Политика персональных данных CRM

1. Оператор и область действия

Оператор персональных данных пользователей сервиса — ИП Gruzovozi, БИН/ИИН 890901302375, Республика Казахстан, г. Алматы, пр. Алтынсарина, 8.

Эта политика относится к регистрации, входу, восстановлению доступа, поддержке, техническим журналам и использованию CRM. Для данных, которые Клиент загружает о своих клиентах, сотрудниках, водителях и контрагентах, Клиент определяет цели обработки, а ИП Gruzovozi действует как технический оператор по Поручению на обработку клиентской базы.

2. Какие данные мы получаем

3. Что мы не просим при регистрации

Для создания компании не требуются ИИН физического лица, удостоверение личности, банковская карта, биометрия или ключ электронной подписи. Пароль хранится только в виде стойкого хеша и не сообщается сотрудникам Оператора.

4. Цели и основания обработки

• заключение и исполнение договора о доступе к CRM;
• явное согласие пользователя там, где оно требуется;
• исполнение требований законодательства Республики Казахстан;
• защита сервиса и пользователей от несанкционированного доступа;
• обработка клиентской базы по документированному поручению Клиента.

Рекламные сообщения не являются обязательной частью сервиса. Согласие на них запрашивается отдельно и может быть отозвано без прекращения работы CRM.

5. Минимизация

Собираются только данные, необходимые для конкретной функции. Технические журналы не должны содержать открытые пароли, токены подтверждения, секретные ключи, содержимое файлов и полные клиентские записи. Там, где достаточно счётчика или отпечатка, исходное значение не сохраняется.

6. Где хранятся данные

Основная база персональных данных размещается в базе или цифровом объекте на территории Республики Казахстан. До технического подтверждения этого условия открытая регистрация должна оставаться закрытой.

Передача персональных данных за пределы Казахстана по умолчанию отключена. Если отдельная функция требует иностранного поставщика, до её включения Клиенту показываются поставщик, страна, цель, категории данных и доступная альтернатива. Где закон требует согласия, функция не включается без отдельного согласия.

7. Кому данные могут быть доступны

Доступ получают только пользователь, уполномоченные им участники компании и ограниченный круг сотрудников Оператора в пределах служебной необходимости. Постоянного доступа поддержки к содержимому компаний нет.

Хостинг, почтовая доставка, резервное копирование и внешний ИИ считаются поставщиками обработки только после внесения в публичный реестр поставщиков и проверки договора. Новый поставщик, который затрагивает клиентские персональные данные, объявляется не менее чем за 30 дней, кроме срочной замены для устранения угрозы.

По законному требованию уполномоченного государственного органа раскрывается только обязательный объём. Если закон не запрещает, Клиент уведомляется.

8. Сроки хранения

9. Защита

• разделение компаний по неизменяемому идентификатору, каталогу и ключу данных;
• проверка членства и роли на сервере;
• шифрование секретов и защищённая конфигурация вне публичного каталога;
• одноразовые ссылки подтверждения и восстановления с ограниченным сроком;
• ограничение частоты запросов и общий предел регистраций;
• журналирование административных и защитных действий без исходных персональных данных;
• резервное копирование с проверкой восстановления;
• запрет исполняемых и активных файлов во вложениях.

10. Права человека

Субъект вправе узнать о наличии и целях обработки своих данных, получить доступ, потребовать исправления, ограничения, обезличивания или удаления, а также отозвать согласие. Запрос можно отправить на info@gruzovozi.kz.

Для защиты от выдачи данных постороннему лицу Оператор вправе запросить разумное подтверждение личности или полномочий. Отзыв согласия исполняется в сроки законодательства Республики Казахстан; если данные должны сохраняться по закону или незавершённому обязательству, заявителю сообщается основание ограничения.

11. Инциденты

При подтверждённом нарушении безопасности Оператор прекращает распространение, сохраняет доказательства без расширения доступа, оценивает затронутые данные и уведомляет Клиента без неоправданной задержки. Если инцидент затрагивает клиентскую базу, первое уведомление направляется не позднее 24 часов после подтверждения, даже если расследование ещё продолжается.

12. Изменения политики

Материальные изменения публикуются новой версией и сообщаются минимум за 30 календарных дней. Для продолжения работы запрашивается повторное явное принятие. История версий сохраняется доступной пользователю.

13. Контакты