Политика обработки персональных данных

1. Собственник и оператор базы, содержащей персональные данные

1.1. Собственником и оператором базы, содержащей персональные данные пользователей Платформы, является [наименование ТОО], БИН [БИН], адрес: [юридический адрес] (далее — «Оператор»).

1.2. Лицо, ответственное за организацию обработки персональных данных: [ФИО ответственного за обработку ПДн], электронная почта: [e-mail для обращений].

2. Основные понятия

Понятия «персональные данные», «субъект персональных данных», «обработка», «сбор», «хранение», «распространение», «уничтожение», «обезличивание», «трансграничная передача» и «база, содержащая персональные данные» используются в значениях, установленных Законом. Субъект персональных данных в настоящей Политике — Пользователь Платформы (заказчик или креатор).

3. Какие персональные данные обрабатываются

3.1. Данные аккаунта (все пользователи):

• адрес электронной почты и пароль (пароль хранится только в виде криптографического хеша);
• номер мобильного телефона — если пользователь указал и подтвердил его в профиле (нужен для подписания договоров в CLM);
• имя и фамилия, город, выбранная роль (заказчик или креатор);
• название бизнеса (если указано заказчиком);
• юридические данные, если пользователь их указал: наименование ИП или организации, ФИО, БИН или ИИН;
• идентификатор аккаунта SmartSMM — если пользователь входит через аккаунт SmartSMM или привязывает его.

3.2. Данные креатора:

• сфера деятельности, профессия, описание и кейсы, портфолио (изображения работ и их названия);
• уровень, коэффициент цены, статус модерации и верификации, место в рейтинге;
• реквизиты для оплаты: имя получателя, ссылка Kaspi Pay, примечание к оплате, а также журнал их изменений.

3.3. Данные заказов и сделок:

• заказы и отклики на них;
• условия сделок: предмет, этапы, суммы, сроки, количество правок;
• договоры, отметки о подписании каждой стороной и их время, идентификаторы документов в CLM;
• чеки об оплате (изображения или PDF), которые могут содержать ФИО, часть номера карты, сумму и дату платежа; подтверждения и отклонения оплаты с указанной причиной;
• журнал событий сделки, отзывы и оценки, жалобы, их текст и приложенные файлы.

3.4. Технические данные:

• идентификатор аккаунта и данные сессии (cookie авторизации);
• IP-адрес и сведения о браузере (user agent) — в журналах серверов и при принятии юридических документов;
• события использования Платформы (открытые экраны, выполненные действия) — для статистики и улучшения Платформы;
• уведомления в приложении и данные подписки на push-уведомления, если пользователь их включил.

3.5. Платформа не запрашивает биометрические данные, сведения о здоровье, религиозных и политических убеждениях. Пользователю не следует загружать такие сведения в описания, портфолио, чеки и жалобы.

4. Цели обработки

• регистрация, вход по адресу электронной почты и паролю или по одноразовому коду из письма, восстановление пароля и идентификация пользователя;
• работа каталога креаторов, заказов и откликов;
• согласование условий, формирование и электронное подписание договоров между заказчиком и креатором;
• учёт оплаты этапов, загрузка и проверка чеков, сдача и приёмка работ;
• рассмотрение жалоб и споров, работа поддержки;
• модерация и верификация профилей креаторов, расчёт и публикация рейтинга;
• направление уведомлений в приложении, писем с кодом входа, ссылкой для подтверждения адреса или восстановления пароля, SMS с кодом подтверждения номера телефона и push-уведомлений;
• обеспечение безопасности, предотвращение мошенничества и злоупотреблений;
• исполнение требований законодательства Республики Казахстан;
• анализ использования Платформы в обезличенном или агрегированном виде.

5. Согласие и правовые основания

5.1. Сбор и обработка персональных данных осуществляются с согласия субъекта. Согласие даётся в электронной форме: пользователь проставляет отдельную отметку «Я даю согласие на сбор и обработку моих персональных данных» при регистрации или при публикации новой редакции Политики. Платформа хранит журнал согласий: дату и время, редакцию документа и сведения о браузере.

5.2. Обработка также осуществляется для исполнения договоров, стороной которых является пользователь (в том числе договоров с другими пользователями, заключённых на Платформе), и в иных случаях, предусмотренных Законом, без получения дополнительного согласия.

5.3. Давая согласие, пользователь соглашается также на распространение в общедоступном каталоге Платформы данных публичного профиля креатора (раздел 6.2) и на передачу данных лицам, указанным в разделе 6, в том числе трансграничную передачу (раздел 7).

6. Кому передаются данные

6.1. Другой стороне сделки: имя, город, наименование ИП или организации, БИН или ИИН — в условиях сделки и в договоре; заказчику после подписания договора — реквизиты Kaspi Pay креатора; чеки по сделке доступны только её сторонам и уполномоченным сотрудникам поддержки.

6.2. Любым посетителям Платформы: публичный профиль креатора — имя, город, профессия, уровень, описание, кейсы, портфолио, отзывы и рейтинг.

6.3. Обработчикам, которые действуют по поручению или в интересах Оператора:

• [наименование оператора CLM] — формирование и электронное подписание договора: имена и наименования сторон, БИН или ИИН, номера телефонов, условия сделки;
• провайдер SMS-рассылок Mobizon — номер телефона и текст сообщения с кодом подтверждения номера;
• [наименование почтового провайдера] — отправка писем с кодом входа, ссылкой для подтверждения адреса или восстановления пароля: адрес электронной почты и текст письма;
• Supabase — облачная инфраструктура базы данных, авторизации и хранения файлов; серверы расположены: [страна размещения серверов базы данных];
• [наименование хостинг-провайдера] — размещение веб-приложения; серверы расположены: [страна размещения веб-сервера];
• службы push-уведомлений разработчика браузера пользователя — адрес подписки и зашифрованный текст уведомления, если пользователь включил push-уведомления;
• [наименование оператора SmartSMM] — проверка входа через аккаунт SmartSMM, если пользователь его использует.

6.4. Государственным органам — в случаях и порядке, предусмотренных законодательством Республики Казахстан.

6.5. Оператор не продаёт персональные данные и не передаёт их для рекламных рассылок третьих лиц.

7. Хранение и трансграничная передача

7.1. Персональные данные хранятся в базе, расположенной: [страна размещения серверов базы данных].

7.2. Если лицо, указанное в разделе 6.3, обрабатывает данные на серверах за пределами Республики Казахстан, такая передача является трансграничной и осуществляется в соответствии с Законом. Страны, в которые может осуществляться трансграничная передача: [перечень стран трансграничной передачи].

7.3. Сроки хранения:

• данные аккаунта и профиля — в течение срока существования аккаунта и [срок хранения после удаления аккаунта] после его удаления;
• сведения о сделках, договорах, оплатах и чеки — [срок хранения сведений о сделках] с даты завершения или отмены сделки (для разрешения споров и исполнения требований законодательства);
• журнал согласий — в течение срока хранения данных аккаунта;
• технические журналы серверов — [срок хранения технических журналов].

7.4. По достижении целей обработки или истечении сроков хранения персональные данные уничтожаются или обезличиваются.

8. Защита персональных данных

• передача данных между приложением и серверами — только по защищённому соединению (HTTPS);
• вход по паролю, который хранится только в виде криптографического хеша, или по одноразовому коду из письма;
• доступ к сделке, договору и чекам имеют только стороны сделки и уполномоченные сотрудники поддержки; это ограничение действует на уровне базы данных;
• чеки и файлы жалоб хранятся в закрытом хранилище, без публичных ссылок;
• действия с оплатами и реквизитами записываются в журналы без возможности изменения.

При нарушении безопасности персональных данных Оператор уведомляет уполномоченный орган и субъектов в порядке и сроки, установленные законодательством Республики Казахстан.

9. Права субъекта персональных данных

Пользователь в соответствии с Законом вправе:

• знать о наличии у Оператора своих персональных данных и получать информацию об их обработке: цели, способы, состав, сроки, сведения о третьих лицах;
• требовать изменения и дополнения своих персональных данных при наличии оснований — большинство данных профиля пользователь может изменить сам в разделе «Профиль»;
• требовать блокирования своих персональных данных при наличии информации о нарушении условий их сбора и обработки;
• требовать уничтожения своих персональных данных, сбор и обработка которых произведены с нарушением законодательства, а также в иных случаях, установленных Законом;
• отозвать согласие на сбор и обработку персональных данных, кроме случаев, когда отзыв не допускается Законом или имеются неисполненные обязательства;
• дать согласие или отказать в распространении своих персональных данных в общедоступных источниках;
• обжаловать действия Оператора в уполномоченный орган по защите персональных данных или в суд.

Отзыв согласия означает прекращение использования Платформы: без обработки адреса электронной почты и данных сделок её функции недоступны. Отзыв не влияет на законность обработки до его получения и на хранение сведений о сделках в сроки, указанные в разделе 7.

10. Обращения

10.1. Запросы, требования и отзыв согласия направляются Оператору на электронную почту [e-mail для обращений] или по адресу [юридический адрес]. В обращении нужно указать адрес электронной почты, с которым пользователь входит в Платформу.

10.2. Оператор рассматривает обращения в сроки, установленные Законом.

11. Cookie

Платформа использует только cookie, необходимые для входа и работы приложения (сессия авторизации). Рекламные cookie и сторонние системы веб-аналитики не используются.

12. Изменение Политики

Новая редакция Политики публикуется на Платформе с указанием даты редакции. После публикации новой редакции Платформа просит пользователя снова дать согласие; продолжить работу можно только после этого.

13. Контакты Оператора

• Наименование: [наименование ТОО]
• БИН: [БИН]
• Адрес: [юридический адрес]
• Электронная почта: [e-mail для обращений]
• Телефон: [телефон для обращений]
• Ответственный за организацию обработки персональных данных: [ФИО ответственного за обработку ПДн]