Политика ТОО «ShertaevTech» в отношении сбора, обработки и защиты персональных данных

Версия 1. Действует с 26.10.2026. Размещена по адресу https://shertaev-tech.kz/privacy. Утверждена приказом директора ТОО (пп. 1-1 п. 2 ст. 25 Закона РК «О персональных данных и их защите» № 94-V, далее — Закон).

1. Кто мы и к чему относится политика

1.1. ТОО «ShertaevTech», БИН 260240032834, адрес: 050063, г. Алматы, Ауэзовский район, мкр 1, д. 39А, кв. 48, почта: [email protected], телефон: +7 707 596 08 90 (далее — ТОО, мы).

1.2. Политика описывает, как ТОО собирает, обрабатывает и защищает персональные данные (далее — ПДн), когда ТОО само определяет цели обработки (является собственником и оператором ПДн):

• аккаунты клиентов и их сотрудников на платформе Shertaev Tech (студия, CRM, отчёты);
• сайты и интерфейсы самого ТОО (shertaev-tech.kz, студия), включая веб-аналитику этих сайтов;
• обращения в поддержку ТОО, договоры и расчёты с клиентами, в том числе онлайн-оплата и кассовые чеки;
• партнёрская программа ТОО (реферальный код партнёра при регистрации клиента);
• продуктовые события платформы (что делает организация в продуктах) — без ПДн, с идентификатором организации (organization_id).

1.3. Когда ТОО действует по поручению клиента. Сайты клиентов, формы заявок на них, чат-бот на сайте клиента и в WhatsApp клиента, CRM клиента (контакты, обращения, переписка, исходы, записи звонков), веб-аналитика сайтов клиента (в том числе сайтов, сделанных не на платформе), данные в запросах клиента к API ai-platform — это данные клиента. Собственником и оператором этих ПДн является клиент (владелец сайта или бизнеса), он определяет цели обработки и отвечает перед посетителями. ТОО обрабатывает такие данные только как третье лицо по договору с клиентом (соглашение об обработке ПДн — Приложение 5 к оферте) и только для оказания услуг клиенту. Вопросы по таким данным направляйте владельцу сайта; ТОО поможет ему ответить (раздел 9.5).

1.4. Каждый продукт — отдельно. Клиент подключает продукты Shertaev Tech по одному или вместе; роль ТОО в каждом из них одна и та же — по данным, которые собирает продукт клиента, ТОО обрабатывает ПДн по поручению клиента (п. 1.3), а по аккаунтам, расчётам и собственным сайтам ТОО — само является оператором (п. 1.2). Условия продуктов — Приложение 6 к оферте:

Рассылки ТОО (новости, предложения) — только с отдельного согласия на рассылки.

2. Какие данные, зачем и на каком основании

ТОО не собирает специальные категории данных (сведения о здоровье, биометрию, ИИН физических лиц, копии удостоверений личности) в рамках аккаунтов и сайта ТОО. Узнавание по голосу и иная биометрия в платформе не применяются.

ТОО обрабатывает только данные, необходимые для указанных целей (п. 8, 9 ст. 7, ст. 14 Закона). Перечень ПДн утверждён приказом директора ТОО (пп. 1 п. 2 ст. 25).

3. Что делает ТОО с данными

Сбор, накопление, хранение, изменение, дополнение, использование, передача лицам из раздела 5, маскирование, обезличивание, анонимизация, блокирование, уничтожение и удаление (ст. 1 Закона). ТОО не распространяет ПДн в общедоступных источниках и не продаёт их.

4. Где хранятся данные (локализация)

4.1. Базы данных и файловые хранилища платформы, содержащие ПДн (аккаунты, CRM, заявки, переписка, записи звонков, журналы, резервные копии), находятся на серверах в Республике Казахстан (наименование поставщика услуг размещения сообщается по запросу на [email protected]) (п. 2 ст. 12 Закона). Исходный код сайтов клиентов также хранится в РК.

4.2. Отдельные операции требуют передачи части данных зарубежным поставщикам (раздел 5). Полная и основная копия данных при этом остаётся в РК.

5. Кому передаются данные, в том числе за рубеж

5.1. ТОО передаёт ПДн только поставщикам, без которых услуга невозможна, в минимальном объёме и по договору, обязывающему их сохранять конфиденциальность (ст. 11 Закона). Перечень:

Шлюз моделей ai-platform и сервис звонков DeepTalk — собственные продукты ТОО, а не третьи лица. Собственные модели ТОО работают на серверах в Республике Казахстан. Продукт «Звонки» выходит по готовности, отдельно от пилота сайтов: записи и расшифровки разговоров хранятся в РК, расшифровку делают модели ТОО в РК; краткий итог звонка строит языковая модель через шлюз ai-platform, в том числе Anthropic (США), после маскирования номеров телефонов — это трансграничная передача данных звонящего по его согласию, которое обеспечивает клиент (Приложение 6.5). Предупреждение о записи и голосовая почта прямо сообщают звонящему об обработке сервисами ИИ, в том числе за рубежом.

5.2. Трансграничная передача. Передача в иностранные государства, обеспечивающие защиту ПДн, допускается по п. 2 ст. 16 Закона; в остальные государства (в том числе, по оценке ТОО, в США — перечня государств, обеспечивающих защиту, нет) — с согласия субъекта (пп. 1 п. 3 ст. 16). Маскирование части данных трансграничную передачу не отменяет. ТОО получает такое согласие при регистрации аккаунта, а для данных посетителей сайтов клиентов — через форму согласия на сайте клиента (от имени клиента). ТОО регистрирует и учитывает факты передачи третьим лицам и трансграничной передачи (пп. 5 п. 1 ст. 22).

5.3. Если вы не согласны на трансграничную передачу, ТОО не сможет предоставить функции, которые без неё не работают (вход по коду в WhatsApp, генерация сайта моделью ИИ); вход по SMS остаётся доступен.

6. ИИ и автоматизированная обработка

6.1. Платформа использует модели ИИ для генерации сайтов, подсказок в студии и ответов чат-бота на сайтах клиентов. Бот всегда сообщает, что он — ИИ, и даёт кнопку «Связаться с человеком» (в WhatsApp — «Позвать человека») (ст. 21 Закона РК «Об искусственном интеллекте» № 230-VIII; право отказаться от взаимодействия с ИИ — пп. 6 п. 1 ст. 16 того же закона). Отказ от бота действует до закрытия обращения: дальше отвечает сотрудник; новое обращение снова начинается с бота, и от него снова можно отказаться; этого достаточно для пп. 6 п. 1 ст. 16 Закона об ИИ: закон не требует, чтобы отказ действовал бессрочно. В WhatsApp первое сообщение бота раскрывает ИИ и условия; продолжение переписки считается согласием. Бот работает у всех клиентов, в том числе у клиник. В звонках голосовой ассистент в начале разговора сообщает, что он — ИИ; эмоции и тональность собеседника без его отдельного согласия не определяются (пп. 6 п. 3 ст. 17 Закона об ИИ) и голос для узнавания человека не используется.

6.2. Автоматически, без участия человека (ст. 19-1 Закона), платформа принимает одно решение — запись на выбранное вами время по вашему подтверждению: перед кнопкой «Подтвердить» бот сообщает, что запись сделает ИИ-ассистент. Отказать в записи или отменить её может только сотрудник. Возразить — кнопкой «Связаться с человеком»; возражение рассматривается в течение 3 рабочих дней (п. 2, 3 ст. 19-1). Других решений, порождающих, изменяющих или прекращающих права человека, платформа исключительно автоматически не принимает; если такая функция появится, ТОО заранее разъяснит порядок и последствия и даст возможность возразить.

7. Как мы защищаем данные

ТОО применяет правовые, организационные и технические меры (ст. 20–22 Закона; Правила осуществления мер по защите ПДн, приказ № 179/НҚ от 12.06.2023 в действующей редакции):

• назначено лицо, ответственное за организацию обработки ПДн (раздел 10);
• меры не ниже обязательных для категории «малый» (п. 12 Правил № 179/НҚ): перечень ПДн и целей, перечень лиц с доступом, внутренние документы, доступ по должностям, идентификация и аутентификация, регистрация действий, резервное копирование, антивирус и обновления, защищённые каналы;
• доступ сотрудников ТОО — по ролям и только при необходимости; сотрудники студии не видят данные CRM клиентов; многофакторная аутентификация для сотрудников ТОО, имеющих доступ к базам и администрированию;
• шифрование при передаче (TLS); сведения о шифровании при хранении — по запросу на [email protected];
• журналирование действий пользователей и событий баз данных, резервное копирование в РК, защита от вредоносного ПО, анализ уязвимостей;
• маскирование как мера защиты (п. 2 ст. 23 Закона): на маршрутах чат-бота и звонков номера телефонов, ИИН и номера карт заменяются метками перед отправкой в модели ИИ (кроме модерации OpenAI); номера телефонов в технических журналах — с маской;
• порядок реагирования на инциденты: ТОО само — и как оператор, и как третье лицо по данным клиентов — уведомляет уполномоченный орган в течение одного рабочего дня с момента обнаружения нарушения безопасности ПДн (пп. 8 п. 2 ст. 25 Закона; п. 23 Правил № 179/НҚ) с контактами ответственного лица; затронутых субъектов уведомляет оператор «электронного правительства» (личный кабинет eGov, SMS) по данным, которые ТОО передаёт органу (Правила уведомления, приказ № 481/НҚ); уведомление затронутых клиентов — в течение 12 часов обязательным уведомлением «инцидент безопасности» в Аккаунтах, которое нельзя отключить, и на статус-странице; подробности — Приложение 5 к оферте, п. 10.1, и Приложение 3 к оферте;
• обучение сотрудников и внутренний контроль.

8. Сколько храним и как удаляем

Сроки — в таблице раздела 2. По окончании срока, при достижении цели, при отзыве согласия или прекращении отношений данные уничтожаются, удаляются или анонимизируются (ст. 18 Закона). Резервные копии перезаписываются по циклу 30 дней, после чего удалённые данные не восстанавливаются.

Данные, которые ТОО обрабатывает по поручению клиента (п. 1.3: контакты, обращения и переписка в CRM клиента, в том числе переписка чат-бота), хранятся, пока действует договор ТОО с клиентом, но не дольше 3 лет с последнего входящего обращения человека к клиенту: сообщения и звонки самого клиента этот срок не продлевают; контакт, от которого 3 года не было входящих обращений, удаляется автоматически вместе с перепиской. После окончания договора ТОО передаёт клиенту выгрузку его данных и через 30 дней удаляет их. Если клиент закрывает организацию, данные доступны для восстановления 30 дней, затем удаляются во всех продуктах. Из резервных копий удалённые данные уходят по циклу их ротации.

Записи звонков (продукт «Звонки») хранятся 90 дней, если клиент не выключил запись. Записи о согласиях посетителей в веб-аналитике — 3 года с даты записи; обезличенные записи журнала (без IP и идентификаторов посетителя) хранятся и после закрытия организации клиента — как доказательство согласия. Срок считается с даты записи, а не с окончания действия согласия.

После удаления данных по просьбе или по сроку подтверждение согласия и отзыва хранится 3 года в обезличенном виде (без имени и текста; номер — в виде хеша с солью организации) для доказательства согласия (пп. 5 п. 2 ст. 25 Закона). Журнал акцептов оферты — по строке 2.12.

9. Ваши права и как ими воспользоваться

9.1. Вы вправе (ст. 24 Закона): знать, есть ли у ТОО ваши ПДн, получать сведения о целях, источниках, способах, перечне и сроках обработки; требовать изменения и дополнения данных; требовать блокирования или анонимизации, уничтожения или удаления данных при нарушении условий обработки; отозвать согласие на обработку, на передачу третьим лицам и на трансграничную передачу; возразить против автоматизированной обработки; защищать свои права, в том числе в суде и в уполномоченном органе.

9.2. Как обратиться: письмом на [email protected], через раздел «Профиль → Данные и согласия» в студии или письменно по адресу 050063, г. Алматы, Ауэзовский район, мкр 1, д. 39А, кв. 48. Укажите, кто вы и какой номер или почту использовали — мы можем попросить подтвердить, что обращаетесь именно вы.

9.3. Сроки ответа ТОО: изменение и дополнение данных по подтверждающим документам, блокирование при сведениях о нарушении, удаление неполных, неточных или незаконно полученных данных — в течение одного рабочего дня (пп. 8 п. 2 ст. 25 Закона); сведения о наличии ваших данных, целях, источниках, способах, перечне и сроках обработки — не позднее 3 рабочих дней, мотивированный отказ — в тот же срок (п. 16 Правил сбора, обработки ПДн, приказ № 395/НҚ); удаление по вашей просьбе и прекращение обработки после отзыва согласия — не позднее 15 рабочих дней или мотивированный отказ (п. 7 ст. 8 Закона); возражение против автоматизированной обработки — 3 рабочих дня (ст. 19-1). Ознакомление с данными — бесплатно (пп. 9 п. 2 ст. 25). Те же сроки — в соглашении об обработке ПДн (п. 7.2, 11.2) и в бланке Г бланков заявлений.

9.4. Отзыв согласия невозможен, если это противоречит закону или есть неисполненное обязательство (п. 2 ст. 8). Отзыв согласия на обработку аккаунта означает удаление аккаунта.

9.5. Если вы — посетитель сайта клиента или контакт в CRM клиента, обратитесь к владельцу сайта (его реквизиты — в тексте согласия и политике сайта). Если вы обратились в ТОО, мы передадим запрос владельцу в течение одного рабочего дня, а запросы об исправлении, блокировании и удалении незаконно полученных данных — в тот же рабочий день, и поможем ему исполнить его. Отзыв согласия, поступивший в ТОО, ТОО исполняет в своей части само в течение 15 рабочих дней (п. 7 ст. 8 Закона) и сообщает владельцу.

10. Ответственное лицо и контакты

Лицо, ответственное за организацию обработки ПДн (пп. 10 п. 2 ст. 25 Закона): Шертаев Карим Амирович, директор ТОО, [email protected], +7 707 596 08 90.

Уполномоченный орган в сфере защиты ПДн: Министерство искусственного интеллекта и цифрового развития РК (МИИЦР, ранее МЦРИАП).

11. Изменения политики

ТОО публикует новую редакцию на https://shertaev-tech.kz/privacy с датой. О существенных изменениях (новые цели, новые получатели, новая страна передачи) ТОО сообщает пользователям аккаунтов письмом или в студии не позднее чем за 10 дней до вступления изменений в силу и при необходимости запрашивает новое согласие. Прежние редакции хранятся в архиве.