of processing, the updating of the personal data, and the detection of unlawful processing of personal data.

7.7. In order to achieve the purposes of processing, and where the consent of the personal data subject has been obtained, the Holder/Processor has the right to transfer personal data to third parties, provided that the recipient of the data is placed under an obligation to observe the confidentiality of such data.

7.8. When processing personal data, the Holder/Processor takes, or ensures the taking of, the legal, organizational and technical measures necessary to protect personal data against unlawful or accidental access, destruction, alteration, blocking, copying, provision and dissemination, as well as against other unlawful actions in relation to personal data.

7.9. Personal data must not be stored for longer than is necessary to fulfil the purposes of its collection. Storage periods may be extended only in the interests of the personal data subject, or where this is provided for by the legislation of the Kyrgyz Republic.

8. Updating, Correction, Deletion and Destruction of Personal Data; Responses to Requests from Personal Data Subjects for Access to Personal Data

8.1. Where it is confirmed that personal data is inaccurate or that its processing is unlawful, such personal data shall be updated, blocked or destroyed depending on the lawfulness of its collection, storage and processing by the Holder/Processor, or its processing shall be terminated accordingly.

8.2. In respect of the inaccuracy of personal data or the unlawfulness of its collection or processing, the personal data subject has the right to apply directly to the Holder, or to the Authorized State Body for Personal Data.

8.3. Upon the written request of the personal data subject, the Holder/Processor is obliged to disclose information about the collection, processing and transfer of personal data carried out by it, setting out the following:
- confirmation of the fact of the collection, processing and transfer of personal data by the Holder/Processor;
- the legal grounds and purposes of the collection, processing and exchange of personal data;
- the purposes and the methods of collection, processing and transfer of personal data applied by the Holder/Processor;
- the name and location of the Holder, and information about persons (other than employees of the Holder) who have access to the personal data or to whom personal data may be transferred on the basis of an agreement with the Holder of the personal data array or on the basis of law;
- the personal data collected, processed and transferred that relates to the relevant personal data subject, and the source from which it was obtained;
- the periods of processing of personal data, including storage periods;
- the procedure by which the personal data subject may exercise their rights concerning the updating, blocking and destruction of personal data;
- information about any cross-border transfer of data that has been carried out or is contemplated.

8.4. If the subject does not hold rights of access to the requested information, a reasoned refusal shall be sent to them.

8.5. Upon expiry of the storage period and achievement of the purposes of collection, personal data shall be destroyed within two weeks. Destruction is confirmed by a formal act, a copy of which may be provided to the personal data subject upon written request.

9. Security Measures for Preserving the Confidentiality of Personal Data

9.1. The Holder/Processor is obliged to duly implement all possible measures to ensure the security and protection of your personal data against unauthorized attempts at access, alteration, disclosure or destruction, as well as against other forms of improper use.

9.2. The Bank's recommendations for protecting your personal data:
- do not disclose your login, password or other personal data to third parties, including Bank employees;
- do not store your login, password or other confidential data on access devices (personal computer, mobile telephone, etc.) or other unprotected media, including paper, unless appropriate protection is in place;
- change your password periodically to one offering a higher level of protection, using special characters and digits;
- do not disclose personal information (passport details, email address and other data) to third parties;
- regularly review your transaction history and statements in order to detect errors or unauthorized transactions on your account, and report any unauthorized transactions to the Bank without delay;
- when carrying out online transactions and providing personal information, make sure that you are using the correct web page for internet banking and the Bank's other services; beware of counterfeit web pages created for fraudulent purposes; enter the URL of the web page directly into your internet browser and avoid redirects or links to other untrusted pages;
- use software that automatically encrypts or encodes information transmitted in the course of electronic transactions; protect your access device (personal computer, mobile telephone, etc.) against unauthorized access and malicious software; leave the site on which transactions are carried out immediately, even if the device is left unattended only briefly; and remember to log out of the Bank's online services once transactions are complete.

10. Final Provisions

10.1. All matters relating to the processing of personal data that are not addressed in this Policy shall be governed by the provisions of the Law of the Kyrgyz Republic "On Personal Information".

10.2. The Bank has the right to amend this Policy. Where amendments are made, the current version shall indicate the date of the most recent update. A new version of the Policy enters into force from the moment it is made freely available for review, subject to mandatory prior announcement of the planned changes no less than 14 working days before the date of publication of the new version of the Policy.

10.3. All suggestions or questions concerning this Policy should be addressed to CJSC "EcoIslamicBank" at the following email address:

• office@ecoislamicbank.kg

By telephone:

• 0 (312) 900 800
• 0 (555) 900 800
• 0 (775) 900 800
• 0 (703) 900 800
• +996 555 900 800 (Telegram)
• +996 225 900 800 (WhatsApp)

Address: 17 Geologicheskiy Lane, Bishkek, Kyrgyz Republic

If you wish to submit a complaint regarding the manner in which your data is processed, please contact the Bank using the contact details above. The Bank will endeavour to respond to your request as promptly as possible.