ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

1. Общие положения

1.1. Настоящая Политика определяет порядок сбора, обработки и защиты персональных данных при использовании платформы BilimPED на bilimped.kz.

1.2. Собственником и оператором базы персональных данных является [Наименование юрлица/ИП], [БИН/ИИН], [Юридический адрес], далее — «Оператор».

1.3. Политика распространяется на пользователей, законных представителей несовершеннолетних и лиц, обращающихся в поддержку.

1.4. Обработка осуществляется в соответствии с законодательством Республики Казахстан, включая Закон РК «О персональных данных и их защите».

1.5. Политика информирует об обработке данных. Само посещение сайта или ознакомление с Политикой не заменяет согласие там, где оно необходимо.

2. Состав данных и цели обработки

2.1. ИИН: используется для регистрации, входа и сопоставления пользователя с его аккаунтом. Хранится в зашифрованном виде.

2.2. ФИО: используется для ведения профиля, оформления участия, отображения персональных результатов и формирования сертификатов или дипломов.

2.3. Email: используется для восстановления доступа. Email не применяется для рекламных рассылок или обычных уведомлений Платформы.

2.4. Телефон: необязателен для профиля; используется при выборе пополнения через запрос на оплату в приложении Kaspi и для проверки связанных с ним платёжных обращений.

2.5. Школа, класс и предмет: используются для настройки профиля, подбора подходящих продуктов и организации участия. Обязательность каждого поля указывается в соответствующей форме.

2.6. Роль «Ученик» или «Педагог»: используется для определения функций аккаунта. Роль выбирается один раз и не меняется; это не ограничивает право исправлять недостоверные персональные данные.

2.7. Ответы, баллы, места, история прохождения тестов и олимпиад, серверные отметки начала и окончания: используются для проверки заданий, расчёта результатов, выдачи документов, проверки соблюдения правил и рассмотрения спорных попыток.

2.8. Платёжные сведения: сумма, дата, статус, идентификатор операции, сведения о зачислении и списании, приобретённый продукт и связанный аккаунт. Используются для расчётов, сверки, рассмотрения платёжных ошибок и исполнения обязанностей по учёту.

2.9. Платформа не хранит банковские реквизиты, номера карт, CVV/CVC, пароли банковских приложений и коды подтверждения платежей.

2.10. Сведения о законном представителе: ФИО, связь с ребёнком, основание полномочий, необходимые сведения для их проверки и подтверждение согласий.

2.11. Обращения в поддержку и записи подтверждения согласий: используются для обработки запросов, подтверждения полномочий и фиксации принятых условий.

2.12. Технические данные могут включать IP-адрес, тип браузера и устройства, события входа, ошибки, время запросов, идентификаторы сессии и cookie. Они используются для работы сайта, безопасности и диагностики.

2.13. Данные поступают от пользователя или представителя, формируются при использовании Платформы либо поступают от платёжного партнёра в связи с конкретной операцией. Получение данных из государственных баз настоящей Политикой не предполагается.

3. Основания обработки и согласие

3.1. Основным основанием является согласие субъекта персональных данных или его законного представителя. Без согласия обработка допускается только при наличии конкретного основания, предусмотренного законодательством РК, включая применимые случаи статьи 9 Закона «О персональных данных и их защите».

3.2. Заключение договора объясняет цель необходимой обработки, но не заменяет согласие, когда закон требует его получения. Обобщённая ссылка на «интересы Платформы» не используется как самостоятельное разрешение любой обработки.

3.3. Согласие оформляется до начала соответствующего сбора способом, позволяющим подтвердить его получение. Фиксируются текст и редакция согласия, субъект или представитель, дата, время и действие подтверждения.

3.4. Форма согласия должна содержать сведения об Операторе, ФИО субъекта, перечень данных, цели и срок обработки, возможность передачи третьим лицам, наличие или отсутствие трансграничной передачи и распространения в общедоступных источниках, а также другие обязательные сведения.

3.5. Согласие на необходимые операции оформляется отдельно от согласия на публичное раскрытие данных сертификата или диплома. Необязательные cookie, если применяются, имеют отдельный механизм выбора.

3.6. Поля, необходимые для работы определённой функции, отмечаются в интерфейсе. Отказ от необязательных данных не препятствует использованию функций, которым эти данные не требуются.

3.7. Данные не используются для несовместимых новых целей без надлежащего основания. Использование данных пользователей для рекламы, продажи баз или обучения внешних моделей искусственного интеллекта настоящей Политикой не предусматривается.

4. Персональные данные несовершеннолетних

4.1. Для обработки данных несовершеннолетнего Платформа получает подтверждаемое согласие его законного представителя. Случаи приобретения несовершеннолетним полной дееспособности рассматриваются с учётом законодательства.

4.2. Согласие на обработку данных ребёнка оформляется отдельно от заключения договора или согласия на его заключение.

4.3. Представитель подтверждает свои полномочия и указывает ребёнка, в отношении которого предоставляет согласие. Обработка собственных данных представителя также должна иметь надлежащее основание.

4.4. Согласие педагога не заменяет согласие законного представителя только потому, что педагог обучает ребёнка. Факт оплаты также не подтверждает автоматически родство или полномочия представителя.

4.5. При отсутствии необходимого подтверждения регистрация ребёнка не завершается. Если отсутствие основания обнаружено позднее, Оператор ограничивает соответствующую обработку, проверяет обстоятельства и удаляет незаконно полученные данные либо принимает иные обязательные меры.

4.6. Законный представитель вправе обращаться по вопросам доступа, исправления, отзыва согласия и удаления данных ребёнка после проверки полномочий. Передача контроля над аккаунтом при совершеннолетии осуществляется по [процедуре — проверить с юристом].

5. Способы обработки, размещение и защита

5.1. Оператор выполняет необходимые для указанных целей операции: сбор, запись, систематизацию, хранение, использование, изменение, передачу в предусмотренных случаях, блокирование, обезличивание и уничтожение данных.

5.2. Персональные данные, включая ИИН, обрабатываются и хранятся на серверах, физически расположенных на территории Республики Казахстан.

5.3. Требование пункта 5.2 распространяется также на резервные копии и журналы, если они содержат персональные данные.

5.4. ИИН хранится в зашифрованном виде. Доступ к данным предоставляется только уполномоченным лицам в необходимом для их обязанностей объёме.

5.5. Оператор предусматривает защищённую передачу данных, разграничение доступа, защиту ключей шифрования, учёт действий администраторов, резервное восстановление и своевременное устранение уязвимостей.

5.6. ИИН не включается в публичные ссылки, QR-коды и открытые журналы. Знание ИИН само по себе не должно предоставлять доступ к аккаунту или данным другого пользователя.

5.7. При нарушении безопасности Оператор ограничивает последствия, устанавливает затронутые данные, восстанавливает защиту и исполняет обязанности по уведомлению уполномоченного органа и субъектов в применимых случаях и сроках.

6. Передача третьим лицам

6.1. Платёжному партнёру apipay.kz передаются только сведения, необходимые для инициирования и сопоставления конкретного платежа: номер телефона плательщика, сумма, идентификатор заказа или операции и необходимые технические параметры.

6.2. ИИН, сведения о школе, ответы на задания и история учебных результатов не передаются платёжному партнёру для обычного пополнения кошелька.

6.3. От партнёра Оператор получает сведения о статусе и идентификаторе операции и другие необходимые для сверки расчёта данные.

6.4. Формирование запроса в приложении Kaspi предполагает участие соответствующих платёжных и банковских организаций. Их собственная обработка регулируется применимым законодательством и документами этих организаций.

6.5. Поставщики хостинга и технического обслуживания получают доступ только при необходимости, на определённом законном основании и с договорными обязанностями по конфиденциальности и защите.

6.6. Государственным органам данные предоставляются при наличии законного и надлежаще оформленного основания в пределах соответствующего требования.

6.7. Школа, работодатель педагога или другой пользователь не получают доступ к индивидуальной истории результатов автоматически. Такой доступ требует отдельного основания и заранее определённого объёма.

6.8. Передача данных за пределы Республики Казахстан в описанной модели не предусматривается. Подключение иностранного сервиса или предоставление удалённого доступа из-за рубежа требует предварительной оценки по статье 16 Закона и актуализации документов и согласий, когда это необходимо.

6.9. Размещение основной базы в Казахстане не подтверждает автоматически отсутствие трансграничной передачи через подрядчиков, почтовые сервисы, аналитику или публичные страницы. Фактическая схема подлежит проверке.

7. Публичная проверка сертификатов и дипломов

7.1. Сертификаты и дипломы по олимпиадам содержат QR-код со ссылкой на страницу проверки подлинности. Страница доступна без авторизации любому лицу, получившему ссылку.

7.2. Предлагаемый состав публичных сведений: ФИО участника, наименование олимпиады, дата, вид и номер документа, присуждённое место при наличии и статус подлинности.

7.3. ИИН, email, телефон, платёжные сведения, школа, класс и полная история результатов на странице проверки не публикуются.

7.4. До публикации Оператор получает отдельное согласие пользователя или законного представителя ребёнка на распространение конкретных сведений. Закрытая по умолчанию ссылка, QR-код или отсутствие индексации поисковиками не заменяют такое согласие.

7.5. При отсутствии согласия персональные данные на публичной странице не раскрываются. Документ предоставляется в личном кабинете; альтернативный способ проверки: [описать механизм без публичного раскрытия — проверить с юристом и технической командой].

7.6. При правомерном отзыве согласия публичное раскрытие прекращается в применимый срок. Это не обязательно означает уничтожение учётной записи о выданном документе, если для её ограниченного хранения сохраняется законное основание.

7.7. Оператор не может гарантировать удаление копий, ранее самостоятельно сохранённых другими лицами, но принимает предусмотренные законом меры в пределах своего контроля.

8. Сроки хранения и уничтожение

8.1. Данные хранятся в течение срока, необходимого для заявленной цели, с учётом обязательных требований законодательства. Для каждой категории Оператор утверждает конкретный срок или проверяемый критерий его окончания.

8.2. Профиль, ИИН и контактные сведения: в период использования аккаунта и завершения связанных обязательств; срок удаления после закрытия — [срок и основания исключений — проверить с юристом].

8.3. Ответы, результаты и история попыток: на период предоставления истории пользователю и рассмотрения обоснованных споров; срок после прекращения обслуживания — [срок — проверить с юристом].

8.4. Реестр сертификатов и дипломов: [срок поддержания проверки — проверить с юристом]. Публичное отображение действует только в пределах соответствующего основания; внутреннее хранение и публичная доступность имеют отдельные сроки.

8.5. Платёжные и учётные документы: в течение обязательных сроков, применимых к конкретному документу по бухгалтерскому, налоговому и иному законодательству РК. [Категории документов, сроки и основания — проверить с юристом и бухгалтером.]

8.6. Записи согласий, подтверждения представительства и обращения: [срок с учётом необходимости подтверждения правомерности обработки и защиты по требованиям — проверить с юристом].

8.7. Технические журналы, cookie и резервные копии: [отдельные сроки для каждой категории и цикл удаления копий — проверить с юристом и технической командой].

8.8. После истечения применимого срока данные уничтожаются либо необратимо обезличиваются, если дальнейшая работа с обезличенными сведениями правомерна. Шифрование и замена имени идентификатором сами по себе не означают необратимое обезличивание.

8.9. При необходимости обязательного хранения после закрытия аккаунта сохраняется только необходимая часть данных с ограничением доступа и целей использования. Оператор объясняет заявителю основание и срок сохранения.

9. Cookie и технические данные

9.1. Платформа использует необходимые cookie и аналогичные механизмы для сессии, авторизации, защиты запросов и сохранения выбранного языка.

9.2. Если будут использоваться необязательные аналитические, рекламные или сторонние cookie, они включаются после отдельного выбора пользователя. До их подключения раскрываются цели, получатели, сроки и сведения о трансграничной передаче.

9.3. Пользователь может изменить выбор через [настройки cookie — реализовать] и удалить cookie средствами браузера. Отключение необходимых cookie может препятствовать входу или отдельным функциям.

9.4. Продолжение просмотра страницы само по себе не считается подтверждением согласия на необязательную обработку.

9.5. Технические сведения, позволяющие связать действия с конкретным пользователем, обрабатываются как персональные данные.

10. Права субъекта и обращения

10.1. Пользователь или его законный представитель вправе узнавать, обрабатываются ли его данные, получать доступ и сведения о целях, источниках, способах, составе, получателях и сроках обработки.

10.2. Он вправе требовать исправления или дополнения недостоверных данных, блокирования и уничтожения в предусмотренных законом случаях, отозвать согласие, оспаривать неправомерную обработку и обращаться за защитой в уполномоченный орган или суд.

10.3. Запрос направляется на [Email поддержки], по адресу [Юридический адрес] либо через [защищённую форму личного кабинета — уточнить]. Тема обращения: «Персональные данные BilimPED».

10.4. Для идентификации рекомендуется указать ФИО, идентификатор аккаунта и содержание запроса. Полный ИИН и копии документов не следует отправлять в обычной переписке без обоснованной необходимости. Оператор предоставляет защищённый способ дополнительной проверки, если она требуется.

10.5. Сведения представителю выдаются после проверки полномочий. Проверка не должна предполагать избыточный сбор данных.

10.6. Запросы исполняются в сроки, установленные для соответствующего действия законодательством РК. [Конкретные сроки предоставления сведений, исправления, блокирования, уничтожения и мотивированного отказа — проверить с юристом и закрепить в регламенте.]

10.7. При наличии препятствия к исполнению запроса Оператор предоставляет мотивированное объяснение с указанием применимого основания.

10.8. Отзыв согласия осуществляется в установленном законом порядке. Учитываются предусмотренные законом ограничения, в том числе связанные с неисполненными обязательствами. Они не служат основанием для бессрочного хранения всех сведений без оценки необходимости.

10.9. Если прекращение необходимой обработки делает конкретную функцию недоступной, Оператор объясняет последствия и ограничивает именно эту функцию. Отзыв согласия на публичную проверку документа или необязательную аналитику не должен автоматически закрывать аккаунт.

11. Уведомления и изменение Политики

11.1. Обычные уведомления размещаются в личном кабинете. SMS Платформа не использует; автоматические email-сообщения предназначены только для восстановления доступа.

11.2. Указанное правило не исключает ответы на обращения и обязательные по закону сообщения через предусмотренный законом или согласованный для обращения канал.

11.3. Обновлённая Политика размещается на сайте с датой редакции. О существенных изменениях Оператор сообщает через личный кабинет.

11.4. Если изменение требует нового согласия, оно запрашивается до начала соответствующей обработки. Публикация новой Политики и молчание пользователя не заменяют необходимого согласия.

12. Контакты Оператора

Наименование: [Наименование юрлица/ИП]. БИН/ИИН: [БИН/ИИН]. Юридический адрес: [Юридический адрес]. Email для обращений по персональным данным: [Email поддержки]. Телефон: [Телефон поддержки]. Сайт: bilimped.kz. Ответственное лицо: [ФИО/должность и контакт — проверить с юристом].