Политика конфиденциальности и обработки персональных данных

Настоящая Политика конфиденциальности и обработки персональных данных (далее — Политика) разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — Закон) и определяет порядок сбора, обработки и защиты персональных данных пользователей информационной системы «Casa Digital Report» (далее — Платформа).

Собственником и оператором базы, содержащей персональные данные, является ТОО «Casa Digital (Каса диджитал)», БИН 220340018820, юридический адрес: 050004, Республика Казахстан, г. Алматы, пр. Назарбаева, д. 65, офис 526 (далее — Оператор).

Разработку, размещение и техническое сопровождение Платформы по договору с Оператором осуществляет привлечённый исполнитель. Исполнитель обрабатывает персональные данные исключительно по поручению Оператора, в объёме, необходимом для работы Платформы, и обязан соблюдать их конфиденциальность.

Платформа является закрытой корпоративной системой. Доступ к ней предоставляется работникам Оператора, его партнёрам и представителям клиентов Оператора по решению Оператора.

Регистрируясь на Платформе и проставляя отметку о согласии с Политикой, пользователь даёт Оператору согласие на сбор и обработку своих персональных данных на условиях Политики, включая их трансграничную передачу, описанную в разделе 7.

Персональные данные — сведения, относящиеся к определённому или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.

Субъект персональных данных (пользователь) — физическое лицо, зарегистрированное на Платформе или подавшее заявку на доступ к ней.

Обработка персональных данных — действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.

Иные понятия используются в значениях, установленных Законом.

Адрес электронной почты, фамилия и имя, указанные при регистрации.

При входе через аккаунт Google — имя, адрес электронной почты и изображение профиля, переданные Google с согласия пользователя.

Сведения о правах доступа: назначенные роли, узлы структуры, клиенты и рекламные кабинеты, открытые пользователю.

Журнал действий: сведения о выдаче и отзыве доступов, изменениях структуры и действиях с рекламными кампаниями с указанием пользователя и времени.

Технические данные сеанса: дата и время входа, сведения о браузере, IP-адрес в журналах серверов.

Пароль в открытом виде не хранится и Оператору недоступен: сервис аутентификации сохраняет только его криптографический хеш. Платёжные данные, биометрические данные и сведения, относящиеся к специальным категориям, Платформа не собирает.

Идентификация и аутентификация пользователя, предоставление доступа к Платформе.

Разграничение доступа: предоставление каждому пользователю только тех данных о клиентах и рекламных кабинетах, которые открыты ему Оператором.

Подготовка сводной статистики, отчётов и уведомлений о состоянии рекламных кабинетов клиентов Оператора.

Обеспечение безопасности Платформы, расследование инцидентов и учёт действий пользователей.

Исполнение обязательств Оператора перед его клиентами и партнёрами, требований законодательства.

Согласие субъекта персональных данных, выраженное при регистрации на Платформе.

Трудовые и гражданско-правовые договоры, заключённые Оператором с работниками, партнёрами и клиентами, в рамках исполнения которых предоставляется доступ к Платформе.

Случаи, предусмотренные законодательством Республики Казахстан.

Обработка осуществляется с использованием средств автоматизации. Персональные данные не используются для принятия решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.

Платформа использует только технические файлы cookie и локальное хранилище браузера, необходимые для работы сеанса входа и сохранения настроек интерфейса. Рекламные и аналитические cookie не применяются.

При задании пароля Платформа проверяет его по открытой базе утёкших паролей сервиса Have I Been Pwned. Для проверки передаются только первые пять символов хеша пароля, по которым невозможно установить ни пароль, ни пользователя.

Оператор не распространяет персональные данные, не продаёт их и не передаёт третьим лицам для рекламных и иных целей, не указанных в Политике.

Для работы Платформы персональные данные обрабатываются с использованием следующих сервисов, которые получают их в объёме, необходимом для оказания своих услуг:

• Supabase Inc. — хранение базы данных и аутентификация; серверы расположены во Франкфурте-на-Майне (ФРГ);
• Vercel Inc. — размещение и работа веб-приложения; вычисления выполняются в регионе Франкфурт-на-Майне (ФРГ);
• Google LLC — вход через аккаунт Google, если пользователь выбрал этот способ.

Использование указанных сервисов означает трансграничную передачу персональных данных. Она осуществляется на основании согласия субъекта в соответствии со статьёй 16 Закона. Оператор выбирает сервисы, обеспечивающие защиту персональных данных на уровне не ниже требований законодательства Республики Казахстан.

Рекламная статистика поступает на Платформу из Яндекс Директа. Персональные данные пользователей Платформы в Яндекс Директ не передаются.

Персональные данные могут быть предоставлены государственным органам в случаях и порядке, предусмотренных законодательством Республики Казахстан.

Персональные данные хранятся в течение срока действия доступа пользователя к Платформе и не дольше, чем этого требуют цели обработки.

После прекращения доступа учётная запись блокируется. Персональные данные уничтожаются по письменному требованию субъекта либо при достижении целей обработки, за исключением сведений журнала действий, которые хранятся в течение срока, необходимого для защиты прав и законных интересов Оператора.

Субъект вправе:

• знать о наличии у Оператора своих персональных данных и получать сведения об их обработке;
• требовать изменения и дополнения своих персональных данных при наличии оснований;
• требовать блокирования и уничтожения персональных данных, обработка которых ведётся с нарушением Закона;
• отозвать согласие на обработку, кроме случаев, когда это противоречит законам Республики Казахстан;
• обжаловать действия Оператора в уполномоченный орган в сфере защиты персональных данных или в суд.

Отзыв согласия влечёт прекращение доступа к Платформе, поскольку её работа невозможна без обработки персональных данных пользователя.

Для реализации прав субъект направляет Оператору письменное обращение по юридическому адресу или электронное обращение через лицо, предоставившее ему доступ к Платформе. Оператор рассматривает обращение в сроки, установленные законодательством Республики Казахстан.

Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, распространения и уничтожения, в том числе:

• разграничение доступа на уровне базы данных, а не только интерфейса;
• шифрование соединения с Платформой по протоколу HTTPS;
• хранение паролей только в виде криптографического хеша и требования к сложности пароля;
• хранение ключей доступа к рекламным системам только на сервере, без передачи в браузер пользователя;
• ведение журнала действий с доступами и рекламными кампаниями.

Пользователь обязан не передавать третьим лицам данные для входа и незамедлительно сообщать Оператору о подозрении на несанкционированный доступ к своей учётной записи.

Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на Платформе, дата редакции указывается в начале документа. О существенных изменениях пользователи уведомляются при входе на Платформу.

Отношения, не урегулированные Политикой, регулируются законодательством Республики Казахстан.