Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») разработана в соответствии с требованиями Закона Республики Казахстан от 21 мая 2013 года №94-V «О персональных данных и их защите» (далее — «Закон о ПД»), а также применимыми нормами Гражданского кодекса РК, Закона РК «Об информатизации» и иных нормативных правовых актов Республики Казахстан.

1.2. Оператором персональных данных является ТОО «MIRAS&B TECH» (БИН 260340016594, юридический адрес: г. Алматы, ул. Навои, д. 37, кв/офис 180; далее — «Оператор», «Компания», «Мы»).

1.3. Субъектом персональных данных (далее — «Пользователь», «Вы») является любое физическое лицо, а также уполномоченный представитель юридического лица или ИП, который регистрируется, авторизуется или иным образом использует Платформу по адресу corp.baspana.ai и связанные сервисы.

1.4. Настоящая Политика распространяется исключительно на Платформу Baspana Pro и не регулирует обработку данных третьими сторонами, на ресурсы которых могут вести гиперссылки с Платформы.

1.5. Оператор вправе в одностороннем порядке вносить изменения в настоящую Политику. Актуальная версия размещается по адресу corp.baspana.ai/privacy. Продолжение использования Платформы после внесения изменений означает безусловное согласие с новой редакцией.

2. Состав собираемых данных

2.1. Данные, предоставляемые пользователем добровольно:

• Фамилия, имя, отчество (руководителя / сотрудника организации)
• Адрес электронной почты и номер телефона
• Наименование организации, БИН/ИИН, юридический и фактический адрес
• Платёжные сведения (передаются только платёжному сервису; Оператор не хранит данные банковских карт)
• Данные о клиентах, вносимые пользователем в CRM-модуль (доход, ИИН, кредитная история и пр.)

2.2. Данные, собираемые автоматически:

• IP-адрес, тип и версия браузера, операционная система, разрешение экрана
• Реферальный URL, страницы и разделы Платформы, время и длительность посещения
• Cookie-файлы и идентификаторы сессий (см. раздел 8)
• Логи действий пользователя в целях безопасности и аудита

2.3. Оператор не собирает намеренно специальные категории персональных данных (сведения о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях).

3. Цели обработки персональных данных

Оператор обрабатывает персональные данные исключительно в следующих целях:

• Регистрация, идентификация и аутентификация пользователя на Платформе
• Предоставление доступа к функционалу Платформы согласно выбранному тарифному плану
• Исполнение договорных обязательств, выставление счетов и ведение бухгалтерского учёта
• Техническая поддержка, обработка обращений и жалоб
• Анализ использования Платформы с целью её улучшения
• Направление сервисных и информационных уведомлений (не является рекламой)
• Соблюдение требований законодательства Республики Казахстан, в том числе при поступлении официальных запросов от уполномоченных органов
• Предотвращение мошеннических действий и иных злоупотреблений

4. Правовые основания обработки

4.1. Обработка персональных данных осуществляется на следующих правовых основаниях в соответствии со ст. 6 Закона о ПД: (а) согласие субъекта персональных данных; (б) необходимость исполнения договора, стороной которого является субъект; (в) обязанность, возложенная на Оператора законодательством РК; (г) законные интересы Оператора в объёме, не нарушающем права субъекта.

4.2. Данные клиентов, вносимые пользователем в CRM-модуль, обрабатываются Оператором как обработчиком (процессором) по поручению пользователя. Ответственность за наличие надлежащего согласия от клиентов на передачу их данных в Платформу несёт исключительно пользователь.

5. Передача данных третьим лицам

5.1. Оператор не продаёт персональные данные третьим лицам в коммерческих целях.

5.2. Оператор вправе передавать данные следующим категориям получателей:

• Supabase Inc. (США) — облачная база данных и система аутентификации. Данные хранятся на серверах, расположенных в юрисдикции ЕС/США. Supabase придерживается стандартов безопасности SOC 2 Type II.
• OpenAI, L.L.C. (США) — AI-сервис для обработки запросов в чат-ассистенте. Запросы могут содержать анонимизированные фрагменты данных. Данные не используются для обучения моделей при включении соответствующего режима API.
• Провайдеры аналитики и мониторинга (в том числе Vercel, Cloudflare) — для обеспечения производительности и безопасности инфраструктуры.
• Уполномоченные государственные органы РК — при наличии законного официального запроса.

5.3. Передача данных за пределы РК осуществляется с учётом требований ст. 22 Закона о ПД. Используя Платформу, Пользователь даёт явное согласие на трансграничную передачу своих данных в объёме, необходимом для функционирования Платформы.

6. Сроки хранения и удаление данных

6.1. Персональные данные хранятся не дольше, чем это необходимо для достижения целей обработки или до истечения срока исковой давности по возможным претензиям (не менее 3 лет с момента последней операции), либо до получения требования об удалении.

6.2. После расторжения договора и удаления аккаунта данные анонимизируются или удаляются в течение 90 дней, за исключением данных, подлежащих обязательному хранению по требованию законодательства РК (налоговые, бухгалтерские документы — 5 лет).

6.3. Резервные копии могут храниться сверх указанных сроков в зашифрованном виде исключительно в целях восстановления системы после сбоев.

7. Права субъекта персональных данных

В соответствии со ст. 8–12 Закона о ПД пользователь вправе:

• Получить сведения об обработке своих персональных данных
• Требовать исправления неточных или устаревших данных
• Требовать прекращения обработки и/или удаления данных (право на забвение) — если это не противоречит законодательству РК
• Отозвать ранее данное согласие (не влечёт ретроактивного прекращения законной обработки, осуществлявшейся на основании этого согласия)
• Обратиться с жалобой в Комитет по информационной безопасности МЦРИАП РК

Для реализации прав направьте письменное обращение на адрес: privacy@baspana.ai с указанием ФИО, контактных данных и описания запроса. Срок ответа — 15 рабочих дней.

8. Cookie-файлы

8.1. Платформа использует cookie-файлы и аналогичные технологии (localStorage, sessionStorage) для обеспечения функциональности, безопасности и аналитики.

8.2. Типы cookie:

• Обязательные (технические): необходимы для работы авторизации и сессий. Отключить невозможно без потери функциональности.
• Аналитические: позволяют измерять посещаемость и поведение пользователей. Можно отключить в настройках браузера.
• Функциональные: сохраняют пользовательские настройки (язык, тема). Отключение ухудшает опыт использования.

8.3. Продолжая пользоваться Платформой после отображения уведомления о cookie, Пользователь выражает согласие с их использованием.

9. Безопасность данных

9.1. Оператор применяет технические и организационные меры защиты: шифрование данных в покое (AES-256) и при передаче (TLS 1.3), управление доступом на основе ролей, регулярный аудит безопасности, двухфакторная аутентификация для администраторов.

9.2. Несмотря на принятые меры, Оператор не гарантирует абсолютную защиту данных от несанкционированного доступа, уничтожения, изменения, блокирования, копирования или распространения. Любая передача данных по сети интернет осуществляется на риск Пользователя.

9.3. В случае выявления инцидента безопасности, затронувшего персональные данные, Оператор уведомит пострадавших Пользователей в разумные сроки в порядке, установленном применимым законодательством.

10. Данные несовершеннолетних

Платформа предназначена исключительно для использования юридическими лицами и индивидуальными предпринимателями, а также их уполномоченными сотрудниками. Оператор не осуществляет намеренный сбор данных лиц, не достигших 18 лет. При обнаружении таких данных они будут незамедлительно удалены.

11. Ограничение ответственности Оператора

11.1. Оператор не несёт ответственности за содержание, достоверность и законность обработки данных третьих лиц (клиентов Пользователя), вносимых Пользователем в CRM-модуль Платформы. Пользователь является самостоятельным оператором данных в отношении своих клиентов и несёт полную ответственность за соответствие такой обработки требованиям Закона о ПД.

11.2. Оператор не несёт ответственности за действия третьих сторон (в том числе провайдеров инфраструктуры), которые получили несанкционированный доступ к данным вследствие действий, находящихся вне разумного контроля Оператора.

11.3. Совокупная ответственность Оператора по всем требованиям, связанным с нарушением настоящей Политики, не может превышать сумму фактически оплаченных Пользователем подписочных платежей за последние три (3) календарных месяца.

12. Контактная информация

По всем вопросам, связанным с обработкой персональных данных:

• Email: privacy@baspana.ai
• Юридический адрес: г. Алматы, ул. Навои, д. 37, кв/офис 180
• Режим работы: Пн–Пт, 09:00–18:00 (UTC+5, Алматы)