Политика конфиденциальности

Как мы собираем, храним и защищаем персональные данные

Проект документа. Текст подготовлен для согласования и должен быть проверен юристом, практикующим в Республике Казахстан. Подсвеченные поля ещё не заполнены.

1. Общие положения

1.1. Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон о ПД») и определяет порядок сбора, обработки и защиты персональных данных пользователей Сайта esep.cartline.ru.

1.2. Собственником и оператором базы, содержащей персональные данные, является Товарищество с ограниченной ответственностью «Style Point» (БИН 250940025966, адрес: 050022, Республика Казахстан, г. Алматы, Алмалинский район, ул. Байтурсынулы, д. 95), далее — «Оператор».

1.3. Лицо, ответственное за организацию обработки персональных данных (подпункт 10 пункта 2 статьи 25 Закона о ПД): ответственный за ПД, e-mail e-mail.

1.4. Обработка персональных данных производится с согласия субъекта, которое он даёт на Сайте отдельной отметкой (статья 8 Закона о ПД), кроме случаев, когда законодательство РК допускает обработку без согласия. Мы собираем только данные, необходимые для указанных целей, и не запрашиваем документы, удостоверяющие личность, и фотографии.

2. Какие данные мы собираем

• имя и фамилия;
• адрес электронной почты и номер телефона;
• логин и зашифрованный пароль;
• сведения о заказах, платежах и возвратах: сумма, дата, способ оплаты, маскированный номер карты (первые 6 и последние 4 цифры), токен карты от платёжного провайдера. Полный номер карты и код CVV/CVC Оператор не получает и не хранит;
• сведения об обучении: открытые уроки, результаты тестов, выданные сертификаты;
• факт и дата согласий (с офертой, на обработку ПД, на автосписание), IP-адрес и редакция документа на момент согласия;
• технические данные: IP-адрес, тип устройства и браузера, cookie (см. Политику cookie);
• содержание обращений в поддержку.

3. Цели обработки и сроки хранения

• Учётная запись и доступ к Материалам — в течение действия учётной записи и 3 лет после её удаления.
• Заказы, платежи, возвраты, журнал открытых уроков и согласий — 5 лет после исполнения Договора: для подтверждения оказания услуг, разрешения споров, в том числе по оспариванию операций по картам, и требований банка-эквайера.
• Фискальные и бухгалтерские сведения — в сроки, установленные налоговым законодательством РК.
• Связь по заказу, подписке и обращениям — 3 года с последнего обращения.
• Защита учётной записи, журналы безопасности — 1 год.
• Информационные письма о новых материалах — только с отдельного согласия, до его отзыва. Отказаться можно по ссылке в каждом письме.
• Обезличенная статистика работы Сайта — только после согласия на аналитические cookie, до его отзыва.

По истечении срока данные уничтожаются или обезличиваются (статья 18 Закона о ПД).

4. Место хранения

В соответствии с пунктом 2 статьи 12 Закона о ПД персональные данные хранятся в базе, находящейся на территории Республики Казахстан (хостинг в РК). Резервные копии также хранятся на территории РК.

5. Передача третьим лицам

5.1. Оператор передаёт персональные данные только в объёме, необходимом для указанных целей, и ведёт учёт таких передач:

• платёжному провайдеру платёжный провайдер и банку-эквайеру — для приёма оплаты и возвратов;
• банку-партнёру — при оплате в рассрочку;
• оператору фискальных данных оператор фискальных данных — для выдачи фискальных чеков;
• сервису рассылки электронной почты сервис рассылки — для отправки писем о заказе и доступе;
• хостинг-провайдеру хостинг в РК — для хранения данных на территории РК;
• государственным органам — в случаях, предусмотренных законодательством РК.

5.2. Трансграничная передача (статья 16 Закона о ПД) производится только при использовании сервисов веб-аналитики сервисы аналитики и только после согласия пользователя в баннере cookie. Передаются обезличенные технические данные. Без такого согласия трансграничная передача не производится.

5.3. Персональные данные не распространяются в общедоступных источниках. Отзыв с именем публикуется на Сайте только с отдельного согласия автора отзыва.

6. Защита данных

• доступ к Сайту — только по защищённому протоколу HTTPS;
• пароли хранятся в виде криптографического хэша;
• доступ сотрудников к данным ограничен ролями, действия администраторов записываются в журнал;
• данные банковских карт обрабатываются только платёжным провайдером, соответствующим стандарту PCI DSS.

При обнаружении нарушения безопасности персональных данных Оператор в течение одного рабочего дня уведомляет уполномоченный орган в сфере защиты персональных данных и сообщает контакты ответственного лица, а также принимает меры по устранению последствий (подпункт 8 пункта 2 статьи 25 Закона о ПД). Пострадавшим пользователям мы сообщаем по электронной почте.

7. Права субъекта персональных данных

Пользователь вправе (статья 24 Закона о ПД):

• знать о наличии у Оператора своих персональных данных и получать сведения об их обработке;
• требовать изменения и дополнения своих персональных данных;
• требовать блокирования и уничтожения персональных данных, обработка которых нарушает законодательство РК;
• отозвать согласие на обработку, кроме случаев, когда это противоречит законодательству РК или неисполненному договору;
• удалить учётную запись в Личном кабинете;
• обжаловать действия Оператора в уполномоченный орган или в суд.

8. Как обратиться и сроки ответа

8.1. Запросы направляются на e-mail с адреса, указанного в учётной записи, или письменно по адресу: 050022, Республика Казахстан, г. Алматы, Алмалинский район, ул. Байтурсынулы, д. 95. В теме укажите суть запроса: «Сведения о моих данных», «Исправить данные», «Удалить данные» или «Отозвать согласие».

8.2. Перед исполнением запроса Оператор вправе подтвердить личность заявителя. Если исполнить запрос нельзя, Оператор даёт мотивированный отказ.

8.3. Сроки:

• исправление, блокирование или уничтожение данных, обработка которых нарушает закон, — в течение одного рабочего дня с момента выявления (подпункт 8 пункта 2 статьи 25 Закона о ПД);
• прекращение обработки после отзыва согласия или мотивированный отказ — в течение 15 рабочих дней (пункт 7 статьи 8 Закона о ПД);
• ответ на иные запросы — в сроки, установленные законодательством РК, но не позднее 10 календарных дней.

9. Несовершеннолетние

Сайт предназначен для лиц старше 18 лет. Если выяснится, что данные несовершеннолетнего попали к Оператору без согласия законного представителя, Оператор по его запросу блокирует учётную запись и уничтожает данные.

10. Изменение Политики

Оператор уведомляет пользователей об изменении Политики по электронной почте не менее чем за 10 календарных дней до вступления изменений в силу. Новая редакция публикуется на Сайте с датой. Если изменения касаются целей обработки или состава данных, Оператор запрашивает новое согласие.