Соглашение об обработке персональных данных по поручению Клиента

Версия 1. Действует с 26.10.2026. Размещена по адресу https://shertaev-tech.kz/legal/1/dpa.

1. Стороны и термины

1.1. Клиент — лицо, принявшее оферту ТОО «ShertaevTech» (БИН 260240032834), в отношении данных посетителей своего сайта, своих клиентов и контактов является собственником и оператором персональных данных (пп. 9, 10 ст. 1 Закона РК «О персональных данных и их защите» № 94-V, далее — Закон): определяет цели обработки, состав данных и отвечает перед субъектами.

1.2. Исполнитель — ТОО «ShertaevTech», который по поручению Клиента обрабатывает ПДн как третье лицо (пп. 17 ст. 1 Закона), далее также — обработчик. Исполнитель обрабатывает ПДн Клиента только для оказания услуг по оферте и по документированным указаниям Клиента.

1.3. Термины «персональные данные», «обработка», «трансграничная передача», «маскирование», «удаление», «анонимизация», «нарушение безопасности ПДн» понимаются по ст. 1 Закона.

1.4. Принятие оферты означает принятие этого Соглашения. При противоречии с офертой в части ПДн действует Соглашение.

1.5. Продукты. Соглашение действует для каждого продукта, который Клиент подключил: Сайты, CRM и бот, Веб-аналитика (в том числе на сайтах Клиента, сделанных не на платформе), API ai-platform, Звонки (DeepTalk). Обработка данных продукта начинается с его подключения, когда Клиент принимает приложение продукта (Приложение 6 к оферте), и прекращается с его отключением по правилам раздела 7. Особые условия продуктов — разделы 3, 6 и 7 Соглашения и Приложение 6.

2. Предмет и поручение

2.1. Клиент поручает, а Исполнитель принимает на себя обработку ПДн, перечисленных в разделе 3, в целях раздела 4, способами раздела 5, на срок раздела 7.

2.2. Указаниями Клиента считаются: условия оферты и Соглашения, настройки, которые Клиент или его сотрудники задают в студии, CRM и других продуктах (поля форм, тексты согласий, включение бота, автоответа, записи звонков, режим согласия и баннер веб-аналитики, параметры маскирования в API), запросы Клиента к API ai-platform, и письменные указания на [email protected]. Если Исполнитель считает указание нарушающим законодательство РК, он сообщает Клиенту и вправе не исполнять его до уточнения.

3. Субъекты и состав данных

Клиент не включает в формы и не поручает обработку: ИИН, данных удостоверения личности, сведений о состоянии здоровья и диагнозах, биометрических данных, данных детей до 18 лет — если иное не согласовано письменно с Исполнителем.

Клиенты в сфере здравоохранения и иные Клиенты, получающие сведения, доступ к которым ограничен законом (врачебная, адвокатская, банковская тайна): формы и CRM работают, данные хранятся в РК; чат-бот включён и у них. Свободный текст заявки и переписки может содержать сведения о здоровье, а бот до перехода платформы на собственные модели в РК передаёт тексты поставщику моделей за рубежом. Бот предупреждает «не пишите сведения о здоровье».

4. Цели обработки

Приём и хранение заявок и сообщений; ответы посетителям через бота и сотрудников Клиента; ведение CRM и учёт исходов обращений; отправка сообщений WhatsApp от имени Клиента посетителям, давшим согласие; отчёты Клиенту о посещаемости и обращениях; техническая поддержка, резервное копирование, обеспечение безопасности. Исполнитель не использует ПДн Клиента в собственных целях, в том числе для рекламы, продажи и обучения моделей. Для веб-аналитики — отчёты Клиенту о посещаемости его сайта; для API ai-platform — обработка запросов Клиента моделями и выдача ответа; для звонков — приём и запись звонков, расшифровка, краткое содержание, передача обращения в CRM. Агрегированные обезличенные показатели (без возможности определить субъекта) Исполнитель вправе использовать для улучшения сервиса (ст. 17 Закона); продуктовые события Исполнитель собирает без ПДн, с идентификатором организации.

5. Действия с данными

Сбор (через формы, бот, WhatsApp, телефонию, счётчик веб-аналитики, запросы к API), накопление, хранение, изменение, дополнение, использование, передача субобработчикам (раздел 8), маскирование, обезличивание, анонимизация, блокирование, уничтожение и удаление — с использованием средств автоматизации. Распространение в общедоступных источниках не производится.

6. Обязанности Клиента

6.1. Получить согласия субъектов до сбора ПДн (ст. 7, 8 Закона) в форме, позволяющей подтвердить их получение, с содержанием по п. 4 ст. 8 Закона, включая: наименование и БИН Клиента; передачу Исполнителю как третьему лицу; трансграничную передачу (раздел 8); перечень данных; срок действия согласия. Исполнитель предоставляет шаблоны текстов и механизм фиксации согласия; Клиент проверяет и при необходимости дополняет текст, указывает свои реквизиты и отвечает за их достаточность. Шаблоны текстов Исполнитель предоставляет как образец. Исполнитель не отвечает перед Клиентом за убытки из-за недостаточности шаблона, если Клиент не сообщил Исполнителю об особенностях своей деятельности (сведения о здоровье, данные детей и т. п.), кроме случаев умысла или грубой неосторожности Исполнителя.

6.2. Отдельно получать согласие на сообщения WhatsApp, которые начинает бизнес (автоответ на пропущенный звонок, напоминания), и соблюдать политику WhatsApp Business. Не включать автоответ для номеров без такого согласия. Автоответ на пропущенный звонок вне окна 24 часов уходит только номерам с отдельной галочкой WhatsApp в форме сайта; текст — служебный, без рекламы, со «СТОП»; не чаще раза в сутки на номер и только на номера РК; шаблоны сначала проверяются на тестовом номере Meta. Клиент упоминает автоответ в своей политике: раздел «WhatsApp» — автоответ на пропущенный звонок при согласии, отказ словом «СТОП», хранение подтверждения согласия 3 года после удаления данных в обезличенном виде.

6.3. Разместить на сайте свою политику обработки ПДн (пп. 1-1 п. 2 ст. 25), назначить ответственное лицо (пп. 10), отвечать на обращения субъектов, уведомлять уполномоченный орган, если Клиент к этому обязан (ст. 10-1, 25-1).

6.4. Не загружать в платформу ПДн, полученные без законного основания; обеспечить конфиденциальность учётных данных своих сотрудников и своевременно отзывать доступ уволенных.

6.5. Клиент самостоятельно оформляет учётную запись WhatsApp Business для своего номера, принимает условия Meta (WhatsApp Business Platform) и оплачивает Meta её услуги напрямую. В этой части Meta обрабатывает данные по договору с Клиентом, а Исполнитель как технический партнёр Meta (Tech Provider) лишь передаёт сообщения через API по указанию Клиента. Посредник (BSP) не используется.

6.6. Веб-аналитика. На сайтах Клиента на платформе счётчик работает только после согласия посетителя в баннере платформы. На сайтах не на платформе режим выбирает Клиент: по умолчанию — анонимный подсчёт без хранения данных в браузере; полный учёт с ключами в браузере — после согласия посетителя в баннере Исполнителя (data-banner="auto") или в баннере Клиента (Tilda, Wix, Cookiebot, CookieYes, GTM); режим «сразу» — только под ответственность Клиента (Приложение 6.3). Клиент отвечает за текст своей политики cookie и за то, чтобы его баннер передавал счётчику выбор посетителя; Исполнитель хранит запись о согласии на сервере 3 года и выдаёт её Клиенту по запросу. Если баннер Клиента не передаёт выбор на сервер (например, Tilda), доказательство согласия обеспечивает Клиент; Исполнитель рекомендует свой баннер. Режим по умолчанию, сроки хранения и тексты баннера Исполнителя — параметры, которые Клиент принимает, подключая счётчик, и может изменить в мастере. Клиент заверяет, что цель аналитики законна, а при режимах «после согласия» и «сразу» согласие посетителей получено. Тексты — политика cookie.

6.7. API ai-platform. Клиент сам определяет, какие данные включает в запросы, и отвечает за основание их обработки и передачи Исполнителю и за рубеж. Клиент не передаёт в запросах ИИН, данные удостоверений личности, сведения о здоровье и иные данные ограниченного доступа без необходимости; маскирование (redact: ИИН, номера карт, телефоны) включено по умолчанию. Исполнитель не использует данные запросов для обучения моделей. В API доступны модели из документации API; модели Anthropic (Claude) внешним клиентам API не предоставляются. Если в API появятся модели сторонних поставщиков, Исполнитель объявит их в документации и Прайс-листе и дополнит перечень субобработчиков (п. 8.1), запросив у поставщика режим без хранения данных (ZDR).

6.8. Звонки. Номер телефона и договор с оператором связи остаются у Клиента: Клиент — абонент своего оператора, АТС Исполнителя — программа Клиента, подключённая к его номеру; Исполнитель услуги связи не оказывает; исходящие — только по РК, без подмены номера. Запись разговора включена по умолчанию; до начала записи звонящий слышит предупреждение о записи, о том, что с ним может говорить ИИ, и об обработке сервисами ИИ, в том числе за рубежом (записанные файлы ru/kk; та же фраза — в голосовой почте); Клиент может выключить запись. Расшифровку делают модели Исполнителя в РК; краткий итог звонка строит языковая модель через шлюз ai-platform, в том числе Anthropic (США), после маскирования номеров телефонов — это трансграничная передача, согласие на неё обеспечивает Клиент (п. 8.3; Приложение 6.5). Эмоции и тональность звонящего без его отдельного согласия не определяются: определение эмоций без согласия запрещено пп. 6 п. 3 ст. 17 Закона об ИИ.

7. Срок обработки и судьба данных по окончании

7.1. Обработка длится, пока действует оферта. Контакты, обращения и переписка в CRM (в том числе переписка чат-бота) хранятся, пока действует оферта, но не дольше 3 лет с последнего входящего обращения субъекта к Клиенту (исходящие сообщения и звонки Клиента срок не продлевают): контакт, от которого 3 года не было входящих обращений, Исполнитель удаляет автоматически вместе с перепиской; обезличенные сведения об обращениях (канал, источник, исход, время) остаются для статистики. Прочие сроки: технические вебхуки WhatsApp — 14 дней; атрибуция визита без обращения — 30 дней; сырые события аналитики — 13 месяцев; записи о согласиях в веб-аналитике — 3 года; записи звонков — 90 дней в РК, если Клиент не выключил запись; данные запросов к API ai-platform — срок сообщается по запросу на [email protected]; журнал аудита — 1 год. После удаления данных по просьбе или по сроку подтверждение согласия и отзыва хранится 3 года в обезличенном виде (без имени и текста; номер — в виде хеша с солью организации) для доказательства согласия (пп. 5 п. 2 ст. 25 Закона).

7.2. По отзыву согласия субъектом или по запросу Клиента Исполнитель удаляет или обезличивает данные субъекта в CRM не позднее 15 рабочих дней с момента указания (функция «Удалить по просьбе»; срок совпадает с обещанным субъекту в текстах согласий и п. 7 ст. 8 Закона). Если основание — неточность или неполнота данных (изменение, дополнение), сведения о нарушении (блокирование) или незаконность данных, Исполнитель исполняет указание в течение одного рабочего дня, чтобы Клиент уложился в срок пп. 8 п. 2 ст. 25 Закона.

7.3. При прекращении оферты Исполнитель передаёт Клиенту выгрузку его данных из CRM (контакты, обращения, переписка, вложения) и через 30 дней удаляет ПДн Клиента из рабочих баз; из резервных копий удалённые данные уходят по циклу их ротации (30 дней), если законом не требуется хранение (ст. 18 Закона). Пока оферта действует, Клиент может сам выгрузить данные в настройках CRM. По запросу Исполнитель выдаёт акт об удалении.

7.4. Если Клиент закрывает организацию, данные всех продуктов доступны для выгрузки и восстановления 30 дней, затем Исполнитель удаляет их во всех продуктах. Журнал согласий веб-аналитики Клиент выгружает до удаления; обезличенные записи журнала (без IP и идентификаторов посетителя) Исполнитель хранит и после закрытия организации — 3 года с даты записи как доказательство согласия — и выдаёт их Клиенту по запросу (Приложение 6.3, п. 6.3.6). Срок считается с даты записи, а не с окончания действия согласия. Отключение одного продукта (п. 1.5) — по правилам Приложения 6 для этого продукта.

7.5. Удаление данных по пп. 7.3, 7.4, по окончании сроков п. 7.1 и при закрытии или отключении продукта — исполнение поручения Клиента как собственника и оператора. Исполнитель уведомляет Клиента об удалении заранее в сроки оферты (уведомления доказуемы журналом доставки) и даёт выгрузку весь срок; при таком порядке Исполнитель не отвечает за утрату данных, которые Клиент не выгрузил.

7.6. Обращения сверх бесплатного лимита. Если по Тарифу часть обращений видна Клиенту только после оплаты, Клиент бесплатно видит их число и вправе бесплатно получить их выгрузку или поручить их удаление; по запросам субъектов ПДн (доступ, удаление) Исполнитель содействует Клиенту по разделу 11 независимо от Тарифа; скрытые обращения хранятся и удаляются по общим срокам п. 7.1.

8. Субобработчики и трансграничная передача

8.1. Клиент даёт общее разрешение на привлечение субобработчиков из перечня ниже. О добавлении или замене субобработчика Исполнитель сообщает за 14 дней; Клиент вправе возразить и расторгнуть оферту без штрафа.

Собственные продукты Исполнителя — шлюз моделей ai-platform и сервис звонков DeepTalk — не являются субобработчиками; собственные модели Исполнителя работают на серверах в РК. Продукт «Звонки» выходит по готовности; краткий итог звонков строится через модели за рубежом (строка Anthropic выше, п. 6.8). Исходный код сайтов Клиента хранится в РК. Платёжные сервисы (Halyk Bank / ePay, re:Kassa) обрабатывают данные плательщика — Клиента — по договору с Исполнителем как оператором (политика ТОО); данных субъектов Клиента они не получают. Рекламные системы Клиента (Google, Яндекс) — не субобработчики Исполнителя: идентификатор рекламного клика (click_id) из заявки передаётся в них только по указанию Клиента и только посетителям, давшим на это отдельное согласие в форме (передача третьим лицам и за рубеж, п. 6 ст. 7, ст. 16 Закона).

8.2. Исполнитель передаёт данные субобработчикам в минимальном объёме, по защищённым каналам, по договорам, обязывающим соблюдать конфиденциальность и меры защиты не ниже установленных Соглашением.

8.3. Трансграничная передача в государства, не обеспечивающие защиту ПДн, допустима при согласии субъекта (пп. 1 п. 3 ст. 16 Закона). Клиент обеспечивает, чтобы согласие посетителя включало сведения о трансграничной передаче (пп. 5 п. 4 ст. 8). Если согласие не получено, Клиент должен отключить функции, требующие передачи (бот на модели ИИ, WhatsApp, уведомления в Telegram, модели за рубежом в API), — Исполнитель предоставляет такую настройку. США считаются государством, не обеспечивающим защиту ПДн (перечня таких государств нет); согласия галочкой со ссылкой на полный текст достаточно, если короткий текст говорит «в том числе за рубеж», а полный текст открывается до отметки и называет получателей, страны и цели. В WhatsApp согласие — продолжение переписки после первого сообщения бота, раскрывающего ИИ и условия. В «Звонках» согласие звонящего на трансграничную передачу для краткого итога собирает файл предупреждения о записи: в нём есть фраза об обработке сервисами ИИ, в том числе за рубежом; при нажатии «9» нет ни записи, ни итога.

8.4. Исполнитель отвечает перед Клиентом за действия субобработчиков как за свои, кроме Meta в части договора, заключённого Клиентом напрямую, и операторов связи Клиента, которые работают по договору с Клиентом и субобработчиками Исполнителя не являются.

9. Меры защиты

Исполнитель применяет меры по ст. 22 Закона и Правилам осуществления мер по защите ПДн (приказ № 179/НҚ в действующей редакции) не ниже категории, определённой по ст. 25-1 Закона для совокупного объёма данных Исполнителя, в том числе:

• хранение в РК, шифрование каналов (TLS); сведения о шифровании при хранении — по запросу на [email protected];
• разграничение доступа по ролям, сотрудники Исполнителя без служебной необходимости не видят ПДн Клиента; доступ поддержки — только по запросу Клиента и с записью в журнал;
• многофакторная аутентификация для администраторов; журналирование действий и событий СУБД;
• маскирование как мера защиты (п. 2 ст. 23 Закона): номера телефонов в журналах — с маской; на маршрутах чат-бота и звонков номера телефонов, ИИН и номера карт заменяются метками перед отправкой в модели ИИ;
• резервное копирование, защита от вредоносного ПО, анализ уязвимостей, обучение сотрудников;
• обязательство о неразглашении для работников Исполнителя (п. 2 ст. 11 Закона);
• учёт фактов передачи третьим лицам и трансграничной передачи (пп. 5 п. 1 ст. 22 Закона).

10. Нарушения безопасности (инциденты)

10.1. Исполнитель уведомляет Клиента о нарушении безопасности ПДн Клиента без промедления, не позднее 12 часов с момента обнаружения, чтобы Клиент мог уведомить уполномоченный орган в течение одного рабочего дня (пп. 8 п. 2 ст. 25 Закона). Уведомление приходит владельцу и администраторам организации видом «инцидент безопасности» в Аккаунтах, который нельзя отключить в настройках уведомлений; ход устранения публикуется на статус-странице. Порядок, каналы и компенсации — Приложение 3 к оферте.

10.2. Уведомление содержит: что произошло и когда, категории и примерное число субъектов и записей, вероятные последствия, принятые и предлагаемые меры, контакт ответственного лица Исполнителя, перечень номеров телефонов затронутых субъектов (для уведомления через органы — по запросу Клиента или органа). Недостающие сведения сообщаются по мере выяснения.

10.3. Исполнитель как третье лицо в течение одного рабочего дня с момента обнаружения нарушения безопасности ПДн в своей инфраструктуре сам уведомляет уполномоченный орган (п. 23 Правил осуществления мер по защите ПДн, приказ № 179/НҚ; Правила уведомления, приказ № 481/НҚ), указывает затронутых Клиентов и сообщает Клиенту номер и дату уведомления. Клиент как собственник и оператор уведомляет орган в тот же срок (пп. 8 п. 2 ст. 25 Закона) и вправе сослаться на уведомление Исполнителя. Субъектов уведомляет оператор «электронного правительства» по данным уполномоченного органа.

11. Помощь Клиенту

11.1. Исполнитель предоставляет в CRM инструменты для исполнения прав субъектов: поиск, выгрузка, изменение, блокирование, удаление по просьбе, журнал согласий.

11.2. Если обращение субъекта поступило Исполнителю, он передаёт его Клиенту в течение одного рабочего дня, а запросы об исправлении, блокировании и удалении незаконно полученных данных — в тот же рабочий день, и сам по существу не отвечает, кроме случаев, указанных Клиентом. Отзыв согласия, поступивший Исполнителю, Исполнитель исполняет в своей части в течение 15 рабочих дней (п. 7 ст. 8 Закона) и сообщает Клиенту.

11.3. Исполнитель по запросу предоставляет Клиенту доказательства согласия, хранящиеся в CRM (п. 5 ст. 25 Закона), и сведения о мерах защиты для ответа уполномоченному органу (пп. 3-1 п. 2 ст. 25), содействует проверкам в разумном объёме не чаще 1 раза в год, кроме проверок по требованию государственных органов.

12. Ответственность и прочее

12.1. Каждая сторона отвечает за нарушения законодательства о ПДн в своей части. Клиент отвечает за законность целей и наличие согласий; Исполнитель — за соблюдение указаний и мер защиты.

12.2. Соглашение действует, пока действует оферта, а в части конфиденциальности и удаления — до полного удаления данных.

12.3. Контакт Исполнителя по ПДн: Шертаев Карим Амирович, [email protected]. Контакт Клиента — указанный в аккаунте.