Утверждено
Приказом №__ от __.__.____ г.
Директора ТОО «А-продукт»
информационной системы «A-Product ERP»
г. Алматы
Товарищество с ограниченной ответственностью «А-продукт» (далее — «Компания»), в лице Директора Казаченко К.С., действующего на основании Устава, настоящим публикует Политику конфиденциальности (далее — «Политика»), определяющую порядок сбора, обработки, хранения и защиты персональных данных физических лиц при использовании информационной системы «A-Product ERP» (далее — «Система»).
Оператором и собственником базы, содержащей персональные данные, является Компания. Политика применяется к работникам, администраторам, торговым представителям, представителям дистрибьюторов и контрагентов, а также иным пользователям Системы. Политика разработана в соответствии с Законом Республики Казахстан «О персональных данных и их защите» (далее — «Закон») и иными применимыми нормами законодательства Республики Казахстан.
1) Пользователь — физическое лицо, которому Компания предоставила доступ к Системе для выполнения рабочих, договорных или представительских функций;
2) Представитель контрагента — физическое лицо, действующее от имени дистрибьютора, поставщика, клиента, торговой точки или иного контрагента и использующее Систему либо взаимодействующее с Компанией.
Пользователь, представитель контрагента и иное физическое лицо, к которому относятся обрабатываемые данные, далее именуются «Субъект». Использование Системы допускается только в пределах предоставленных полномочий и с соблюдением настоящей Политики.
1.1. Компания (Оператор, Собственник) — ТОО «А-продукт», осуществляющее сбор, обработку, хранение и защиту персональных данных в Системе и реализующее права владения, пользования и распоряжения соответствующей базой.
1.2. Система — информационная система «A-Product ERP», предназначенная для автоматизации производства, планирования, складского учёта, заказов, продаж, поставок и отчётности. Доступ к Системе предоставляется через веб-интерфейс и мобильное приложение.
1.3. Пользователь — физическое лицо, имеющее учётную запись и права доступа к Системе. Учётные записи создаются, изменяются и блокируются администратором Системы; самостоятельная регистрация Пользователей не предусмотрена.
1.4. Субъект — физическое лицо, к которому относятся персональные данные.
1.5. Персональные данные — сведения, относящиеся к определённому или определяемому на их основании физическому лицу, зафиксированные на электронном, бумажном или ином носителе.
1.6. Иные термины используются в значении, установленном законодательством Республики Казахстан.
2.1. Компания выступает собственником и оператором базы, содержащей персональные данные, определяет цели и способы обработки, состав данных, сроки хранения и порядок доступа к ним.
2.2. Политика применяется ко всем Субъектам единообразно независимо от их должности, роли, подразделения или вида договорных отношений с Компанией.
2.3. Используя Систему, Субъект подтверждает ознакомление с Политикой. Сбор и обработка осуществляются на основании согласия, договора, трудовых отношений, требований законодательства и иных оснований, допускаемых Законом.
2.4. Техническая эксплуатация Системы, размещение базы данных, резервное копирование и техническая поддержка обеспечиваются ТОО «SilentSoft», которое осуществляет обработку персональных данных исключительно по поручению Компании и в объёме, необходимом для работы Системы.
3.1. Компания обрабатывает следующие данные:
3.1.1. данные Пользователя: фамилия, имя, отчество при наличии, номер телефона, адрес электронной почты, имя пользователя, должность, подразделение, роль и права доступа;
3.1.2. данные работников и представителей: ФИО, должность, рабочие контактные данные, сведения о полномочиях и связанных организациях;
3.1.3. данные контрагентов и торговых точек: контактное лицо, телефон, адрес, юридическое наименование, ИИН или БИН и иные реквизиты, необходимые для учёта и документов;
3.1.4. технические данные: IP-адрес, сведения об устройстве, браузере и приложении, токены авторизации и push-уведомлений, журналы входов, действий, ошибок и событий безопасности, одноразовые коды подтверждения, сведения о сессиях, а также история изменений данных с указанием лица, совершившего действие;
3.1.5. данные физических лиц, не имеющих доступа к Системе, вносимые в справочники работниками Компании: фамилия, имя, отчество при наличии и номер телефона торгового представителя; фамилия, имя, отчество при наличии, номер телефона и адрес контактного лица торговой точки, а также ИИН, если торговая точка зарегистрирована на физическое лицо.
3.2. Данные предоставляются Субъектом, уполномоченным работником или контрагентом либо формируются автоматически при использовании Системы. Компания обрабатывает только данные, необходимые и достаточные для заявленных целей.
3.3. Сбор копий документов, удостоверяющих личность, через мессенджеры и иные неутверждённые онлайн-каналы не осуществляется, если иное прямо не предусмотрено внутренней процедурой и законодательством.
4.1. Данные обрабатываются в следующих целях:
4.1.1. создания учётных записей, идентификации и авторизации Пользователей;
4.1.2. предоставления функций Системы для производства, планирования, складов, заказов, продаж, поставок и отчётности;
4.1.3. создания, согласования, исполнения и контроля заявок, заказов, перемещений и иных хозяйственных операций;
4.1.4. направления служебных и технических уведомлений;
4.1.5. технической поддержки и диагностики;
4.1.6. обеспечения безопасности, аудита действий и предотвращения несанкционированного доступа;
4.1.7. исполнения требований законодательства и защиты законных интересов Компании.
5.1. Основанием обработки являются согласие Субъекта, договор, трудовые отношения, требования законодательства и иные основания, допускаемые Законом. Одноразовый код используется для идентификации и авторизации и сам по себе не заменяет отдельное согласие, когда оно обязательно. Текст согласия приведён в Приложении № 1.
5.2. Субъект вправе отозвать согласие в порядке, предусмотренном законодательством, направив обращение Компании. Отзыв не прекращает обработку данных, которые подлежат хранению по закону или необходимы для исполнения неисполненного обязательства, и может сделать дальнейший доступ к Системе невозможным.
5.3. В случаях, предусмотренных законодательством, обработка отдельных данных может осуществляться без согласия Субъекта.
5.4. В отношении физических лиц, сведения о которых вносятся в Систему без предоставления им доступа, получение и хранение согласия обеспечивается работником Компании или контрагентом, передавшим такие сведения, до момента их внесения в Систему. Контрагент подтверждает наличие такого согласия и несёт ответственность за последствия его отсутствия.
5.5. Решения, влекущие возникновение, изменение или прекращение прав и законных интересов Субъекта, исключительно на основании автоматизированной обработки данных в Системе не принимаются.
6.1. Персональные данные, содержащиеся в цифровых ресурсах, хранятся в базе, расположенной на территории Республики Казахстан.
6.2. Срок хранения определяется целями обработки, сроком действия учётной записи и правоотношений, а также требованиями бухгалтерского, налогового, трудового и иного законодательства. После достижения целей данные уничтожаются или обезличиваются, если дальнейшее хранение не требуется по закону. Удаление записей в Системе производится путём проставления отметки об удалении с сохранением записи в базе и ограничением доступа к ней. Журналы аудита, история изменений и сведения о совершённых операциях хранятся в течение всего срока эксплуатации Системы в целях безопасности, подтверждения совершённых операций и защиты прав Компании и Субъектов.
6.3. Компания принимает необходимые правовые, организационные и технические меры защиты, включая идентификацию и аутентификацию, ролевое разграничение доступа, ведение журналов, защиту каналов связи, резервное копирование и реагирование на инциденты.
6.4. Компания назначает лицо, ответственное за организацию обработки персональных данных, и определяет порядок внутреннего контроля и реагирования на обращения и инциденты. О нарушениях защиты персональных данных Компания уведомляет уполномоченный орган и Субъектов в случаях и порядке, предусмотренных законодательством Республики Казахстан.
7.1. Компания может передавать данные:
7.1.1. работникам, подразделениям и контрагентам Компании — в объёме, необходимом для соответствующего бизнес-процесса;
7.1.2. поставщикам SMS, телефонной авторизации, push-уведомлений и согласованных сервисов служебных сообщений;
7.1.3. поставщикам серверной инфраструктуры, хранилища, резервного копирования, разработки и технической поддержки — в объёме, необходимом для работы Системы.
7.2. Трансграничная передача осуществляется только при соблюдении требований законодательства Республики Казахстан, наличии необходимого правового основания и применении мер защиты. Отдельные данные, а именно номер телефона, идентификатор устройства и токен уведомлений, передаются иностранным поставщикам сервисов доставки сообщений и push-уведомлений в объёме, необходимом для доставки кодов подтверждения и служебных уведомлений. Такая передача осуществляется на основании согласия Субъекта.
7.3. Данные могут быть предоставлены государственным органам по основаниям и в порядке, предусмотренным законодательством Республики Казахстан.
8.1. Субъект вправе:
8.1.1. получать информацию о наличии у Компании своих данных, целях, источниках и способах их обработки;
8.1.2. требовать изменения или дополнения недостоверных либо неполных данных;
8.1.3. требовать блокирования или уничтожения данных при их неправомерной обработке либо утрате необходимости;
8.1.4. отзывать согласие в случаях, допускаемых законодательством;
8.1.5. обжаловать действия или бездействие Компании в уполномоченный орган и суд.
8.2. Обращения направляются по контактам, указанным в разделе 12 Политики, и рассматриваются в сроки, установленные законодательством.
8.3. Изменение данных учётной записи, включая номер телефона, производится администратором Системы по обращению Пользователя, поскольку самостоятельное изменение таких данных в Системе не предусмотрено.
9.1. Пользователь вправе направить запрос на блокирование или удаление учётной записи через администратора Системы либо по официальным контактам Компании.
9.2. Учётная запись блокируется или удаляется после проверки полномочий заявителя и отсутствия оснований для продолжения её использования. Удаление реализуется путём деактивации учётной записи и проставления отметки об удалении. Удаление учётной записи не означает немедленного уничтожения всех связанных записей.
9.3. Сохранению подлежат данные, которые Компания обязана хранить по закону либо которые необходимы для безопасности, аудита, восстановления и защиты прав и законных интересов.
9.4. История хозяйственных операций, документов и действий может сохраняться после блокирования учётной записи в обезличенном виде либо с ограниченным доступом в течение обязательного срока хранения.
10.1. Система может использовать локальное хранилище устройства, токены сессии, cookie и иные технически необходимые идентификаторы для авторизации, сохранения настроек, безопасности и корректной работы. Их ограничение может повлиять на доступность функций.
11.1. Компания отвечает за законность обработки и защиту данных в пределах Системы. Пользователи и контрагенты обязаны использовать доступные им данные только в пределах своих полномочий и заявленных целей.
11.2. Компания не несёт ответственности за недостоверность данных, предоставленных Субъектом или уполномоченным контрагентом, а также за неправомерные действия Пользователя вне предоставленных полномочий.
11.3. Ответственность Компании определяется законодательством Республики Казахстан и наступает при наличии установленных законом оснований.
11.4. Пользователь обязан не передавать свои данные для входа в Систему, включая одноразовые коды, третьим лицам и не использовать чужие учётные записи. Действия, совершённые с использованием учётной записи Пользователя, считаются совершёнными этим Пользователем, если не доказано иное.
12.1. Компания вправе изменять Политику при изменении законодательства, функций Системы, состава данных или применяемых технологий. Новая редакция доводится до Пользователей через Систему или иным доступным способом с указанием даты вступления в силу.
12.2. Контакты для обращений по вопросам обработки персональных данных: электронная почта support@silentsoft.kz.
ТОО «А-продукт»
Банк получатель: АО «Kaspi Bank»
БИК: CASPKZKA
БИН: 170440011200
Номер счёта (KZT): KZ41722S000043911198
КБе: 17
Адрес: Республика Казахстан, город Алматы, Жетысуский район, Проспект Райымбека, дом 169, 506, почтовый индекс 050050
Сайт: aproduct.silentsoft.kz
Техническая поддержка: support@silentsoft.kz
Директор Казаченко К.С.
Приложение № 1
к Политике конфиденциальности информационной системы «A-Product ERP»
(текст электронной формы; согласие выражается проставлением отметки «Согласен(на)»)
Я, Пользователь или представитель контрагента, проставляя отметку «Согласен(на)», в соответствии с Законом Республики Казахстан «О персональных данных и их защите» свободно, своей волей и в своём интересе даю ТОО «А-продукт» (оператору информационной системы «A-Product ERP», далее — «Компания») согласие на сбор и обработку моих персональных данных:
— идентификационных и контактных: фамилия, имя, отчество при наличии, номер телефона, адрес электронной почты и данные учётной записи;
— профессиональных и технических: организация, роль, права доступа, сведения об устройстве, сессиях, журналах входов и действиях в Системе.
Цели обработки: идентификация и авторизация, предоставление функций A-Product ERP, выполнение рабочих и договорных процессов, направление служебных уведомлений, техническая поддержка, безопасность и исполнение требований законодательства.
Действия с данными: сбор, накопление, хранение, изменение и дополнение, использование, обезличивание, блокирование и уничтожение.
Я согласен(на) на передачу данных уполномоченным работникам и контрагентам Компании, а также поставщикам инфраструктуры, авторизации, уведомлений и технической поддержки в объёме, необходимом для указанных целей, в том числе на трансграничную передачу номера телефона, идентификатора устройства и токена уведомлений иностранным поставщикам сервисов доставки сообщений и push-уведомлений.
Данные хранятся в базе на территории Республики Казахстан до достижения целей обработки, отзыва согласия либо окончания обязательного срока хранения, установленного законодательством.
Я подтверждаю, что ознакомлен(а) с Политикой конфиденциальности; предоставляю достоверные данные; проинформирован(а) о праве на доступ, исправление, блокирование, уничтожение и отзыв согласия в случаях, допускаемых законодательством; мне разъяснено, что отзыв согласия делает дальнейшее использование Системы невозможным.
Проставление отметки «Согласен(на)» признаётся дачей согласия в электронной форме, позволяющей подтвердить факт его получения. Дата, время и редакция согласия фиксируются Компанией.
☑ Согласен(на) на сбор и обработку персональных данных
☑ Согласен(на) на трансграничную передачу данных для доставки кодов подтверждения и служебных уведомлений