1. Общие положения
1.1. Настоящая Политика сбора, обработки и защиты персональных данных (далее — «Политика») определяет условия и порядок сбора, накопления, хранения, использования, передачи и уничтожения персональных данных ТОО «Volmax Group» (далее — «Компания» или «Оператор») в отношении пользователей сервиса GeoStatus, включая веб-сайт https://geostatus.net и мобильные приложения GeoStatus для Android и iOS (далее совместно — «Сервис»).
1.2. Настоящая Политика разработана в строгом соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон»), Законом РК «Об информатизации» и иными нормативными правовыми актами Республики Казахстан в сфере информационной безопасности.
1.3. Действие настоящей Политики распространяется на всю информацию, относящуюся к определенному или определяемому на ее основании физическому лицу (субъекту персональных данных), которую Компания может получить во время использования им Сервиса.
2. Локализация баз данных на территории Республики Казахстан
2.1. В строгом соответствии с пунктом 2 статьи 12 Закона Компания осуществляет сбор, накопление и первичное хранение персональных данных Пользователей в электронных базах данных, серверное оборудование которых физически расположено на территории Республики Казахстан.
3. Разграничение статусов: Собственник и Оператор (B2B-модель)
3.1. Компания выступает Собственником и Оператором в отношении персональных данных физических лиц, самостоятельно регистрирующихся на Сайте, оформляющих заявки на консультацию или направляющих обращения через онлайн-формы Сервиса.
3.2. В случаях корпоративного использования Сервиса юридическими лицами или индивидуальными предпринимателями (далее — «Клиенты») для учета рабочего времени и мониторинга выездного персонала:
- Клиент (работодатель) выступает Собственником базы персональных данных своих работников и несет полную ответственность за законность сбора данных, определение состава самостоятельно настраиваемых дополнительных полей в электронных формах, а также за получение предварительного законного согласия работников на передачу их данных, геолокации и фотоотчетов в Сервис согласно трудовому законодательству и ст. 8 Закона;
- Компания выступает Оператором, осуществляющим обработку персональных данных работников исключительно по поручению Клиента в целях предоставления функционала Сервиса.
4. Состав обрабатываемых персональных данных
4.1. В рамках использования Сервиса осуществляется обработка следующих категорий данных:
- Идентификационные и контактные данные: фамилия, имя, отчество (при наличии), номер контактного телефона, адрес электронной почты, наименование организации-работодателя, должность;
- Данные геолокации и телематики: точные географические координаты мобильного устройства (GPS/ГЛОНАСС/LBS), история перемещений, скорость движения, отметки посещения геозон и объектов, фиксация фактов использования фиктивных координат (Fake GPS). Данные геолокации собираются исключительно во время активной рабочей смены сотрудника в Мобильном приложении;
- Технические и сессионные метаданные: сетевой IP-адрес, тип и модель устройства, операционная система, версия приложения, дата и время сессий, файлы cookie и данные веб-аналитики;
- Рабочий контент и отчеты: фото- и видеоотчеты («До/После»), текстовые комментарии, электронные акты выполненных работ, формируемые сотрудниками в ходе выездных заданий;
- Пользовательские и настраиваемые поля в электронных формах: Клиент имеет возможность самостоятельно настраивать и добавлять дополнительные поля в электронных формах, анкетах, чек-листах и рабочих заданиях Сервиса. Состав, объем и категории данных, собираемых через такие настраиваемые формы, определяются Клиентом самостоятельно под его полную ответственность как Собственника базы данных.
5. Цели сбора и обработки персональных данных
5.1. Обработка персональных данных осуществляется исключительно в конкретных, заранее определенных целях:
- Регистрация и аутентификация учетных записей Пользователей и Клиентов в Сервисе;
- Предоставление основного функционала Сервиса: координация выездных бригад, автоматизированный учет рабочего времени, диспетчеризация заявок и мониторинг спецтехники;
- Исполнение договоров оказания услуг и лицензионных соглашений между Компанией и Клиентами;
- Информирование Пользователей о статусах заданий, системных обновлениях и критических событиях безопасности (через SMS, email и push-уведомления);
- Обеспечение информационной безопасности Сервиса, выявление антифрод-инцидентов и предотвращение несанкционированного доступа;
- Выполнение обязанностей, возложенных на Компанию законодательством Республики Казахстан.
6.1. В соответствии со статьей 8 Закона сбор и обработка персональных данных производятся с предварительного согласия субъекта персональных данных.
6.2. На основании подпункта 4 пункта 1 статьи 8 Закона согласие субъекта признается надлежаще оформленным в электронной форме с применением защитных действий:
- путем проставления электронной отметки (чекбокса) в веб-формах на Сайте при регистрации или отправке данных;
- путем предоставления системных разрешений операционной системы мобильного устройства при установке и запуске Мобильного приложения (включая доступ к фоновой геолокации и камере).
7. Передача данных третьим лицам и трансграничная передача
7.1. Компания не продает и не передает персональные данные третьим лицам в коммерческих целях.
7.2. Передача данных допускается строго в следующих случаях:
- Привлечение уполномоченных партнеров (субоператоров): хостинг-провайдеров дата-центров на территории РК, операторов SMS-шлюзов для отправки сервисных кодов, при условии принятия ими юридических обязательств по защите и конфиденциальности данных;
- Предоставление данных по мотивированным законным запросам судов, правоохранительных и уполномоченных органов РК в установленном законодательством порядке;
- Техническая отправка push-уведомлений через сервисные платформы операционных систем (Google Firebase Cloud Messaging, Apple APNs), признаваемая трансграничной передачей технических идентификаторов устройств на защищенные узлы связи, на что Пользователь выражает свое согласие.
8. Сроки хранения, регламент удаления (Data Retention) и уничтожение
8.1. Срок хранения персональных данных определяется датой достижения целей их сбора и обработки, если иные сроки не предусмотрены законодательством РК или договором.
8.2. В соответствии с регламентом Сервиса установлены следующие сроки:
- Оперативные телематические данные (история GPS-треков, сырые координаты, фото- и видеоотчеты смен) сохраняются в течение оплаченного периода подписки, а также в течение 1 (одного) календарного месяца после прекращения обслуживания для возможности экспорта данных Клиентом, после чего безвозвратно удаляются с серверов;
- Данные учетных записей и финансовые документы хранятся в течение сроков, установленных налоговым и архивным законодательством Республики Казахстан (до 5 лет).
8.3. При получении законного отзыва согласия персональные данные подлежат обязательному уничтожению в срок, не превышающий 10 (десяти) рабочих дней в соответствии с подпунктом 5 пункта 1 статьи 24 Закона.
9. Права Пользователя как субъекта персональных данных
9.1. В соответствии со статьей 24 Закона Пользователь имеет право:
- Знать о наличии у Компании своих персональных данных и получать информацию об условиях их обработки;
- Требовать от Компании уточнения, изменения или дополнения своих персональных данных при наличии подтверждающих оснований;
- Требовать блокирования или уничтожения данных в случае выявления их незаконного сбора или утраты необходимости в дальнейшей обработке;
- Отозвать согласие на сбор и обработку данных путем направления письменного запроса на электронную почту: info@geostatus.net;
- Защищать свои законные права и интересы в уполномоченном органе по защите персональных данных (МЦРИАП РК) или в суде.
10. Обеспечение безопасности и порядок уведомления об утечках
10.1. Компания принимает комплекс необходимых правовых, организационных и инженерно-технических мер для защиты персональной информации в соответствии со статьей 22 Закона и Едиными требованиями в области ИКТ и обеспечения информационной безопасности РК.
10.2. В случае возникновения инцидента безопасности, приведшего к несанкционированному доступу или утечке персональных данных, Компания обязуется уведомить уполномоченный орган (МЦРИАП РК) и затронутых субъектов в течение 1 (одного) рабочего дня со дня обнаружения инцидента в соответствии со статьей 22-1 Закона.
11. Изменение Политики и применимое право
11.1. Компания вправе в одностороннем порядке вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента ее публикации на Сайте с указанием даты актуализации.
11.2. К настоящей Политике и всем отношениям между Пользователем и Компанией применяется материальное и процессуальное право Республики Казахстан.
12. Контакты и реквизиты Оператора