Политика конфиденциальности и обработки персональных данных

Настоящая Политика конфиденциальности и обработки персональных данных (далее — Политика) определяет порядок сбора, обработки, хранения, передачи, защиты и удаления персональных данных при использовании сайта crmbolat.kz, сервиса WABA Hub KZ, форм обратной связи, личного кабинета и связанных с ними функций (далее совместно — Сервис).

Политика применяется к посетителям сайта, пользователям Сервиса, представителям клиентов и партнёров, а также к физическим лицам, данные которых обрабатываются посредством подключённых клиентами каналов связи.

Политика разработана в соответствии с законодательством Республики Казахстан, включая Закон Республики Казахстан «О персональных данных и их защите», а также с учётом требований Meta к приложениям, получающим доступ к пользовательским данным.

Ознакомление с Политикой само по себе не заменяет согласие на обработку персональных данных. В случаях, когда согласие требуется законодательством, оно запрашивается отдельно и предоставляется пользователем посредством активного действия.

Собственником и оператором базы, содержащей персональные данные, является:

В зависимости от характера обработки ИП «Bolat & Co.» может действовать:

• как собственник и оператор данных посетителей сайта, пользователей личного кабинета, представителей клиентов и лиц, обращающихся за поддержкой;
• как лицо, обрабатывающее данные по поручению клиента, когда клиент использует Сервис для взаимодействия со своими контактами через WhatsApp Business Platform. В таком случае клиент отвечает за наличие законного основания для сбора, обработки и передачи данных своих контактов.

Состав данных зависит от используемых функций Сервиса и может включать следующие категории.

3.1. Контактные и регистрационные данные

• имя, фамилия и отчество, если оно указано;
• номер телефона;
• адрес электронной почты;
• должность, наименование компании и сведения о представителе компании;
• данные учётной записи, настройки профиля и сведения о предоставленных согласиях;
• содержание обращений, заявок и переписки со службой поддержки.

3.2. Данные компании и интеграции с Meta

• наименование компании и сведения о Meta Business Portfolio;
• Meta Business Portfolio ID, WhatsApp Business Account ID и Phone Number ID;
• отображаемый номер WhatsApp Business;
• статусы Business Verification, подключения номера и качества номера;
• сведения о подключении Coexistence;
• шаблоны сообщений и результаты их проверки Meta;
• идентификаторы разрешений, технический статус и срок действия токенов;
• иные технические данные, необходимые для работы официального WhatsApp Business Platform, Cloud API, Embedded Signup, Graph API и Webhooks.

Секреты приложения, токены доступа и иные ключи не передаются в общедоступную часть сайта и должны храниться в защищённом виде.

3.3. Данные, обрабатываемые через WhatsApp

При использовании клиентом соответствующих функций могут обрабатываться:

• номера телефонов и имена контактов;
• идентификаторы сообщений;
• дата, время, направление и статус доставки сообщения;
• содержание сообщений и вложения, если это необходимо для предоставления выбранной клиентом функции;
• данные шаблонов сообщений;
• история переписки и контакты из WhatsApp Business App, если клиент использует Coexistence и отдельно разрешил предусмотренную Meta синхронизацию.

ИП «Bolat & Co.» не продаёт содержание сообщений, не использует его для собственной рекламы и не использует его для обучения общедоступных моделей искусственного интеллекта.

3.4. Платёжные и договорные данные

• реквизиты клиента и его представителя;
• сведения о договоре, тарифе и заказанных услугах;
• номера и даты счетов, актов и иных документов;
• сумма, дата, назначение и статус платежа;
• сведения об авансовом балансе, начислениях, списаниях, возвратах и корректировках;
• платёжные документы, предоставленные клиентом для подтверждения оплаты.

Сервис не запрашивает и не хранит полный номер банковской карты, CVV/CVC-код или PIN-код. Если оплата в будущем будет осуществляться через платёжного провайдера, карточные данные будут обрабатываться таким провайдером по его правилам и политике конфиденциальности.

3.5. Технические данные

• IP-адрес;
• сведения об устройстве, браузере и операционной системе;
• дата и время посещения и совершения действий;
• cookie, идентификатор сессии и настройки языка;
• журналы входов, действий, ошибок, безопасности и аудита;
• источник перехода на сайт и техническая информация о работе Сервиса.

Данные могут быть получены:

• непосредственно от пользователя или представителя клиента;
• от клиента, который законно передаёт данные своих сотрудников или контактов;
• автоматически при использовании сайта и Сервиса;
• от Meta и WhatsApp Business Platform после предоставления пользователем необходимых разрешений;
• от банка или платёжного провайдера в объёме, необходимом для подтверждения платежа;
• из государственных или общедоступных источников, когда это допускается законодательством и необходимо для заключения или исполнения договора.

Персональные данные обрабатываются для:

• регистрации, идентификации и аутентификации пользователя;
• создания и обслуживания учётной записи и организации клиента;
• заключения и исполнения договоров;
• подключения и обслуживания WhatsApp Business Platform;
• обеспечения работы Embedded Signup, Cloud API, Webhooks и Coexistence;
• управления номерами, шаблонами сообщений и настройками интеграции;
• оказания технической поддержки и обработки обращений;
• выставления счетов, подтверждения оплаты, ведения авансового баланса, бухгалтерского и налогового учёта;
• отправки обязательных сервисных уведомлений;
• предотвращения мошенничества, спама, несанкционированного доступа и нарушений правил Meta;
• ведения журналов безопасности и расследования инцидентов;
• исполнения требований законодательства и законных запросов государственных органов;
• улучшения стабильности и качества Сервиса на основе агрегированной или обезличенной аналитики;
• направления рекламных и информационных материалов только при наличии отдельного согласия, когда такое согласие требуется.

Данные не обрабатываются способом, несовместимым с указанными целями, и не собираются в объёме, избыточном по отношению к этим целям.

Обработка осуществляется на одном или нескольких основаниях:

• согласие субъекта персональных данных;
• необходимость заключения и исполнения договора;
• выполнение обязанностей, установленных законодательством Республики Казахстан;
• защита прав и законных интересов Оператора, клиента или третьих лиц в случаях, допускаемых законодательством;
• иные основания, прямо предусмотренные законодательством Республики Казахстан.

Если обработка основана на согласии, пользователю сообщаются сведения, предусмотренные законодательством, включая перечень данных, цели обработки, срок действия согласия, возможность передачи третьим лицам и наличие трансграничной передачи.

Согласие предоставляется активным действием. Заранее отмеченные флажки не используются. Субъект вправе отозвать согласие, если такой отзыв не противоречит законодательству и не препятствует исполнению неоконченного обязательства.

Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, изменение, дополнение, использование, передачу, предоставление доступа, обезличивание, блокирование и уничтожение персональных данных в пределах заявленных целей и законных оснований.

Обработка может выполняться автоматизированным, неавтоматизированным или смешанным способом. Оператор не принимает решений, порождающих для пользователя юридические последствия или иным образом существенно влияющих на него, исключительно на основании автоматизированной обработки, если иное отдельно не согласовано и не предусмотрено законом.

Сервис использует официальные продукты и интерфейсы Meta, включая WhatsApp Business Platform, Cloud API, Embedded Signup, Graph API и Webhooks.

Meta самостоятельно определяет порядок обработки данных в своих продуктах в соответствии со своими условиями и политиками. ИП «Bolat & Co.» не получает и не запрашивает пароль пользователя от Facebook или Meta Business Suite.

Приложение запрашивает только те разрешения, которые необходимы для работы выбранных функций. Пользователь может отозвать разрешения или отключить интеграцию через настройки Meta, WhatsApp Business и/или личного кабинета Сервиса.

Использование WhatsApp также регулируется применимыми условиями и политиками Meta и WhatsApp. Клиент обязан использовать Сервис законно, соблюдать правила WhatsApp Business Messaging и иметь необходимые согласия получателей сообщений.

Данные могут передаваться только в объёме, необходимом для предоставления Сервиса, следующим категориям получателей:

• Meta Platforms и компаниям группы Meta — для работы WhatsApp Business Platform;
• Solution Partner — если его инфраструктура или кредитная линия фактически используется для обслуживания клиента;
• провайдерам серверной инфраструктуры, резервного копирования, объектного хранилища и информационной безопасности;
• поставщикам электронной почты, мониторинга и технической поддержки;
• банкам, платёжным организациям, бухгалтерским и налоговым сервисам — для обработки и подтверждения расчётов;
• консультантам и подрядчикам, связанным обязательствами конфиденциальности;
• государственным органам и иным лицам — при наличии законного требования или основания.

Оператор требует от привлечённых лиц соблюдать конфиденциальность, использовать данные только для согласованных целей и принимать необходимые меры защиты.

Оператор не продаёт и не сдаёт персональные данные в аренду.

Хранение персональных данных осуществляется в базе, находящейся на территории Республики Казахстан, в соответствии с требованиями законодательства Республики Казахстан.

Для работы Meta, WhatsApp и отдельных зарубежных технологических поставщиков часть данных может передаваться и обрабатываться за пределами Республики Казахстан. Такая передача выполняется при наличии законного основания и необходимых мер защиты. Если законодательство требует согласия на трансграничную передачу, оно запрашивается до начала такой передачи.

Пользователь понимает, что подключение WhatsApp Business Platform технически предполагает обработку отдельных данных инфраструктурой Meta. Если пользователь не согласен с необходимой трансграничной передачей, соответствующая интеграция не может быть подключена.

Данные хранятся не дольше, чем это необходимо для целей обработки, исполнения договора и выполнения обязанностей по законодательству:

• данные активной учётной записи — в течение срока использования Сервиса;
• данные интеграции и Meta-токены — до отключения интеграции, отзыва разрешений, истечения токена или прекращения договора;
• обращения в поддержку — в течение срока, необходимого для обработки обращения и защиты прав сторон;
• журналы безопасности и аудита — в течение срока, установленного внутренними правилами безопасности;
• договорные, платёжные, бухгалтерские и налоговые документы — в течение сроков, установленных законодательством Республики Казахстан;
• резервные копии — до завершения установленного цикла ротации, после чего удалённые данные перезаписываются;
• данные, в отношении которых отсутствует дальнейшая законная цель хранения, — удаляются или необратимо обезличиваются.

Если отдельные данные необходимы для рассмотрения спора, предотвращения мошенничества либо исполнения требования закона, они могут храниться до окончания соответствующего срока или процедуры с ограничением дальнейшей обработки.

Пользователь может запросить доступ, исправление, блокирование или удаление своих данных, а также отозвать согласие, направив письмо на corp@crmbolat.kz с темой «Персональные данные — запрос».

Подробная инструкция размещается по адресу: https://crmbolat.kz/data-deletion.

В запросе следует указать:

• имя или наименование организации;
• email или номер телефона, использованный в Сервисе;
• суть требования;
• при необходимости — сведения, позволяющие подтвердить личность или полномочия представителя без передачи избыточных данных.

Оператор регистрирует запрос и сообщает о его исполнении. После отзыва согласия Оператор прекращает обработку в течение срока, установленного законодательством Республики Казахстан, если хранение или обработка не требуются законом либо для исполнения неоконченного обязательства. На дату настоящей редакции такой срок составляет до пятнадцати рабочих дней.

Удаление может включать отключение интеграции, отзыв токенов, удаление или обезличивание данных в активных системах и последующее удаление из резервных копий в рамках цикла их ротации. Часть сведений может быть сохранена в минимальном объёме, если это требуется законодательством, бухгалтерским учётом, разрешением спора или защитой от мошенничества.

Субъект персональных данных вправе:

• знать о наличии у Оператора своих персональных данных;
• получить информацию о целях, источниках, способах и сроках обработки;
• получить доступ к своим данным в случаях, предусмотренных законом;
• потребовать уточнения, изменения или дополнения неточных данных;
• отозвать согласие на сбор и обработку данных;
• потребовать блокирования или уничтожения данных при наличии законного основания;
• отказаться от маркетинговых сообщений;
• обжаловать действия или бездействие Оператора в уполномоченный орган или суд.

Для предотвращения несанкционированного доступа или удаления Оператор вправе разумным способом проверить личность заявителя или полномочия его представителя.

Оператор применяет необходимые организационные и технические меры защиты, включая, по мере применимости:

• разграничение прав доступа и принцип минимальных привилегий;
• многофакторную аутентификацию административных учётных записей;
• шифрование соединений и конфиденциальных данных;
• защищённое хранение секретов и Meta-токенов;
• хранение секретов вне общедоступного исходного кода;
• журналирование критических действий и контроль доступа;
• резервное копирование и проверку восстановления;
• проверку подписей webhook и защиту от повторной обработки событий;
• мониторинг технических ошибок и событий безопасности;
• обязательства сотрудников и подрядчиков о конфиденциальности;
• процедуры реагирования на инциденты.

Ни один способ передачи или хранения данных не обеспечивает абсолютной безопасности. При обнаружении нарушения безопасности Оператор принимает меры по его локализации, устранению последствий и выполнению обязанностей по уведомлению в случаях, предусмотренных законодательством.

Сайт может использовать строго необходимые cookie для авторизации, безопасности, сохранения языка и настроек, работы форм и пользовательской сессии.

Аналитические, рекламные и иные необязательные cookie используются только после получения согласия, когда оно требуется. Пользователь может изменить настройки cookie в интерфейсе сайта или браузера. Отключение строго необходимых cookie может нарушить работу отдельных функций.

Рекламные и маркетинговые сообщения направляются при наличии требуемого согласия. Пользователь может отказаться от них по ссылке в сообщении либо направив запрос на corp@crmbolat.kz.

Отказ от рекламы не препятствует отправке обязательных сервисных уведомлений, связанных с безопасностью, платежами, изменением договора или работой заказанной услуги.

Сервис предназначен для использования предпринимателями и организациями и не рассчитан на самостоятельное использование несовершеннолетними. Оператор сознательно не собирает персональные данные детей. Если такие данные были предоставлены без надлежащего законного основания, следует направить запрос на их удаление.

Оператор вправе обновлять Политику при изменении законодательства, функциональности Сервиса, состава поставщиков или порядка обработки данных.

Актуальная редакция всегда размещается по адресу https://crmbolat.kz/privacy. Дата последнего обновления указывается в начале документа. Существенные изменения могут дополнительно доводиться до зарегистрированных пользователей через личный кабинет или email.

Вопросы и запросы, связанные с персональными данными, направляются:

• оператор: ИП «Bolat & Co.»;
• email: corp@crmbolat.kz;
• тема письма: «Персональные данные — запрос»;
• почтовый адрес: Республика Казахстан, Жамбылская область, г. Тараз, ул. Пушкина, д. 91.