Tolyq
Политика конфиденциальности и обработки персональных данных
1. Оператор
Оператором (собственником базы, содержащей персональные данные) является ИП «Дубровин», ИИН 940720399029, Республика Казахстан, 050009, г. Алматы, ул. Туркебаева, 196; info@tolyq.kz; +7 700 211 09 91 (далее — Оператор). Обращения субъектов персональных данных принимаются по указанному адресу электронной почты.
2. Какие данные обрабатываются и зачем
| Категория | Данные | Цель | Основание | Срок хранения |
|---|---|---|---|---|
| Владелец Организации (регистрация) | ФИО, телефон, адрес электронной почты, БИН Организации, пароль (только в виде необратимого хэша) | создание учётной записи, вход, восстановление доступа, уведомления по услуге | договор (оферта), согласие при регистрации | весь срок действия Организации + 30 дней после прекращения |
| Заявка на регистрацию до подтверждения адреса | те же данные | подтверждение адреса электронной почты | согласие при подаче заявки | не более 48 часов (уничтожается автоматически) |
| Сотрудники Организации | ФИО, телефон, адрес электронной почты, роль, ПИН/пароль (хэш) | доступ сотрудников к кабинету и кассе по решению Организации | договор с Организацией; согласие сотрудника обеспечивает Организация | срок работы сотрудника в Организации; архив — по решению Организации, до удаления Организации |
| Технические данные посетителей сайта и кабинета | IP-адрес, данные браузера, журналы доступа | безопасность, защита от автоматизированных запросов, диагностика | согласие субъекта, выраженное использованием сайта/Сервиса; обработка без согласия — в случаях ст. 9 Закона № 94-V | журналы — не более 90 дней |
| Платёжные данные | реквизиты банковской карты Оператору не передаются — обрабатываются банком-эквайером (АО «Народный Банк Казахстана»); Оператор хранит только идентификатор платежа, сумму, дату и маску карты | оплата и возврат | договор | 5 лет (требования бухгалтерского учёта и договора эквайринга) |
Оператор не обрабатывает биометрические и иные особые категории персональных данных.
3. Обработчики и третьи лица
Оператор поручает обработку отдельных данных следующим лицам:
- Хостинг-провайдер — сервер Оператора в дата-центре на территории Республики Казахстан (hoster.kz). Все данные Организаций хранятся на этом сервере.
- Microsoft Ireland Operations Ltd. (Microsoft 365) — отправка служебных писем (подтверждение адреса, восстановление пароля, уведомления): обрабатываются адрес получателя и содержимое письма. Серверы Microsoft для организаций, зарегистрированных в Республике Казахстан, размещаются в центрах обработки данных Европейского союза (по документации Microsoft о расположении данных клиентов).
- Cloudflare, Inc. (США) — проверка «я не робот» (Turnstile) на формах регистрации и восстановления пароля кабинета: Оператор передаёт IP-адрес посетителя (для IPv6 — только префикс сети), браузер посетителя взаимодействует с сервисом Cloudflare напрямую.
- АО «Народный Банк Казахстана» — приём платежей: данные карты вводятся на странице банка; Оператор получает результат платежа.
Трансграничная передача (ст. 16 Закона № 94-V). Передача данных Microsoft (ЕС) и Cloudflare (США) является трансграничной. Оператор осуществляет её при наличии согласия субъекта, которое выражается при регистрации отдельной отметкой, и на основании договоров с этими лицами, предусматривающих защиту данных.
4. Права субъекта персональных данных (ст. 24 Закона № 94-V)
Субъект вправе: знать о наличии у Оператора своих данных и получать их; требовать изменения, дополнения, уничтожения и блокирования данных; отозвать согласие на обработку; обжаловать действия Оператора. Запросы направляются на info@tolyq.kz с адреса, указанного при регистрации; срок ответа на обращение — 15 рабочих дней. По документально подтверждённому требованию субъекта изменение, дополнение, уничтожение или блокирование его данных выполняется в течение 1 (одного) рабочего дня (ст. 25 Закона № 94-V). Владелец Организации вправе самостоятельно изменять и удалять данные сотрудников в кабинете.
Отзыв согласия на обработку данных, необходимых для оказания услуги, влечёт прекращение доступа к Сервису.
Обжалование действий Оператора возможно в уполномоченный орган по защите персональных данных — Комитет по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан — и в суд.
5. Меры защиты (ст. 20–22 Закона № 94-V)
Данные передаются только по защищённым каналам (TLS); пароли хранятся в виде необратимого хэша; данные каждой Организации изолированы на уровне базы данных (политики доступа строк); доступ сотрудников Оператора к данным ограничен и протоколируется; резервные копии создаются ежедневно и шифруются; ключ расшифровки хранится отдельно от сервера. Служебные письма не содержат паролей; ссылки восстановления одноразовые и действуют 30 минут.
При нарушении безопасности персональных данных Оператор уведомляет уполномоченный орган в течение 1 (одного) рабочего дня с момента обнаружения (ст. 25 Закона № 94-V; Правила уведомления субъектов персональных данных о нарушении безопасности персональных данных, приказ № 481/НҚ от 09.08.2024 в редакции от 30.04.2026); субъекты уведомляются в порядке, установленном этими Правилами, через инфраструктуру «цифрового правительства»; дополнительно Оператор уведомляет владельцев Организаций по электронной почте.
6. Cookies и локальное хранилище
Сайт tolyq.kz не использует cookies для отслеживания и рекламные трекеры.
Кабинет app.tolyq.kz использует хранилище сеанса браузера (sessionStorage)
для токена сеанса пользователя — он не сохраняется между посещениями и удаляется при
закрытии вкладки; без него работа кабинета невозможна. На страницах регистрации и
восстановления пароля встроен виджет Cloudflare Turnstile, который может устанавливать
собственные cookies третьей стороны (Cloudflare) — их назначение и срок действия
определяет Cloudflare, а не Оператор.
7. Дети
Сервис предназначен для субъектов предпринимательства; Оператор не собирает данные лиц младше 18 лет.
8. Изменения
Оператор публикует новую редакцию Политики на tolyq.kz/privacy не менее чем за 30 календарных дней до вступления в силу и уведомляет владельцев Организаций по электронной почте.