Политика в отношении обработки персональных данных

Действует с 26 июля 2026 года

Настоящая Политика составлена в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» и описывает, как обрабатываются персональные данные в системе oqCRM — веб-версии на поддоменах oqcrm.kz и мобильном приложении Keste для Android и iOS.

1. Термины и стороны

В настоящей Политике используются следующие термины:

• Правообладатель — Рамильев Ислам Рамильевич, физическое лицо, гражданин Республики Казахстан, владелец программного обеспечения oqCRM, самостоятельно определяющий состав и порядок обработки персональных данных в Системе (далее — «Правообладатель», «мы»). Реквизиты — в разделе 10.
• Система (oqCRM) — программное обеспечение для учёта в образовательных центрах, включающее веб-версию на поддоменах домена oqcrm.kz и Приложение.
• Приложение (Keste) — мобильное приложение «Keste» системы oqCRM для операционных систем Android и iOS.
• Школа — юридическое лицо, индивидуальный предприниматель или иное лицо, осуществляющее образовательную деятельность и использующее Систему на основании договора с Правообладателем.
• Пользователь — лицо, использующее Систему: сотрудник Школы, ученик либо его родитель (законный представитель).
• Субъект — физическое лицо, к которому относятся персональные данные.
• Персональные данные — сведения, относящиеся к определённому или определяемому на их основании Субъекту, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
• Обработка — действия с персональными данными: сбор, запись, хранение, изменение, использование, передача, обезличивание, блокирование и уничтожение.
• Трансграничная передача — передача персональных данных на территорию иностранного государства.

2. Общие положения и разграничение ответственности

2.1. Правообладатель ставит условием своей деятельности соблюдение прав и свобод человека и гражданина при обработке персональных данных, включая право на неприкосновенность частной жизни, личную и семейную тайну.

2.2. Настоящая Политика применяется ко всем персональным данным, которые Правообладатель получает при предоставлении доступа к Системе и Приложению.

2.3. Роли сторон разграничены следующим образом:

• Школа определяет, персональные данные каких лиц вносить в Систему и с какой целью, обеспечивает получение согласия Субъектов (в том числе согласия родителей несовершеннолетних учеников) и отвечает за законность сбора данных;
• Правообладатель предоставляет Школе программное обеспечение и хранение данных, обрабатывает персональные данные учеников по поручению Школы и в пределах, необходимых для работы Системы. Правообладатель не определяет цели обработки данных учеников, не собирает их самостоятельно и не использует в собственных целях.

2.4. Учётные записи в Приложении создаёт Школа и передаёт логин ученику или родителю. Самостоятельная регистрация в Приложении не предусмотрена.

2.5. Использование Приложения и Системы означает согласие Пользователя с настоящей Политикой. При несогласии Пользователю следует прекратить использование Приложения и обратиться в свою Школу.

2.6. Представитель Школы может оставить заявку или создать Школу для пробного периода самостоятельно на сайте oqcrm.kz. Данные, которые он при этом сообщает о себе, Правообладатель обрабатывает как самостоятельный оператор — состав и сроки в пункте 3.3. Данные учеников и сотрудников, которые Школа затем вносит в Систему, обрабатываются по поручению Школы на условиях пункта 2.3.

3. Какие данные обрабатываются

3.1. Данные, которые вносит школа

3.2. Данные, возникающие при работе приложения

• токены сессии — хранятся в защищённом хранилище устройства (Keychain на iOS, Keystore на Android);
• идентификатор установки — случайная строка, создаваемая на устройстве; нужна, чтобы различать сессии и устройства. Не является рекламным идентификатором и не связана с аппаратными характеристиками телефона;
• токен push-уведомлений, платформа (iOS/Android) и версия приложения — только если пользователь разрешил уведомления;
• код и название школы, выбранный ребёнок — сохраняются на устройстве, чтобы не вводить их при каждом входе;
• технические журналы сервера — адрес запроса, код ответа, время, номер обращения; хранятся 7 суток и используются только для поиска ошибок.

3.3. Данные заявителя на сайте oqcrm.kz

Когда представитель школы оставляет заявку или создаёт школу для пробного периода на сайте oqcrm.kz, Правообладатель обрабатывает следующие данные самостоятельно (пункт 2.6):

Данные используются только для того, чтобы связаться с заявителем, создать для него систему и помочь с настройкой. Рекламные рассылки по ним не ведутся, третьим лицам они не передаются. Срок хранения — 24 месяца с даты обращения либо до отзыва согласия, после чего запись удаляется автоматически.

3.4. Что не собирается

Приложение не запрашивает и не передаёт: геолокацию, камеру, микрофон, контакты, фотографии, список установленных приложений, рекламные идентификаторы. Сторонние рекламные и аналитические SDK не подключены. Файлы cookie для отслеживания не используются.

4. Цели обработки

• показать ученику и родителю расписание, домашние задания и остаток занятий;
• показать педагогу его занятия и количество проведённых уроков;
• напомнить о занятии и сообщить о переносе или отмене (push-уведомления);
• обеспечить вход в систему и безопасность сессии;
• установить причину технической ошибки по номеру обращения;
• связаться с представителем школы по его заявке, создать для него систему и помочь с настройкой.

Персональные данные не используются для профилирования, рекламы и автоматического принятия решений, влекущих юридические последствия.

5. Правовые основания

• согласие субъекта либо его законного представителя — для несовершеннолетних учеников согласие даёт родитель (законный представитель) при заключении договора со школой; для заявителя на сайте — отметка о согласии в форме заявки;
• исполнение договора, стороной которого является субъект (договор об оказании образовательных услуг между школой и учеником);
• иные основания, предусмотренные Законом № 94-V.

Согласие может быть отозвано в любой момент — см. раздел 9.

6. Хранение и защита

Данные размещены на сервере в Астане (Республика Казахстан), что соответствует требованию пункта 2 статьи 17 Закона № 94-V о хранении персональных данных граждан Республики Казахстан на территории страны.

• у каждой школы отдельная база данных — школы не имеют доступа к данным друг друга;
• соединение защищено HTTPS;
• пароли пользователей хранятся в виде необратимых хеш-значений: восстановить их нельзя, в том числе Правообладателю. Единственное исключение — временный пароль владельца школы, который создаётся при заводке школы: до его смены он хранится у Правообладателя в открытом виде, иначе передать его владельцу было бы нечем. Поэтому при первом входе система предлагает сменить пароль — после смены сохранённое значение силы не имеет;
• резервные копии шифруются.

Сроки хранения:

Уничтожение данных по требованию субъекта происходит в рабочей базе сразу, а из резервных копий данные исчезают по мере их плановой смены — в срок до 12 месяцев. Всё это время копии остаются зашифрованными и используются исключительно для восстановления системы после сбоя.

7. Передача третьим лицам

Персональные данные не продаются и не передаются третьим лицам, за исключением технически необходимого:

• служба доставки push-уведомлений — Expo Push Service, далее Apple Push Notification service (iOS) или Firebase Cloud Messaging (Android). Передаются токен устройства и текст уведомления. Уведомления содержат минимум сведений: время занятия, название направления, факт изменения расписания;
• сервисы связи, через которые к нам обращаются — электронная почта (Gmail) и мессенджер WhatsApp. Через них проходит только то, что человек сообщает нам в обращении сам; выгрузки из баз данных школ в эти сервисы не передаются;
• служба доставки писем — сервис, через который Система отправляет служебные письма (ссылка для входа, восстановление пароля, уведомления об оплате). Ему передаются адрес получателя и текст письма. Пароли в письмах не пересылаются: вместо них отправляется одноразовая ссылка, действующая сутки;
• по требованию законодательства Республики Казахстан.

8. Трансграничная передача

За пределы Республики Казахстан передаётся ограниченный набор данных, и только в двух случаях.

1. Push-уведомления. Серверы служб доставки (раздел 7) расположены за рубежом; при включённых уведомлениях им передаются токен устройства и текст уведомления. Основание — согласие субъекта, которое выражается разрешением на уведомления в самом приложении. Если уведомления отключены в настройках телефона или в профиле приложения, эта передача не производится, и приложение продолжает работать полностью.

2. Письма и обращения. Почтовый ящик из раздела 10 обслуживается сервисом Google, связь с представителями школ ведётся в том числе через WhatsApp, а служебные письма Системы уходят через стороннюю службу доставки — серверы этих сервисов находятся за пределами Казахстана. Туда попадает только то, что человек написал нам сам: его имя, номер телефона и содержание обращения. Основание — согласие, выражающееся в выборе канала связи; если такая передача нежелательна, об этом достаточно сообщить нам, и переписка будет продолжена иным способом.

Содержимое баз данных Системы — ФИО и телефоны учеников, расписание, посещаемость, сведения об оплатах — за пределы Казахстана не передаётся ни в каком виде.

9. Права субъекта и удаление данных

Субъект вправе:

• получить сведения о том, какие его данные обрабатываются;
• потребовать изменения и дополнения данных при их неполноте или неточности;
• потребовать блокирования или уничтожения данных, если они обрабатываются с нарушением закона;
• отозвать согласие на обработку.

Поскольку аккаунт заводит школа, обращаться следует так:

1. Быстрее всего — в свою школу. Она может исправить данные и закрыть доступ в приложение сразу.
2. Либо напрямую к нам по контактам из раздела 10. Мы согласуем удаление со школой и уничтожим данные на сервере, если оснований для их хранения больше нет.

В мобильном приложении путь к запросу: Профиль → Аккаунт и данные → Удалить аккаунт. Отправить запрос можно и без приложения — на странице Удаление аккаунта.

Если вы оставляли заявку на сайте oqcrm.kz и хотите, чтобы мы её удалили и больше не связывались с вами, — достаточно написать нам по контактам из раздела 10; согласие отзывается без объяснения причин.

Срок ответа на обращение — не более 30 календарных дней. Выход из аккаунта удаляет сохранённые на устройстве токены; удаление приложения стирает все локальные данные.

10. Реквизиты Правообладателя и контакты

Правообладатель: Рамильев Ислам Рамильевич, физическое лицо, гражданин Республики Казахстан.

Обращения по вопросам обработки персональных данных, включая запросы на предоставление сведений, изменение, блокирование, уничтожение данных и отзыв согласия:

• Электронная почта: oqucrm@gmail.com

Обращение рассматривается в срок не более 30 календарных дней с даты получения.

11. Изменения политики

При изменении Политики документ на этой странице обновляется, дата в начале правится. О существенных изменениях дополнительно сообщается школам. Актуальная версия всегда доступна по адресу https://oqcrm.kz/privacy.