Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика определяет порядок сбора, обработки и защиты персональных данных, осуществляемых ИП «Premium Cloud Technologies» (далее — Оператор) при оказании услуг хостинга и сопутствующих услуг, а также при использовании сайта и личного кабинета Оператора.

1.2. Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — Закон о персональных данных), Правилами сбора, обработки персональных данных, утверждёнными уполномоченным органом, Цифровым кодексом Республики Казахстан и иными нормативными правовыми актами Республики Казахстан.

1.3. Политика утверждена Оператором во исполнение подпункта 1-1) пункта 2 статьи 25 Закона о персональных данных, размещается в свободном доступе по адресу https://over-cloud.kz/privacy и является неотъемлемой частью Пользовательского соглашения.

1.4. Действие Политики распространяется на персональные данные клиентов — физических лиц, представителей и работников клиентов — юридических лиц, а также посетителей сайта Оператора.

2. Термины

Персональные данные — сведения, относящиеся к определённому или определяемому на их основании субъекту, зафиксированные на электронном, бумажном и (или) ином материальном носителе.

Субъект — физическое лицо, к которому относятся персональные данные.

Оператор — ИП «Premium Cloud Technologies», осуществляющее сбор, обработку и защиту персональных данных.

Обработка — действия по накоплению, хранению, изменению, дополнению, использованию, распространению, обезличиванию, блокированию и уничтожению персональных данных.

Личный кабинет — закрытый раздел сайта Оператора, в котором субъект управляет услугами, счетами и своими данными.

3. Какие персональные данные мы собираем

3.1. Оператор собирает только те данные, которые необходимы и достаточны для заявленных целей (пункты 8 и 9 статьи 7 Закона о персональных данных). Избыточные данные не запрашиваются и не обрабатываются.

3.1.1. Данные учётной записи

• фамилия и имя;
• адрес электронной почты;
• номер телефона;
• наименование организации (если указано);
• почтовый адрес: страна, город, адрес, индекс;
• пароль — в виде необратимого криптографического хеша; исходный пароль Оператору неизвестен.

3.1.2. Платёжные (учётные) данные

• для плательщика — физического лица: фамилия, имя, индивидуальный идентификационный номер (ИИН), адрес, контактные данные;
• для плательщика — юридического лица: наименование, бизнес-идентификационный номер (БИН), юридический адрес, фамилия, имя и должность руководителя или контактного лица, признак плательщика НДС;
• банковские реквизиты: наименование банка, БИК, ИИК (IBAN), код бенефициара;
• сведения о выставленных счетах, платежах, состоянии баланса и загруженных Клиентом платёжных документах (квитанциях, чеках).

ИИН и БИН собираются исключительно для оформления счетов, актов, договоров и налоговой отчётности. Копии документов, удостоверяющих личность, Оператор не запрашивает и не хранит, за исключением случаев, прямо предусмотренных законами Республики Казахстан.

3.1.3. Данные, связанные с услугами и обращениями

• состав заказанных услуг, доменные имена, параметры тарифов и сроки их оказания;
• переписка в системе заявок технической поддержки и по электронной почте, включая приложенные файлы;
• заявки на заключение договора и загруженные субъектом подписанные экземпляры договоров.

3.1.4. Технические данные

• IP-адрес, с которого выполнены вход в личный кабинет и значимые действия в нём;
• дата и время входа, журнал действий с учётной записью, счетами и услугами;
• служебные записи веб-сервера и почтовой системы;
• идентификатор сессии и служебные значения из файлов cookie (раздел 13).

3.2. Оператор не собирает биометрические данные, данные о состоянии здоровья, расовом и этническом происхождении, политических и религиозных убеждениях, а также не собирает и не хранит реквизиты банковских карт: при онлайн-оплате они вводятся на стороне платёжной организации.

4. Цели и правовые основания обработки

4.1. Использование персональных данных в целях, не заявленных в настоящем разделе, не допускается (статья 14 Закона о персональных данных).

4.2. Оператор не принимает решений о субъекте на основе профилирования и не передаёт данные для формирования рекламных профилей.

5. Содержание согласия на сбор и обработку персональных данных

5.1. Согласие даётся субъектом при регистрации в личном кабинете путём проставления отметки о согласии с настоящей Политикой — способом, позволяющим подтвердить его получение (пункт 1 статьи 8 Закона о персональных данных). Факт, дата, время и IP-адрес дачи согласия фиксируются в журнале действий.

5.2. В соответствии с пунктом 4 статьи 8 Закона о персональных данных согласие включает следующие сведения:

• Оператор: ИП «Premium Cloud Technologies», БИН 991021301486, адрес: Алматинская обл., Талгарский р-н, пос. Панфилова, ул. Мичурина, д. 4;
• Субъект: фамилия и имя, указанные субъектом при регистрации;
• Перечень собираемых данных: данные, перечисленные в разделе 3 настоящей Политики;
• Срок действия согласия: в течение срока действия договора и последующего срока хранения документов, установленного разделом 8;
• Передача третьим лицам: осуществляется в объёме и случаях, указанных в разделе 6;
• Трансграничная передача: осуществляется в случаях, указанных в разделе 7;
• Распространение в общедоступных источниках: не осуществляется.

6. Передача персональных данных третьим лицам

6.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных ниже, и случаев, предусмотренных статьёй 9 Закона о персональных данных.

6.2. Данные передаются в минимально необходимом объёме следующим категориям получателей:

• банки и платёжные организации — для приёма платежей и идентификации поступивших сумм;
• регистраторы доменных имён и администраторы доменных зон — сведения о владельце домена, если субъект заказывает регистрацию или продление доменного имени; состав передаваемых сведений определяется правилами доменной зоны;
• удостоверяющие центры — при заказе сертификатов безопасности;
• операторы систем электронного документооборота — при обмене счетами и договорами в электронной форме;
• поставщики услуг почтовых рассылок и связи — для доставки служебных уведомлений;
• государственные органы — по запросам, оформленным в порядке, установленном законами Республики Казахстан.

6.3. Третьи лица, привлекаемые к обработке, обязаны обеспечивать конфиденциальность и защиту данных не ниже уровня, предусмотренного настоящей Политикой и законодательством Республики Казахстан.

6.4. При наличии условия об уведомлении субъекта о передаче его данных третьему лицу Оператор уведомляет субъекта в течение десяти рабочих дней (статья 19 Закона о персональных данных).

7. Трансграничная передача

7.1. Основная обработка осуществляется на территории Республики Казахстан. Трансграничная передача возможна в ограниченных случаях:

• при регистрации доменных имён в международных доменных зонах — передача сведений о владельце домена регистратору и реестру соответствующей зоны;
• при выпуске сертификатов безопасности иностранными удостоверяющими центрами;
• при использовании на формах входа и регистрации сервиса защиты от автоматизированных запросов (reCAPTCHA), которому передаются IP-адрес и технические сведения о браузере.

7.2. Трансграничная передача осуществляется в государства, обеспечивающие защиту персональных данных, либо на основании согласия субъекта (статья 16 Закона о персональных данных). Отказ от такой передачи означает невозможность оказания соответствующей услуги (регистрации домена, выпуска сертификата).

8. Хранение персональных данных и сроки

8.1. Персональные данные хранятся в базах данных и на серверах, расположенных на территории Республики Казахстан (пункт 2 статьи 12 Закона о персональных данных).

8.2. Сроки хранения:

• данные учётной записи и данные об услугах — в течение срока действия договора и трёх лет после его прекращения (срок исковой давности по обязательствам);
• счета, платёжные и первичные учётные документы, реквизиты плательщика, включая ИИН и БИН, — не менее пяти лет, как того требует статья 206 Налогового кодекса Республики Казахстан;
• переписка в технической поддержке — три года с даты закрытия обращения;
• журналы действий и записи о входах в личный кабинет — один год;
• данные, обрабатываемые на основании согласия на рассылки, — до отзыва согласия.

8.3. По достижении целей обработки либо при прекращении правоотношений с субъектом данные уничтожаются или удаляются, за исключением данных, срок хранения которых установлен законодательством (статья 18 Закона о персональных данных).

9. Меры защиты персональных данных

9.1. Оператор принимает правовые, организационные и технические меры, обеспечивающие предотвращение несанкционированного доступа, своевременное обнаружение такого доступа и минимизацию его последствий (статья 22 Закона о персональных данных), в том числе:

• передача данных между браузером субъекта и сервисами Оператора защищена протоколом TLS (HTTPS);
• пароли хранятся в виде необратимых криптографических хешей;
• ключи доступа к внешним сервисам и интеграциям хранятся в зашифрованном виде;
• доступ работников к персональным данным разграничен и предоставляется в объёме служебной необходимости;
• действия с учётными записями, счетами и услугами фиксируются в журнале с указанием исполнителя, времени и IP-адреса;
• формы личного кабинета защищены от подделки межсайтовых запросов, попытки подбора паролей ограничиваются;
• выполняется резервное копирование баз данных; резервные копии защищены наравне с основными данными.

9.2. Работники Оператора, получившие доступ к персональным данным ограниченного доступа, обязаны обеспечивать их конфиденциальность в силу статьи 11 Закона о персональных данных, в том числе после прекращения трудовых отношений.

9.3. Оператор назначает лицо, ответственное за организацию обработки персональных данных, которое осуществляет внутренний контроль за соблюдением законодательства и рассматривает обращения субъектов.

9.4. С момента обнаружения нарушения безопасности персональных данных Оператор уведомляет о нём уполномоченный орган в порядке подпункта 8) пункта 2 статьи 25 Закона о персональных данных и информирует затронутых субъектов о рекомендуемых мерах.

10. Автоматизированная обработка

10.1. В биллинговой системе Оператора автоматически выполняются: формирование счетов перед началом расчётного периода, рассылка напоминаний о сроке оплаты, приостановление и прекращение оказания услуги при отсутствии оплаты в сроки, установленные Пользовательским соглашением.

10.2. Указанные операции основаны на фактах оплаты и сроках, предусмотренных договором, и не включают оценку личных качеств субъекта. Последствия — приостановление доступа к услуге и, по истечении установленного срока, её прекращение с удалением данных.

10.3. Субъект вправе заявить возражение против автоматизированной обработки его персональных данных; возражение рассматривается в течение трёх рабочих дней со дня получения, о результатах субъект уведомляется (статья 19-1 Закона о персональных данных).

11. Права субъекта персональных данных

11.1. В соответствии со статьёй 24 Закона о персональных данных субъект вправе:

• знать о наличии у Оператора своих персональных данных и получать сведения о целях, источниках и способах их сбора и обработки, перечне данных и сроках их хранения;
• безвозмездно знакомиться со своими персональными данными;
• требовать изменения и дополнения своих данных при наличии подтверждающих документов;
• требовать блокирования или анонимизации данных при наличии информации о нарушении условий их сбора и обработки;
• требовать уничтожения или удаления данных, собранных и обработанных с нарушением законодательства;
• отозвать согласие на сбор и обработку данных, кроме случаев, когда это противоречит законам Республики Казахстан либо имеется неисполненное обязательство;
• на защиту своих прав и законных интересов, включая возмещение морального и материального вреда.

11.2. Часть прав реализуется субъектом самостоятельно в личном кабинете: просмотр и изменение контактных данных, платёжных профилей, истории счетов и платежей, смена пароля.

11.3. Обращение направляется на адрес info@over-cloud.kz либо через систему заявок личного кабинета. Оператор в течение одного рабочего дня изменяет, дополняет, блокирует, уничтожает или удаляет данные при наличии оснований, предусмотренных подпунктом 8) пункта 2 статьи 25 Закона о персональных данных, либо предоставляет мотивированный ответ об отказе.

11.4. Субъект вправе обжаловать действия (бездействие) Оператора в уполномоченный орган в сфере защиты персональных данных или в суд.

12. Отзыв согласия и удаление данных

12.1. Согласие отзывается путём направления уведомления способами, указанными в пункте 11.3.

12.2. В течение пятнадцати рабочих дней с даты получения уведомления Оператор прекращает обработку персональных данных, если их хранение или обработка не требуется в соответствии с законодательством Республики Казахстан, либо представляет мотивированный отказ (пункт 7 статьи 8 Закона о персональных данных).

12.3. Согласие не может быть отозвано при наличии неисполненного обязательства субъекта перед Оператором, а также в части данных, срок хранения которых установлен налоговым законодательством и законодательством о бухгалтерском учёте. В этом случае обработка ограничивается хранением в объёме, необходимом для исполнения требований закона (статья 41 Цифрового кодекса Республики Казахстан).

12.4. Отзыв согласия в отношении данных, необходимых для оказания услуг, влечёт невозможность их дальнейшего оказания и является основанием для прекращения договора.

13. Файлы cookie

13.1. Сайт и личный кабинет используют технически необходимые файлы cookie: идентификатор сессии, обеспечивающий вход в личный кабинет, и служебные значения защиты форм от подделки запросов. Без них работа личного кабинета невозможна.

13.2. Рекламные и трекинговые файлы cookie третьих лиц Оператор не устанавливает.

13.3. Субъект вправе запретить сохранение cookie в настройках браузера; в этом случае вход в личный кабинет станет невозможен.

14. Данные третьих лиц, размещаемые клиентом

14.1. Если клиент размещает в рамках оказываемых услуг персональные данные третьих лиц (например, данные пользователей своего сайта), собственником и оператором таких данных является сам клиент. Он самостоятельно определяет цели и объём их обработки, получает необходимые согласия и отвечает за соблюдение законодательства о персональных данных.

14.2. Оператор в отношении таких данных выступает лицом, предоставляющим вычислительные ресурсы, не определяет цели их обработки, не использует их и обращается к ним только по обращению клиента в рамках технической поддержки либо по требованиям уполномоченных государственных органов, оформленным в соответствии с законами Республики Казахстан.

14.3. Требование о хранении персональных данных граждан Республики Казахстан на территории Республики Казахстан распространяется и на клиента как собственника таких данных.

15. Персональные данные несовершеннолетних

15.1. Услуги предназначены для лиц, обладающих необходимым объёмом дееспособности. Оператор не осуществляет целенаправленный сбор данных несовершеннолетних.

15.2. Если Оператору станет известно, что данные несовершеннолетнего были получены без согласия законного представителя, такие данные удаляются.

16. Изменение Политики и контактные данные

16.1. Оператор вправе изменять настоящую Политику. Новая редакция публикуется по адресу https://over-cloud.kz/privacy с указанием даты редакции и вступает в силу с момента публикации. Об изменениях, затрагивающих объём обрабатываемых данных или цели обработки, субъекты уведомляются через личный кабинет или по электронной почте.

16.2. Вопросы, обращения и требования по обработке персональных данных направляются Оператору: