Политика в отношении обработки персональных данных

Действует с 26 июля 2026 года

Настоящая Политика составлена в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» и описывает, как обрабатываются персональные данные в системе oqCRM — веб-версии на поддоменах oqcrm.kz и мобильном приложении Keste для Android и iOS.

1. Термины и стороны

В настоящей Политике используются следующие термины:

• Правообладатель — ИП Do Major (ИИН 040924501369), владелец программного обеспечения oqCRM, самостоятельно определяющий состав и порядок обработки персональных данных в Системе (далее — «Правообладатель», «мы»). Реквизиты — в разделе 10.
• Система (oqCRM) — программное обеспечение для учёта в образовательных центрах, включающее веб-версию на поддоменах домена oqcrm.kz и Приложение.
• Приложение (Keste) — мобильное приложение «Keste» системы oqCRM для операционных систем Android и iOS.
• Школа — юридическое лицо, индивидуальный предприниматель или иное лицо, осуществляющее образовательную деятельность и использующее Систему на основании договора с Правообладателем.
• Пользователь — лицо, использующее Систему: сотрудник Школы, ученик либо его родитель (законный представитель).
• Субъект — физическое лицо, к которому относятся персональные данные.
• Персональные данные — сведения, относящиеся к определённому или определяемому на их основании Субъекту, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
• Обработка — действия с персональными данными: сбор, запись, хранение, изменение, использование, передача, обезличивание, блокирование и уничтожение.
• Трансграничная передача — передача персональных данных на территорию иностранного государства.

2. Общие положения и разграничение ответственности

2.1. Правообладатель ставит условием своей деятельности соблюдение прав и свобод человека и гражданина при обработке персональных данных, включая право на неприкосновенность частной жизни, личную и семейную тайну.

2.2. Настоящая Политика применяется ко всем персональным данным, которые Правообладатель получает при предоставлении доступа к Системе и Приложению.

2.3. Роли сторон разграничены следующим образом:

• Школа определяет, персональные данные каких лиц вносить в Систему и с какой целью, обеспечивает получение согласия Субъектов (в том числе согласия родителей несовершеннолетних учеников) и отвечает за законность сбора данных;
• Правообладатель предоставляет Школе программное обеспечение и хранение данных, обрабатывает персональные данные учеников по поручению Школы и в пределах, необходимых для работы Системы. Правообладатель не определяет цели обработки данных учеников, не собирает их самостоятельно и не использует в собственных целях.

2.4. Учётные записи в Приложении создаёт Школа и передаёт логин ученику или родителю. Самостоятельная регистрация в Приложении не предусмотрена.

2.5. Использование Приложения и Системы означает согласие Пользователя с настоящей Политикой. При несогласии Пользователю следует прекратить использование Приложения и обратиться в свою Школу.

2.6. Представитель Школы может оставить заявку или создать Школу для пробного периода самостоятельно на сайте oqcrm.kz. Данные, которые он при этом сообщает о себе, Правообладатель обрабатывает как самостоятельный оператор — состав и сроки в пункте 3.3. Данные учеников и сотрудников, которые Школа затем вносит в Систему, обрабатываются по поручению Школы на условиях пункта 2.3.

3. Какие данные обрабатываются

3.1. Данные, которые вносит школа

3.2. Данные, возникающие при работе приложения

• токены сессии — хранятся в защищённом хранилище устройства (Keychain на iOS, Keystore на Android);
• идентификатор установки — случайная строка, создаваемая на устройстве; нужна, чтобы различать сессии и устройства. Не является рекламным идентификатором и не связана с аппаратными характеристиками телефона;
• токен push-уведомлений, платформа (iOS/Android) и версия приложения — только если пользователь разрешил уведомления;
• код и название школы, выбранный ребёнок — сохраняются на устройстве, чтобы не вводить их при каждом входе;
• технические журналы сервера — адрес запроса, код ответа, время, номер обращения; хранятся 7 суток и используются только для поиска ошибок.

3.3. Данные заявителя на сайте oqcrm.kz

Когда представитель школы оставляет заявку или создаёт школу для пробного периода на сайте oqcrm.kz, Правообладатель обрабатывает следующие данные самостоятельно (пункт 2.6):

Данные используются только для того, чтобы связаться с заявителем, создать для него систему и помочь с настройкой. Рекламные рассылки по ним не ведутся, третьим лицам они не передаются. Срок хранения — 24 месяца с даты обращения либо до отзыва согласия, после чего запись удаляется автоматически.

Статистика посещений нужна, чтобы понимать, откуда приходят школы и на каком шаге формы её бросают. Она ведётся на сервере Правообладателя без файлов cookie и сторонних сервисов аналитики; если заявка отправлена, к ней привязывается источник перехода. Срок хранения статистики — 13 месяцев.

3.4. Что не собирается

Приложение не запрашивает и не передаёт: геолокацию, контакты, список установленных приложений, рекламные идентификаторы. Сторонние рекламные и аналитические SDK не подключены. Файлы cookie для отслеживания не используются.

Камеру, микрофон и галерею Приложение запрашивает только у педагога и только в момент, когда он снимает или выбирает видео для отчёта об ученике (пункт 3.1). На сервер передаётся один выбранный педагогом ролик; остальные фото и видео на устройстве Приложение не читает. Ученику и родителю эти разрешения не требуются.

4. Цели обработки

• показать ученику и родителю расписание, домашние задания и остаток занятий;
• показать педагогу его занятия и количество проведённых уроков;
• передать родителю отчёт педагога о занятиях ученика;
• напомнить о занятии и сообщить о переносе или отмене (push-уведомления);
• обеспечить вход в систему и безопасность сессии;
• установить причину технической ошибки по номеру обращения;
• связаться с представителем школы по его заявке, создать для него систему и помочь с настройкой.

Персональные данные не используются для профилирования, рекламы и автоматического принятия решений, влекущих юридические последствия.

5. Правовые основания

• согласие субъекта либо его законного представителя — для несовершеннолетних учеников согласие даёт родитель (законный представитель) при заключении договора со школой; для заявителя на сайте — отметка о согласии в форме заявки;
• исполнение договора, стороной которого является субъект (договор об оказании образовательных услуг между школой и учеником);
• иные основания, предусмотренные Законом № 94-V.

Согласие может быть отозвано в любой момент — см. раздел 9.

6. Хранение и защита

Данные размещены на сервере в Астане (Республика Казахстан), что соответствует требованию пункта 2 статьи 17 Закона № 94-V о хранении персональных данных граждан Республики Казахстан на территории страны.

• у каждой школы отдельная база данных — школы не имеют доступа к данным друг друга;
• соединение защищено HTTPS;
• пароли пользователей хранятся в виде необратимых хеш-значений: восстановить их нельзя, в том числе Правообладателю. Единственное исключение — временный пароль владельца школы, который создаётся при заводке школы: до его смены он хранится у Правообладателя в открытом виде, иначе передать его владельцу было бы нечем. Поэтому при первом входе система предлагает сменить пароль — после смены сохранённое значение силы не имеет;
• резервные копии шифруются.

Сроки хранения:

Уничтожение данных по требованию субъекта происходит в рабочей базе сразу, а из резервных копий данные исчезают по мере их плановой смены — в срок до 12 месяцев. Всё это время копии остаются зашифрованными и используются исключительно для восстановления системы после сбоя.

7. Передача третьим лицам

Персональные данные не продаются и не передаются третьим лицам, за исключением технически необходимого:

• служба доставки push-уведомлений — Expo Push Service, далее Apple Push Notification service (iOS) или Firebase Cloud Messaging (Android). Передаются токен устройства и текст уведомления. Уведомления содержат минимум сведений: время занятия, название направления, факт изменения расписания;
• сервисы связи, через которые к нам обращаются — электронная почта (Gmail) и мессенджер WhatsApp. Через них проходит только то, что человек сообщает нам в обращении сам; выгрузки из баз данных школ в эти сервисы не передаются;
• служба доставки писем — сервис, через который Система отправляет служебные письма (ссылка для входа, восстановление пароля, уведомления об оплате). Ему передаются адрес получателя и текст письма. Пароли в письмах не пересылаются: вместо них отправляется одноразовая ссылка, действующая сутки;
• по требованию законодательства Республики Казахстан.

8. Трансграничная передача

За пределы Республики Казахстан передаётся ограниченный набор данных, и только в двух случаях.

1. Push-уведомления. Серверы служб доставки (раздел 7) расположены за рубежом; при включённых уведомлениях им передаются токен устройства и текст уведомления. Основание — согласие субъекта, которое выражается разрешением на уведомления в самом приложении. Если уведомления отключены в настройках телефона или в профиле приложения, эта передача не производится, и приложение продолжает работать полностью.

2. Письма и обращения. Почтовый ящик из раздела 10 обслуживается сервисом Google, связь с представителями школ ведётся в том числе через WhatsApp, а служебные письма Системы уходят через стороннюю службу доставки — серверы этих сервисов находятся за пределами Казахстана. Туда попадает только то, что человек написал нам сам: его имя, номер телефона и содержание обращения. Основание — согласие, выражающееся в выборе канала связи; если такая передача нежелательна, об этом достаточно сообщить нам, и переписка будет продолжена иным способом.

Содержимое баз данных Системы — ФИО и телефоны учеников, расписание, посещаемость, сведения об оплатах — за пределы Казахстана не передаётся ни в каком виде.

9. Права субъекта и удаление данных

Субъект вправе:

• получить сведения о том, какие его данные обрабатываются;
• потребовать изменения и дополнения данных при их неполноте или неточности;
• потребовать блокирования или уничтожения данных, если они обрабатываются с нарушением закона;
• отозвать согласие на обработку.

Поскольку аккаунт заводит школа, обращаться следует так:

1. Быстрее всего — в свою школу. Она может исправить данные и закрыть доступ в приложение сразу.
2. Либо напрямую к нам по контактам из раздела 10. Мы согласуем удаление со школой и уничтожим данные на сервере, если оснований для их хранения больше нет.

В мобильном приложении путь к запросу: Профиль → Аккаунт и данные → Удалить аккаунт. Отправить запрос можно и без приложения — на странице Удаление аккаунта.

Если вы оставляли заявку на сайте oqcrm.kz и хотите, чтобы мы её удалили и больше не связывались с вами, — достаточно написать нам по контактам из раздела 10; согласие отзывается без объяснения причин.

Срок ответа на обращение — не более 30 календарных дней. Выход из аккаунта удаляет сохранённые на устройстве токены; удаление приложения стирает все локальные данные.

10. Реквизиты Правообладателя и контакты

Правообладатель: ИП Do Major

• ИИН: 040924501369
• Юридический адрес: г. Астана, район Сарыарка

Обращения по вопросам обработки персональных данных, включая запросы на предоставление сведений, изменение, блокирование, уничтожение данных и отзыв согласия:

• Электронная почта: oqucrm@gmail.com

Обращение рассматривается в срок не более 30 календарных дней с даты получения.

11. Изменения политики

При изменении Политики документ на этой странице обновляется, дата в начале правится. О существенных изменениях дополнительно сообщается школам. Актуальная версия всегда доступна по адресу https://oqcrm.kz/privacy.