Политика описывает, какие именно персональные данные QazTrade Insight обрабатывает, зачем, кому передаёт, как долго хранит и как субъект может реализовать свои права.
1. Область действия и оператор
Политика применяется к сайту QazTrade Insight, регистрации, личному кабинету, экспортам, сервисным письмам, продуктовым метрикам и обращениям в поддержку. Оператор: ТОО AWeb Solution, БИН 060140005331, адрес: Республика Казахстан, г. Алматы, Медеуский район, микрорайон Думан-2, д. 18, кв. 54. Контакты: [email protected], +7 705 233 42 16.
2. Принципы и источники данных
Оператор собирает только необходимые и достаточные для заявленных целей данные, защищает их от несанкционированного доступа и уничтожает либо обезличивает после достижения цели. Данные поступают непосредственно от субъекта, из его браузера и сессии, из действий в сервисе и от технических провайдеров, обслуживающих сервис.
3. Категории обрабатываемых данных
- Аккаунт: имя и фамилия, рабочий email, идентификатор пользователя, статус подтверждения email, роль и срок доступа.
- Аутентификация: хэш пароля, токен и срок сессии, IP-адрес, user-agent, токены подтверждения и восстановления.
- Юридическое доказательство: версии согласий и уведомлений, время, язык, способ принятия и запись аудита.
- Сервисные действия: идентификатор экспорта, техническая конфигурация фильтра, число строк, ключ файла и срок доступности.
- Поддержка: email, категория обращения и добровольно введённое пользователем сообщение.
- Безопасность и администрирование: журналы, связанные с аккаунтом, доступом, импортами и административными действиями.
- Добровольные продуктовые метрики: хэш случайного идентификатора браузера, событие, путь страницы, язык и ограниченные числовые агрегаты.
В продуктовые метрики не передаются тексты поиска, текстовые значения фильтров, содержимое торговых записей, рекламные идентификаторы или fingerprint устройства. Специальные категории и биометрические данные целенаправленно не собираются.
4. Цели и правовые основания
- регистрация аккаунта, подтверждение email, аутентификация и исполнение Соглашения;
- показ, поиск и фильтрация торговых данных, создание экспорта;
- сервисные письма, поддержка и ответы на запросы;
- безопасность, контроль доступа, обнаружение злоупотреблений и инцидентов;
- доказательство согласий и значимых действий, выполнение требований закона;
- измерение востребованности пилота и улучшение продукта только по отдельному добровольному выбору.
Основания: подтверждаемое согласие субъекта, исполнение Пользовательского соглашения и обязательные требования законодательства Республики Казахстан. При существенном изменении цели документы обновляются, а когда это требуется — запрашивается новое согласие.
5. Обязательные и добровольные данные
Имя, email, пароль и технические данные безопасной сессии необходимы для аккаунта. Без них регистрация невозможна. Продуктовые метрики являются отдельными и добровольными: отказ не ограничивает основной сервис, поиск и экспорт.
6. Обработчики и получатели
- Cloudflare: выполнение приложения, база D1, файлы экспортов R2 и, при настройке, антибот-проверка Turnstile.
- Resend: подтверждение email, восстановление пароля и запрошенные сервисные письма.
- Уполномоченные органы: только при наличии законного и обязательного требования.
Приём оплаты сейчас отключён, данные банковских карт не собираются. До запуска нового обработчика или платёжного провайдера его роль, состав данных, договорные меры защиты и география хранения отражаются в настоящей Политике.
7. Местонахождение данных и трансграничная передача
Закон Казахстана требует размещения базы персональных данных на территории Республики Казахстан. Текущий приватный пилот использует инфраструктуру Cloudflare D1/R2, а регион хранения в Казахстане документально не подтверждён. Поэтому публичная регистрация не должна открываться до такого подтверждения и оформления договорного контура с обработчиками.
При использовании международных провайдеров возможна трансграничная техническая передача. Она выполняется только при наличии законного основания, соответствующей информации в согласии и необходимых мер защиты. Согласие на трансграничную передачу не заменяет требование об основной базе в Казахстане.
8. Сроки хранения
- данные аккаунта — пока аккаунт активен, а также при наличии незавершённых обязательств и обязательных сроков по закону;
- активная сессия — не более 30 дней; истёкшая сессия не предоставляет доступ;
- токены подтверждения email и восстановления — до окончания их технического срока действия;
- файл экспорта — до 24 часов после создания, затем удаляется автоматической процедурой хранения;
- продуктовые метрики — не более 90 дней после события;
- обращение в поддержку — до разрешения и затем на срок, необходимый для защиты прав и обязательств;
- записи аудита согласий и безопасности — на срок, необходимый для доказательства согласия, инцидента или законной обязанности.
Если закон требует более долгого срока или есть неисполненное обязательство, соответствующие данные сохраняются только в объёме такого основания.
9. Cookie, localStorage и продуктовые метрики
Обязательные cookie используются для сессии, безопасности и языка интерфейса. Выбор продуктовых метрик и случайный идентификатор сохраняются в localStorage только после добровольного выбора. При отказе идентификатор удаляется из этого браузера, а новые продуктовые события не отправляются.
Настройка продуктовых метрик
Текущий выбор: не выбран. При отказе случайный идентификатор удаляется из этого браузера, а новые продуктовые события не отправляются.
10. Защита и инциденты
Применяются HTTPS, HttpOnly/SameSite cookie, ролевой доступ, rate limiting, серверное хранение секретов, журналирование и проверка владельца экспортного файла. До публичного запуска Оператор должен утвердить внутренними актами процессы с персональными данными, перечень допущенных лиц, ответственного, процедуры блокирования и уничтожения и защищённый контур хранения в Казахстане.
При обнаружении нарушения безопасности персональных данных доступ ограничивается, событие фиксируется, а уполномоченный орган уведомляется в течение одного рабочего дня в случаях, установленных действующими правилами.
11. Права субъекта и порядок обращения
Субъект вправе знать о наличии данных, целях, источниках, способах и сроках хранения; запросить доступ; потребовать обоснованного исправления, дополнения, блокирования или уничтожения; отозвать согласие и обратиться в уполномоченный орган либо суд.
Запрос направляется с email аккаунта на [email protected]. Укажите тему «Запрос по персональным данным» и суть требования. Оператор вправе безопасно проверить личность. При отзыве согласия обработка прекращается в течение 15 рабочих дней либо направляется мотивированный отказ, если обработка требуется по закону.
12. Торговые данные и сведения третьих лиц
Торговые записи ETS и CCX не являются данными пользователя аккаунта. Если конкретная запись позволяет определить физическое лицо, её использование подчиняется режиму соответствующего источника и закону. Сервис не предназначен для нецелевого извлечения сведений из общедоступных источников ради создания или расширения базы персональных данных.
13. Изменения и контакты
Версия и дата указаны в начале страницы. При существенном изменении состава данных, целей, получателей или географии передачи Оператор заранее уведомляет пользователя и, когда закон требует, получает новое согласие. Вопросы и жалобы: [email protected].
Нормативная основа: Закон РК «О персональных данных и их защите», Правила сбора и обработки персональных данных и Правила осуществления мер по защите персональных данных.