Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности (далее — «Политика») разработана в соответствии с Законом Республики Казахстан «О персональных данных и их защите» № 94-V от 21 мая 2013 года (далее — «Закон о персональных данных») и регулирует порядок сбора, хранения, использования и защиты персональных данных пользователей SaaS-платформы Chato (далее — «Платформа»), доступной по адресу chato.kz.

Оператором персональных данных является Олжабай Жанат Канатбекулы (ИИН 010510500443), зарегистрированный в Республике Казахстан, г. Кызылорда, ул. Толе Би, дом 139 (далее — «Chato», «Оператор», «мы»).

Регистрируясь на Платформе или иным образом используя её функциональность, вы подтверждаете своё ознакомление с настоящей Политикой и даёте согласие на обработку ваших персональных данных в соответствии с её условиями. Если вы не согласны с какими-либо положениями Политики, пожалуйста, воздержитесь от использования Платформы.

Настоящая Политика распространяется на персональные данные, которые Оператор получает непосредственно от пользователей, а также на данные, автоматически формируемые в ходе использования Платформы.

2. Какие данные мы собираем

В зависимости от способа взаимодействия с Платформой мы можем обрабатывать следующие категории персональных данных:

2.1. Регистрационные данные

• Имя и фамилия (или псевдоним) пользователя;
• Адрес электронной почты;
• Номер телефона (при его указании);
• Хешированный пароль (алгоритм argon2; исходный пароль не хранится);
• Аватар (фото профиля) — по желанию пользователя;
• Название компании и сведения о рабочем пространстве.

2.2. Платёжные данные

• Информация о выбранном тарифном плане и истории платежей. Данные банковской карты обрабатываются исключительно платёжным провайдером Платформы — ApiPay.kz (приём платежей через Kaspi Pay) — и не хранятся на серверах Chato.

2.3. Данные подключённых каналов коммуникаций

• Переписка, входящая и исходящая через подключённые мессенджеры (WhatsApp Business API, Telegram Bot API, Instagram Messaging API, Email, телефония);
• Данные контактов клиентов, передаваемые пользователем в CRM-модуль Платформы;
• Вложения (файлы, изображения, голосовые сообщения), пересылаемые через Платформу.

Указанные данные обрабатываются исключительно в целях оказания Услуги и не анализируются в маркетинговых целях без явного согласия пользователя.

2.4. Технические и аналитические данные

• IP-адрес и геолокация на уровне страны/города;
• Тип и версия браузера, операционная система, разрешение экрана;
• Журналы запросов (логи): URL, HTTP-метод, код ответа, время обращения;
• Данные о действиях в интерфейсе (события GA4: просмотры страниц, клики);
• Идентификаторы сессии (JWT-токены в зашифрованном виде).

2.5. Данные, получаемые через интеграцию с Instagram (Meta Platform)

Когда владелец бизнес-аккаунта подключает свой Instagram Business/Creator-аккаунт к Платформе через официальный OAuth-вход Instagram, мы получаем от Meta:

• Идентификатор аккаунта в Instagram (IG User ID) и его имя пользователя (username);
• Содержимое личных сообщений (Direct) и комментариев под публикациями, которыми обмениваются клиенты с этим бизнес-аккаунтом;
• Публичное имя пользователя и фото профиля отправителя сообщения/комментария, когда эти данные доступны через Instagram API.

Эти данные используются исключительно для отображения переписки и отправки ответов в едином инбоксе Платформы от имени подключённого бизнес-аккаунта. Токен доступа хранится в зашифрованном виде (AES-256). Если владелец аккаунта отключает интеграцию или отзывает доступ через настройки Instagram/Facebook, Платформа автоматически получает уведомление через официальные Deauthorize и Data Deletion Request колбэки Meta и удаляет связанные данные из своих систем.

3. Цели обработки данных

Мы обрабатываем персональные данные в следующих целях:

• Предоставление Услуги: создание и ведение учётной записи, маршрутизация сообщений между каналами и операторами, хранение переписки, работа CRM-функций;
• Аутентификация и безопасность: верификация личности при входе, обнаружение подозрительной активности, защита аккаунта;
• Исполнение договора и выставление счетов: формирование актов, уведомления об изменении тарифа, управление подпиской;
• Улучшение Платформы: анализ агрегированной статистики использования (без идентификации конкретного пользователя), устранение технических неполадок через Sentry;
• Поддержка пользователей: обработка обращений в службу поддержки, технические консультации;
• Маркетинговые коммуникации: направление информации о новых функциях, тарифах и акциях — только с явного согласия пользователя, с возможностью отказа в любой момент;
• Соблюдение законодательства РК: выполнение требований Закона о персональных данных, налоговых и иных обязательных норм.

4. Правовые основания обработки

В соответствии со статьёй 8 Закона о персональных данных обработка персональных данных осуществляется на следующих основаниях:

• Согласие субъекта данных — при регистрации на Платформе, при подписке на маркетинговые рассылки;
• Исполнение договора (Пользовательского соглашения / Публичной оферты) — для обработки данных, необходимых для предоставления доступа к Платформе и её функционала;
• Законный интерес Оператора — для обеспечения безопасности Платформы, предотвращения мошенничества, улучшения сервиса путём анализа агрегированной статистики;
• Требования законодательства РК — при обращении уполномоченных государственных органов в установленном порядке.

5. Хранение данных и сроки

Персональные данные пользователей хранятся на серверах, расположенных в Республике Казахстан (дата-центры PS Internet Company LLP, города Астана и Алматы), в соответствии с требованиями законодательства РК о локализации персональных данных.

Сроки хранения данных:

• Данные учётной записи и переписка: в течение срока действия подписки и 3 года после её завершения либо до поступления запроса об удалении от пользователя;
• Платёжная история: не менее 5 лет с момента последней операции — в соответствии с требованиями налогового законодательства РК;
• Журналы (логи): до 90 дней;
• Данные в системе мониторинга ошибок (Sentry): до 30 дней.

После истечения срока хранения данные удаляются или обезличиваются таким образом, что идентификация субъекта становится невозможной.

6. Передача данных третьим лицам

Мы не продаём и не сдаём в аренду персональные данные пользователей третьим лицам. Передача данных возможна только в следующих случаях:

• Платёжный провайдер ApiPay.kz (Kaspi Pay): для обработки платежей в рамках подписки. Провайдер получает только данные, необходимые для проведения транзакции.
• Инфраструктурные сервисы: Cloudflare (CDN, защита от DDoS, DNS), MinIO-совместимое хранилище для файлов — исключительно в целях оказания Услуги;
• Мониторинг ошибок: Sentry — для автоматического обнаружения и диагностики программных ошибок. Передаётся только техническая информация без содержимого переписки;
• Аналитика: Google Analytics 4 — для анализа поведения пользователей на лендинге Платформы. Данные передаются в обезличенном виде;
• Государственные органы РК: по официальному запросу в установленном законом порядке при наличии надлежащих правовых оснований.

Все субподрядчики и обработчики данных обязаны соблюдать требования Закона о персональных данных РК или обеспечивать эквивалентный уровень защиты.

7. Файлы cookie

Платформа использует файлы cookie и аналогичные технологии отслеживания. В зависимости от функции cookie подразделяются на:

• Необходимые (обязательные): обеспечивают аутентификацию (хранение сессионного JWT), работоспособность интерфейса, CSRF-защиту. Не могут быть отключены без потери доступа к Платформе;
• Аналитические (Google Analytics 4): используются для сбора статистики о посещаемости лендинга (chato.kz). Применяются анонимизация IP и конфигурация без использования Signals. Вы можете заблокировать эти cookie через настройки браузера или установив расширение Google Analytics Opt-out;
• Функциональные: запоминают предпочтения пользователя (язык интерфейса, тема). Могут быть сброшены в настройках браузера.

При первом посещении сайта показывается уведомление об использовании cookie. Подтверждая его, вы соглашаетесь на использование файлов cookie, включая аналитические. Если вы не хотите, чтобы аналитические cookie использовались, заблокируйте их в настройках браузера или установите расширение Google Analytics Opt-out — уведомление при этом можно оставить без подтверждения.

8. Права пользователя

В соответствии с Законом о персональных данных РК вы как субъект персональных данных вправе:

• Получить доступ к своим персональным данным, которые обрабатывает Оператор, и информацию о целях и способах их обработки;
• Требовать исправления неточных или устаревших персональных данных;
• Требовать удаления персональных данных («право на забвение»), если отсутствуют законные основания для продолжения обработки;
• Получить копию своих данных в структурированном, машиночитаемом формате (право на переносимость данных);
• Отозвать согласие на обработку персональных данных, ранее предоставленного Оператору, не затрагивая законность обработки до момента отзыва;
• Ограничить обработку своих персональных данных в случаях, предусмотренных Законом о персональных данных;
• Обратиться с жалобой в уполномоченный орган по защите персональных данных Республики Казахстан (Министерство цифрового развития, инноваций и аэрокосмической промышленности РК).

Для реализации своих прав направьте запрос на электронную почту go@chato.kz. Мы рассмотрим ваш запрос в срок не более 15 рабочих дней.

9. Безопасность данных

Chato применяет комплекс технических и организационных мер для защиты персональных данных от несанкционированного доступа, утраты, изменения или раскрытия:

• Шифрование при передаче: весь трафик между клиентом и серверами шифруется по протоколу TLS 1.2/1.3 (HTTPS). Сертификаты управляются через Cloudflare в режиме Full Strict;
• Хранение паролей: пароли хешируются с использованием алгоритма argon2id перед сохранением в базе данных;
• Аутентификация: сессии защищены JWT-токенами с ограниченным сроком действия; поддерживается механизм принудительного завершения всех сессий;
• Хранилище файлов: вложения хранятся в объектном хранилище, совместимом с S3 (MinIO), с ограниченным доступом по предподписанным ссылкам;
• Защита от сетевых угроз: Cloudflare обеспечивает защиту от DDoS-атак, веб-экран приложений (WAF) и фильтрацию вредоносного трафика;
• Мониторинг ошибок: Sentry используется для оперативного обнаружения сбоев; конфиденциальные данные (пароли, токены, содержимое сообщений) исключаются из отчётов об ошибках;
• Разграничение доступа: сотрудники и подрядчики получают доступ к данным только в той мере, которая необходима для выполнения служебных обязанностей, на основании принципа наименьших привилегий.

В случае выявления инцидента безопасности, затрагивающего персональные данные пользователей, Оператор уведомит пострадавших пользователей и уполномоченные органы РК в сроки, установленные Законом о персональных данных.

10. Дети

Платформа Chato предназначена исключительно для использования в коммерческих целях совершеннолетними лицами. Мы не допускаем регистрацию лиц, не достигших 18 лет.

Если вам стало известно, что несовершеннолетний предоставил нам свои персональные данные без согласия родителей или законного представителя, просим незамедлительно сообщить нам по адресу go@chato.kz. Мы незамедлительно удалим соответствующие данные.

11. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику конфиденциальности. Существенные изменения вступают в силу не ранее чем через 7 календарных дней с момента уведомления пользователей. Уведомление направляется на email-адрес, указанный при регистрации, и/или отображается в виде баннера в интерфейсе Платформы.

Незначительные изменения (редакционные правки, уточнение формулировок без изменения существа Политики) вступают в силу с момента публикации обновлённой версии на сайте. Актуальная версия Политики всегда доступна по адресу chato.kz/privacy.

Продолжение использования Платформы после вступления в силу изменений означает ваше согласие с обновлённой Политикой.

12. Контакты

По всем вопросам, связанным с обработкой персональных данных, реализацией прав субъекта данных, а также для направления жалоб и запросов обращайтесь:

• Электронная почта: go@chato.kz
• Компания: Олжабай Жанат Канатбекулы
• ИИН: 010510500443
• Адрес: Республика Казахстан, г. Кызылорда, ул. Толе Би, дом 139
• Сайт: chato.kz

Мы стремимся ответить на запросы в течение 5 рабочих дней. В сложных случаях срок рассмотрения может составлять до 15 рабочих дней.