Осы Саясат «Дербес деректер және оларды қорғау туралы» 2013 жылғы 21 мамырдағы № 94-V Қазақстан Республикасының Заңын (қолданыстағы редакциясында) ескере отырып әзірленді және Toptar сервисінің Жария офертасының (Пайдаланушылық келісімінің) ажырамас бөлігі болып табылады.
1. Жалпы ережелер және терминдер
1.1. Осы Саясат Toptar сервисі (бұдан әрі — «Сервис») Пайдаланушыларының дербес деректерін жинау, өңдеу, сақтау, қорғау және олармен өзге де әрекеттер жасау тәртібін, сондай-ақ дербес деректер субъектілерінің құқықтарын айқындайды.
1.2. Дербес деректер — электрондық, қағаз және (немесе) өзге де жеткізгіште тіркелген, айқындалған немесе солардың негізінде айқындалатын дербес деректер субъектісіне қатысты мәліметтер.
1.3. Субъект — дербес деректері өңделетін Пайдаланушы.
1.4. Оператор — дербес деректерді жинауды және өңдеуді жүзеге асыратын «Плюра» ЖШС, БСН 260640043859.
1.5. Өңдеу — дербес деректерді жинау, жазу, жүйелеу, жинақтау, сақтау, өзгерту, пайдалану, тарату, иесіздендіру, бұғаттау және жою жөніндегі әрекеттер.
1.6. Келісім — Субъектінің өз деректерін нақты мақсаттар үшін өңдеуге рұқсат беретін айқын, ерікті, хабардар етілген және бірмәнді ерік білдіруі. Келісім кері қайтарып алынуы мүмкін.
1.7. Бас әріппен жазылған және осы Саясатта айқындалмаған терминдер (Аккаунт, Контент, Пайдаланушы, Сервис және т.б.) Жария офертада белгіленген мағыналарға ие.
2. Оператор және жауапты тұлға
2.1. Дербес деректер операторы «Плюра» ЖШС болып табылады.
2.2. Дербес деректерді өңдеуді ұйымдастыруға жауапты тұлға: «Плюра» ЖШС директоры. Дербес деректер мәселелері бойынша өтініштерге арналған байланыс: support@toptar.kz.
2.3. Субъектінің құқықтарын іске асыру жөніндегі өтініштер 2.2-тармақта көрсетілген мекенжайға жіберіледі, сондай-ақ Сервис функциялары (Аккаунт баптаулары) арқылы берілуі мүмкін.
3. Біз қандай деректерді өңдейміз
3.1. Есептік деректер
- электрондық пошта мекенжайы (Google немесе Apple кіру провайдері ұсынады; Apple арқылы кірген кезде бұл ретрансляцияланатын мекенжай болуы мүмкін);
- Google және Apple кіру идентификаторлары (Sign-In);
- авторизация токендері (JWT) және сессияның техникалық идентификаторлары.
3.2. Профиль деректері
- пайдаланушы аты (username), көрсетілетін аты, аватар, сипаттама (био);
- верификация мәртебесі, жазылымдар/жазылушылар есептегіштері, құпиялылық және хабарламалар баптаулары.
3.3. Сауалнамалық (демографиялық) деректер
- жынысы — тіркелу кезінде көрсетіледі;
- туған күні — тіркелу кезінде көрсетіледі;
- тұратын елі мен қаласы — тіркелу кезінде көрсетіледі;
- білім деңгейі — ерікті түрде ұсынылады;
- отбасылық жағдайы — ерікті түрде ұсынылады.
3.4. Контент және белсенділік
- жасалған сауалнамалар, жауап нұсқалары, суреттер;
- дауыстар (жауаптар); пікірлер, «ұнайды» белгілері, репосттар, бетбелгілер, қаралымдар;
- жазылымдар (әлеуметтік граф); іздеу сұраулары және іздеу тарихы; шағымдар.
3.5. Техникалық және аналитикалық деректер
- құрылғының түрі мен моделі, платформа (iOS/Android), қосымшаның нұсқасы;
- сессия идентификаторы, аналитикалық мақсаттарда иесіздендірілетін пайдалану оқиғалары (көрсетілімдер, парақтаулар, әрекеттер);
- тіркелген құрылғылардың push-токендері; қателер мен іркілістер туралы деректер (диагностика).
3.6. Оператор 4-бөлімде көрсетілген мақсаттар үшін қажет емес мәліметтерді жинамайды. Жынысын, туған күнін, тұратын елі мен қаласын Пайдаланушы тіркелу кезінде көрсетеді (туған күнін — оның ішінде жас талаптарын тексеру үшін). Қалған Сауалнамалық деректер ерікті болып табылады: оларды ұсынбау Сервистің базалық функцияларын пайдалануды бұғаттамайды, бірақ демографиялық аналитика функцияларын шектеуі мүмкін.
4. Өңдеу мақсаттары мен құқықтық негіздері
4.1. Оператор деректерді мынадай мақсаттар үшін өңдейді:
- тіркеу, аутентификация және Сервиске қолжетімділікті қамтамасыз ету;
- Сервис функцияларын ұсыну: сауалнамаларды жасау және көрсету, дауыс беру, пікірлер, лента, жазылымдар;
- сауалнама нәтижелерінің агрегатталған демографиялық аналитикасын қалыптастыру;
- лентаны және ұсынымдарды дербестендіру, оның ішінде ЖИ пайдалана отырып;
- хабарламаларды жіберу (қосымша ішінде және push);
- жария орналастырылған Контентті пайдалана отырып Сервисті ілгерілету — Пайдаланушы Жария офертада берген лицензия көлемінде;
- қауіпсіздікті қамтамасыз ету, алаяқтық пен теріс пайдаланудың алдын алу, модерация;
- Сервисті жақсарту, өнімдік аналитика (иесіздендірілген немесе агрегатталған деректерде);
- заңнама талаптарын орындау.
4.2. Өңдеудің құқықтық негіздері мыналар болып табылады: субъектінің келісімі; шартты (Жария офертаны) орындау; заңнама талаптарын сақтау; сондай-ақ «Дербес деректер және оларды қорғау туралы» Заңда көзделген өзге де негіздер.
5. Келісім және келісімді кері қайтарып алу
5.1. Дербес деректерді өңдеуге келісім тіркелу және Сервисті пайдалану кезінде осы Саясатты қабылдау арқылы беріледі.
5.2. Субъект кез келген сәтте Операторға өтініш жіберу не Сервис баптаулары арқылы тиісті деректерді немесе Аккаунтты жою жолымен келісімді кері қайтарып алуға құқылы. Келісімді кері қайтарып алу оған дейін жүзеге асырылған өңдеудің заңдылығына әсер етпейді.
5.3. Базалық функцияларды көрсету үшін қажетті деректерді өңдеуге келісімді кері қайтарып алу Сервисті пайдаланудың мүмкін болмауына әкеп соғуы мүмкін.
6. Деректердің ерекше санаттары
6.1. Оператор Пайдаланушыдан дербес деректердің ерекше санаттарына жататын мәліметтерді (оның ішінде діни нанымдары, саяси көзқарастары, ұлты, денсаулық жағдайы туралы) сұратпайды және оларды Пайдаланушының профиліне қоспайды. Пайдаланушының сауалнамалардағы жауаптарын Оператор Пайдаланушыны осындай белгілер бойынша профильдеу үшін пайдаланбайды.
7. Дауыс берудің анонимділігі және шағын іріктемелер
7.1. Сауалнама авторы анонимділік режимін қоса алады: мұндай сауалнамада дауыс берген Пайдаланушылар және олардың таңдауы басқа Пайдаланушыларға көрсетілмейді. Анонимділік режимі жоқ сауалнамаларда Пайдаланушының қатысу фактісі оның құпиялылық баптауларына сәйкес басқа Пайдаланушыларға көрсетілуі мүмкін. Барлық жағдайларда Оператордың жүйелерінде дауыс дауыс берген адамның Аккаунтымен техникалық түрде байланысты. Сауалнама нәтижелері агрегатталған түрде көрсетіледі.
7.2. Нәтижелердің демографиялық кесінділері агрегатталған түрде көрсетіледі. Субъект кесіндіде жауап бергендердің саны аз болған кезде агрегатталған көрсеткіштер сауалнаманың жекелеген қатысушыларының жауаптарын жанама түрде сипаттауы мүмкін екенін назарға алады. Оператор Пайдаланушыларды шағын іріктемелер бойынша сәйкестендіруден қорғаудың қосымша шараларын қолдануға (оның ішінде кесінділерді көрсетудің ең төменгі шектерін белгілеуге) құқылы.
7.3. Профиль деректері (пайдаланушы аты, көрсетілетін аты, аватар, сипаттама) және Пайдаланушының анонимді емес белсенділігі Субъектінің еркі бойынша оның құпиялылық баптауларына сәйкес басқа Пайдаланушыларға көрсетіледі.
8. Деректерді беру және тартылатын сервистер
8.1. Пайдаланушылардың дербес деректері Қазақстан Республикасының аумағында орналасқан Оператор инфрақұрылымында сақталады және өңделеді. Оператор Пайдаланушылардың дербес деректерін сыртқы сервистерге олардың өз мақсаттары үшін бермейді, деректерді сатпайды және оларды үшінші тұлғалардың жарнамалық таргетингі үшін бермейді.
8.2. Сыртқы ЖИ-сервистерге (Google Gemini) сауалнамалардың Контенті (сұрақ мәтіні, сипаттама, жауап нұсқалары) және нәтижелердің демографиялық кесінділердегі агрегатталған (жинақталған) деректері беріледі. Google Gemini сервистері сауалнамаларды жіктеу, ұсынымдарды құру (Контенттің векторлық көріністерін жасау), нәтижелердің агрегатталған аналитикалық шолуларын қалыптастыру және аудиторияның демографиялық кесінділерінің мәтіндік сипаттамаларын генерациялау үшін пайдаланылады. Пайдаланушылардың жеке демографиялық профильдері, есептік деректері және пікірлері мұндай сервистерге берілмейді.
8.3. Жекелеген базалық функциялардың жұмысы үшін тиісті жеткізушілерге деректердің шектеулі жиынтығын беру техникалық тұрғыдан қажет — қатаң түрде функцияны орындау үшін қажетті көлемде:
- Хостинг және сақтау орны (ҚР-да) — Yandex Cloud (Қазақстан Республикасы өңірі) және/немесе ҚР-дағы өзге де деректерді өңдеу орталығы: дерекқорлар мен файлдарды Қазақстан Республикасының аумағында орналастыру.
- Трафикті жеткізу және қорғау — Cloudflare: Пайдаланушының құрылғысы мен Оператордың серверлері арасындағы желілік трафик Cloudflare инфрақұрылымы арқылы транзитпен өтеді (шабуылдардан қорғау, TLS шифрлау); Cloudflare қосылымның техникалық деректері мен берілетін деректерді тек трафикті бағдарлау және қорғау мақсатында ғана өңдейді.
- Google/Apple арқылы кіру — Сервиске тіркелу және кіру осы провайдерлер арқылы жүзеге асырылады; провайдерге (Google, Apple) аутентификация үшін қажетті сәйкестендіру деректерінің ең аз жиынтығы беріледі.
- Push-хабарламалар — жеткізу қызметтеріне (OneSignal, Apple APNs, Firebase Cloud Messaging (Google)) құрылғы токені және хабарлама мазмұны (ол жіберуші пайдаланушының атын және қозғалған Контенттің фрагменттерін қамтуы мүмкін) тек хабарламаны Пайдаланушының құрылғысына жеткізу үшін ғана беріледі.
- Қателер мониторингі — Sentry (хостинг — АҚШ): іркілістер туралы техникалық диагностикалық мәліметтер беріледі; сервис жіберілетін ақпараттан дербес деректерді алып тастауға (бүркемелеуге) бапталады.
- Мобильді қосымшаның диагностикасы — Firebase Crashlytics (Google): қосымшаның іркілістері туралы есептер және құрылғының техникалық метадеректері беріледі; Firebase Remote Config (Google): қосымшаның конфигурациясын Пайдаланушылардың құрылғыларына жеткізу.
- Қосымша дүкендері және төлемдер (болашаққа) — Apple App Store, Google Play (тек ақылы функцияларды пайдаланған кезде; толық төлем деректемелері Операторға берілмейді).
8.4. Тартылатын жеткізушілер Оператордың тапсырмасы бойынша және құпиялылық шарттарында әрекет етеді, бұған дербес операторлар ретінде әрекет ететін және деректерді өздерінің құпиялылық саясаттары негізінде өңдейтін Google және Apple платформалық сервистері (аутентификация, push-хабарламаларды жеткізу, қосымша дүкендері) кірмейді. Оператор уәкілетті мемлекеттік органдардың заңды талабы бойынша, сондай-ақ Оператор мен Пайдаланушылардың құқықтары мен қауіпсіздігін қорғау үшін деректерді ашуға құқылы.
9. Трансшекаралық беру
9.1. Пайдаланушылардың дербес деректері Қазақстан Республикасының аумағында сақталады. Трансшекаралық беру тек 8.2–8.3-тармақтарда көрсетілген функциялар үшін ең аз қажетті көлемде ғана жүзеге асырылады: Google/Apple арқылы аутентификация (осындай кіру таңдалған кезде); push-хабарламаларды жеткізу; Пайдаланушының құрылғысы мен Оператордың серверлері арасындағы желілік трафиктің Cloudflare инфрақұрылымы арқылы транзиті; сауалнамалардың Контенті мен агрегатталған деректерді ЖИ-сервистердің (Google Gemini) өңдеуі; техникалық диагностикалық мәліметтерді қателер мониторингі сервисіне (Sentry, АҚШ) беру; мобильді қосымшаның іркілістері туралы есептерді беру және оның конфигурациясын алу (Firebase Crashlytics / Remote Config, Google).
9.2. Мұндай беру «Дербес деректер және оларды қорғау туралы» Заңның 16-бабын сақтай отырып жүзеге асырылады: дербес деректердің қорғалуын қамтамасыз ететін мемлекеттерге — жалпы негіздерде; өзге мемлекеттерге — Субъектінің келісімі не заңда көзделген өзге де негіздер болған кезде.
9.3. Осы Саясатты қабылдай отырып және Сервисті пайдалана отырып (оның ішінде Google/Apple арқылы кіруді және push-хабарламаларды алуды таңдай отырып), Субъект 9.1-тармақта көрсетілген функциялардың жұмысы үшін қажетті көлемде деректерді трансшекаралық беруге келісім береді.
10. Деректерді локализациялау және сақтау
10.1. Қазақстан Республикасы азаматтарының дербес деректерін жинау, өңдеу және сақтау локализациялау туралы заңнама талаптарына сәйкес Қазақстан Республикасының аумағында орналасқан дерекқорларды пайдалана отырып жүзеге асырылады.
10.2. Сақтауға арналған инфрақұрылым дерекқорларды Қазақстан Республикасының аумағында орналастыра отырып, Yandex Cloud провайдерінде (Қазақстан Республикасы өңірі) орналастырылады.
10.3. ҚР шегінен тыс тек 9.1-тармақта көрсетілген функциялар үшін ең аз қажетті деректер көлемі ғана беріледі — 9-бөлімде белгіленген тәртіппен.
11. Сақтау мерзімдері
11.1. Дербес деректер Аккаунтты пайдалану мерзімі ішінде және өңдеу мақсаттарына қол жеткізілгенге дейін сақталады.
11.2. Аккаунтты жою кезең-кезеңмен орындалады: жою туралы сұрау салудан кейін Аккаунт 14 (он төрт) күнтізбелік күн қалпына келтіру кезеңімен деактивацияланады, ол өткеннен кейін деректер автоматты түрде жойылады не иесіздендіріледі, бұған мыналар кірмейді: (а) сақталуы заң бойынша талап етілетін деректер; (б) дауларды шешу және құқықтарды қорғау үшін қажетті деректер; (в) ротация регламенті бойынша жойылатын резервтік көшірмелер (30 күнге дейінгі мерзімде); (г) Субъектіні сәйкестендіруге мүмкіндік бермейтін иесіздендірілген агрегатталған деректер. Пайдаланушы орналастырған Контент (сауалнамалар, дауыстар, пікірлер) Аккаунт жойылған кезде жойылмайды, иесіздендіріледі: Пайдаланушымен байланыссыз Сервисте сақталады. Контенттің өзін жою үшін Аккаунтты жоюға дейін Контентті жою функцияларын пайдалану қажет.
11.3. Келісім кері қайтарып алынған кезде тиісті деректерді өңдеу заңнамада белгіленген мерзімдерде тоқтатылады.
12. Деректерді қорғау
12.1. Оператор дербес деректерді құқыққа сыйымсыз қол жеткізуден, өзгертуден, ашудан немесе жоюдан қорғаудың құқықтық, ұйымдастырушылық және техникалық шараларын қабылдайды, оның ішінде: беру арналарын шифрлау, есептік құпиялар мен токендерді қорғалған түрде сақтау, қол жеткізу құқықтарын ажырату, журналдау, резервтік көшіру және инциденттер мониторингі.
12.2. Оператор деректерге қол жеткізуді олар міндеттерін орындау үшін қажет болатын тұлғалар тобымен, құпиялылық шартымен шектейді.
12.3. Берудің және сақтаудың бірде-бір тәсілі мүлдем қауіпсіз емес; Оператор тәуекел деңгейіне сәйкес келетін шараларды қолдануға ұмтылады.
13. Дербес деректер субъектісінің құқықтары
13.1. Субъект мыналарға құқылы:
- өзінің дербес деректерінің өңделуі туралы ақпарат алуға;
- деректер толық емес немесе дәл емес болған кезде оларды өзгертуді және толықтыруды талап етуге;
- негіздер болған кезде деректерді бұғаттауды талап етуге;
- заңды бұза отырып өңделетін деректерді жоюды талап етуге, сондай-ақ келісімді кері қайтарып алуға;
- өңдеуге қарсылық білдіруге және Оператордың әрекеттеріне уәкілетті органға және сотқа шағымдануға.
13.2. Құқықтарды іске асыру үшін Субъект support@toptar.kz мекенжайына өтініш жібереді немесе Сервис баптауларын пайдаланады. Оператор өтінішті заңнамада белгіленген мерзімдерде қарайды.
14. Кәмелетке толмағандардың деректері
14.1. Сервис 18 (он сегіз) жасқа толған тұлғаларға арналған. Оператор белгіленген жасқа толмаған тұлғалардың деректерін мақсатты түрде жинауды жүзеге асырмайды.
14.2. Жас талаптарын бұза отырып жиналған деректер анықталған кезде мұндай деректер жойылады.
15. Cookie және ұқсас технологиялар
15.1. Мобильді қосымшада cookie орнына аутентификация, баптауларды сақтау және аналитика үшін қажетті құрылғы идентификаторлары, токендер және жергілікті қоймалар пайдаланылады.
15.2. Оператордың веб-ресурстарында cookie қолданылуы мүмкін; оларды басқару браузер баптауларында қолжетімді.
16. Саясатты өзгерту
16.1. Оператор осы Саясатты өзгертуге құқылы. Өзекті редакциясы күшіне ену күні көрсетіле отырып, Сервисте орналастырылады. Елеулі өзгерістер болған кезде Оператор Пайдаланушыларды қолжетімді тәсілдермен хабардар етеді.
16.2. Саясат қазақ және орыс тілдерінде жарияланады. Тілдік нұсқалар арасында алшақтықтар болған жағдайда орыс тіліндегі нұсқа басым болады.
17. Байланыс деректері және уәкілетті орган
17.1. Дербес деректерді өңдеу мәселелері бойынша: «Плюра» ЖШС, Қазақстан Республикасы, 050000, Алматы қаласы, Алмалы ауданы, Жамбыл көшесі, 155-үй, 67-пәтер, эл. пошта: support@toptar.kz.
17.2. Субъект дербес деректерді қорғау саласындағы уәкілетті органға — Қазақстан Республикасы Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрлігінің Ақпараттық қауіпсіздік комитетіне жүгінуге құқылы.