1. Общие положения
1.1. Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите», Законом РК «Об информатизации» и иными актами РК.
1.2. Собственником и оператором базы данных, содержащей персональные данные пользователей Платформы BilApp, является ТОО «[наименование]» (БИН [БИН]), далее — «Оператор». Контакты по вопросам персональных данных: [e-mail по вопросам персональных данных].
1.3. Если пользователь подключён организацией образования (школой, лицеем), такая организация является собственником данных своих учеников и сотрудников, а Оператор обрабатывает их по поручению организации и в соответствии с договором с ней.
2. Какие данные мы обрабатываем
- данные учётной записи: имя, фамилия, номер телефона, e-mail, роль, организация, класс;
- учебные данные: оценки, посещаемость, задания и ответы, результаты тестов и диагностики, курсы, достижения, портфолио;
- данные о поступлении: выбранные программы, результаты экзаменов, документы заявки (с отдельного согласия родителя);
- сообщения в чатах, обращения в поддержку, вопросы ИИ-учителю;
- платёжные данные: сумма, дата, статус и идентификатор платежа. Данные банковской карты Оператор не получает и не хранит — их вводят на защищённой странице банка-эквайера;
- технические данные: IP-адрес, тип устройства и браузера, файлы cookie (см. Политику cookie), журналы действий для безопасности.
3. Цели обработки
- регистрация и вход, предоставление функций Платформы;
- ведение учебного процесса по поручению организации образования;
- диагностика, рекомендации, ИИ-помощь в обучении;
- сопровождение поступления и передача данных вузам — только с согласия законного представителя;
- приём оплаты, исполнение договора, бухгалтерский и налоговый учёт;
- связь с пользователем, ответы на обращения, уведомления;
- обеспечение безопасности, предотвращение мошенничества;
- улучшение сервиса на основе обезличенной статистики.
4. Правовые основания
Обработка осуществляется на основании согласия субъекта (или его законного представителя), договора с пользователем или организацией образования, а также в случаях, предусмотренных законодательством РК. Согласие на обработку персональных данных несовершеннолетних даёт их законный представитель.
5. Хранение и локализация
5.1. Персональные данные хранятся в базе данных, размещённой на серверах на территории Республики Казахстан, в соответствии с пунктом 2 статьи 12 Закона РК «О персональных данных и их защите».
5.2. Сроки хранения: в течение действия учётной записи и договора; после удаления учётной записи — не более 1 (одного) года для разрешения возможных споров, если более длительный срок не требуется законодательством (например, для бухгалтерских документов — 5 лет). Резервные копии перезаписываются по графику.
6. Передача третьим лицам
Данные передаются только в объёме, необходимом для цели:
- организации образования, к которой привязан пользователь;
- вузам — только по заявке ученика и с согласия законного представителя;
- банку-эквайеру и платёжным системам — для проведения платежа;
- операторам SMS и e-mail — для отправки кодов и уведомлений;
- поставщику моделей искусственного интеллекта — тексты запросов к ИИ-функциям без контактных данных;
- государственным органам — по законным запросам.
Трансграничная передача (например, обработка запросов к ИИ на серверах за пределами РК) осуществляется в соответствии со статьёй 16 Закона РК «О персональных данных и их защите» при условии обеспечения защиты данных и с согласия субъекта.
7. Защита данных
Оператор применяет правовые, организационные и технические меры: шифрование соединения (HTTPS), разграничение доступа по ролям, хранение паролей в виде криптографических хешей, журналы действий, резервное копирование, ограничение доступа сотрудников. При утечке данных Оператор уведомляет уполномоченный орган и пострадавших субъектов в сроки, установленные законодательством РК.
8. Права субъекта
Пользователь (или законный представитель) вправе:
- знать о наличии своих данных у Оператора и получить их копию;
- требовать исправления, блокирования или удаления данных;
- отозвать согласие на обработку (это может сделать невозможным оказание услуг);
- обжаловать действия Оператора в уполномоченный орган в сфере защиты персональных данных или в суд.
Запрос направляется на [e-mail по вопросам персональных данных]; срок ответа — не более 10 (десяти) рабочих дней, если иной срок не установлен законом.
9. Дети
Платформа предназначена в том числе для школьников. Учётные записи учеников создаются по приглашению организации образования или законным представителем. Передача данных ребёнка вузам и менторам возможна только после согласия родителя в кабинете родителя.
10. Изменение политики
Оператор может обновлять Политику, публикуя новую редакцию на сайте с указанием даты. Существенные изменения доводятся до пользователей через уведомление в Платформе.
Оператор: ТОО «[наименование]», БИН [БИН], [юридический адрес: индекс, город, улица, дом, офис].