ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ и обработки персональных данных
ТОО «TS Property Management»
____________________________________
ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ
Собственник и Оператор базы и цифрового объекта, содержащих персональные данные: ТОО «TS Property Management», Республика Казахстан, г. Алматы, Медеуский район, мкр. Самал-2, д.111, БИН: 200640013557
Дата вступления в силу: 05.08.2026
Настоящая Политика конфиденциальности и обработки персональных данных разработана в соответствии с Конституцией Республики Казахстан, Цифровым кодексом Республики Казахстан, Законом Республики Казахстан «О персональных данных и их защите», Законом Республики Казахстан «О кибербезопасности», Правилами сбора, обработки персональных данных, утвержденными приказом Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 21 октября 2020 года № 395/НҚ, иными применимыми нормативными правовыми актами Республики Казахстан.
При разработке Политики также учтены применимые требования платформ распространения мобильных приложений, включая App Store и Google Play. Такие требования применяются в части, не противоречащей законодательству Республики Казахстан.
Настоящая Политика информирует Пользователя о целях, условиях и порядке сбора, обработки и защиты персональных данных. Политика определяет порядок получения, хранения, использования, передачи, защиты и удаления информации, включая персональные данные, получаемые Собственником при использовании Пользователем мобильного приложения Smart Plaza («Smart Plaza 2.0»), официального сайта и связанных цифровых сервисов ( tspm.kz , dostykplaza.kz , shymkentplaza.kz ).
Smart Plaza является цифровой системой и, в части функционала, обеспечивающего взаимодействие Пользователей с Партнерами и доступ к их товарам, работам, услугам и предложениям, может функционировать как цифровая платформа в соответствии с Цифровым кодексом Республики Казахстан.
Условия использования цифровой платформы, права и обязанности Собственнику, Пользователей и Партнеров определяются Пользовательским соглашением.
Использование Приложения подтверждает ознакомление Пользователя с настоящей Политикой, но само по себе не является согласием на обработку персональных данных в случаях, когда такое согласие обязательно в соответствии с законодательством Республики Казахстан.
Согласие предоставляется Пользователем отдельно путем совершения активного подтверждающего действия, позволяющего Собственнику зафиксировать факт, дату, содержание и редакцию предоставленного согласия.
Пользователь вправе использовать функционал, не требующий обработки персональных данных, без предоставления согласия, если такой функционал предусмотрен Приложением.
Настоящая Политика размещается в свободном доступе в мобильном приложении Smart Plaza и (или) на официальном сайте Собственнику.
Собственник не осуществляет массовый или нецелевой сбор персональных данных из социальных сетей, интернет-ресурсов и иных общедоступных источников.
Если данные получены из общедоступного источника, Собственник документирует источник и законное основание их сбора и дальнейшей обработки.
1. ТЕРМИНОЛОГИЯ
В настоящей Политике используются следующие термины:
Собственник или Оператор — ТОО «TS Property Management», БИН 200640013557, являющееся собственником и оператором базы и цифрового объекта, содержащих персональные данные Пользователей, определяющее цели, содержание и способы сбора, обработки и защиты персональных данных. В отдельных случаях Собственник может поручать обработку персональных данных поставщикам услуг, действующим от имени и по поручению Собственнику. Партнеры, самостоятельно определяющие цели и способы обработки полученных ими данных, являются самостоятельными собственниками и (или) операторами и обязаны предоставлять Пользователю собственную информацию об обработке персональных данных.
Мобильное приложение Smart Plaza (Smart Plaza 2.0) — программное обеспечение, принадлежащее ТОО «TS Property Management», предоставляющее Пользователям доступ к программе лояльности, купонам, сертификатам, парковочному сервису, киносервису, службе поддержки, обратной связи, реферальной программе и иным цифровым сервисам.
Пользователь — физическое лицо, достигшее возраста, установленного законодательством Республики Казахстан, использующее Приложение после регистрации либо без регистрации в случаях, предусмотренных функционалом Приложения.
Партнер — юридическое лицо либо индивидуальный предприниматель, сотрудничающий с Собственником и предоставляющий Пользователям товары, услуги, скидки, бонусы, акции либо иные предложения.
Персональные данные — сведения или совокупность сведений о Пользователе, дополненные одним или несколькими идентификаторами персональных данных.
Обработка персональных данных — любые действия с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, изменение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.
Автоматизированная обработка — обработка персональных данных с использованием программных средств и вычислительной техники.
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства, иностранному физическому либо юридическому лицу.
Цифровой объект, содержащий персональные данные — цифровой объект, содержащий совокупность упорядоченных персональных данных.
Идентификатор персональных данных — информация, позволяющая идентифицировать Пользователя либо связать отдельные наборы данных о нем в совокупность сведений, позволяющих его идентифицировать.
Удаление персональных данных — действия, направленные на исключение персональных данных из цифрового объекта, в результате которых их восстановление становится невозможным.
Анонимизация персональных данных — необратимое преобразование идентификаторов персональных данных, в результате которого определение принадлежности данных Пользователю становится невозможным.
Обезличивание персональных данных — действия, в результате которых определение принадлежности персональных данных Пользователю невозможно без использования дополнительной информации.
Маскирование персональных данных — замена части реальных персональных данных недействительными и (или) обезличенными значениями в целях ограничения возможности идентификации Пользователя.
Хеширование цифровых данных — преобразование цифровых данных в строку фиксированной длины в целях их защиты.
Нарушение безопасности персональных данных — нарушение защиты персональных данных, повлекшее их незаконное распространение, изменение, уничтожение или удаление, несанкционированное распространение либо несанкционированный доступ к ним.
2. СОГЛАСИЕ ПОЛЬЗОВАТЕЛЯ И ПРАВОВЫЕ ОСНОВАНИЯ
2.1. Настоящая Политика информирует Пользователя об условиях обработки его персональных данных и сама по себе не заменяет согласие Пользователя в случаях, когда получение такого согласия обязательно в соответствии с законодательством Республики Казахстан.
2.2. Виды и порядок предоставления согласий
2.2.1. Для регистрации и предоставления основного функционала Приложения Пользователь предоставляет отдельное согласие на сбор и обработку персональных данных, объективно необходимых для создания и обслуживания учетной записи и предоставления выбранных Пользователем сервисов.
2.2.2. Отдельное добровольное согласие запрашивается для каждого из следующих видов обработки, если соответствующее согласие требуется законодательством Республики Казахстан:
1. направления рекламных и маркетинговых сообщений;
2. рекламного профилирования и формирования персонализированной рекламы;
3. передачи данных Партнерам, самостоятельно определяющим цели обработки;
4. трансграничной передачи персональных данных;
5. получения приблизительной геолокации и фонового доступа к местоположению;
6. обработки фотографий чеков и иных документов, загружаемых Пользователем;
7. автоматизированной обработки, в результате которой могут возникать, изменяться или прекращаться права либо законные интересы Пользователя;
8. распространения персональных данных в общедоступных источниках.
2.2.3. Пользователь вправе согласиться с одними необязательными видами обработки и отказаться от других. Отказ от необязательной обработки не ограничивает доступ к основному функционалу, если соответствующие данные объективно не требуются для предоставления выбранного сервиса.
2.2.4. Согласие предоставляется посредством установки отдельной отметки, нажатия отдельной кнопки, подтверждения SMS-кодом либо иного активного действия, позволяющего подтвердить получение конкретного согласия.
2.2.5. Молчание, бездействие, продолжение использования Приложения либо наличие разрешения операционной системы сами по себе не признаются согласием в случаях, когда законодательство требует отдельного согласия.
2.3. Каждое согласие содержит:
1. наименование и БИН Собственника и Оператора;
2. фамилию, имя, отчество Пользователя, если они указаны Пользователем;
3. конкретные цели обработки;
4. перечень собираемых персональных данных;
5. перечень действий с персональными данными;
6. срок или критерий определения срока действия согласия;
7. сведения о наличии либо отсутствии передачи третьим лицам;
8. сведения о наличии либо отсутствии трансграничной передачи;
9. сведения о наличии либо отсутствии распространения в общедоступных источниках;
10. порядок отзыва согласия;
11. редакцию согласия и Политики, действовавшую на дату его предоставления.
Собственник фиксирует дату, время, способ предоставления согласия, номер телефона или иной идентификатор Пользователя, редакцию согласия и Политики, а также сведения об отзыве согласия.
2.4. Собственник осуществляет сбор и обработку персональных данных:
1. на основании согласия Пользователя — в целях и пределах, определенных соответствующим согласием;
2. без согласия Пользователя — исключительно в случаях, прямо предусмотренных статьей 9 и иными положениями Закона Республики Казахстан «О персональных данных и их защите»;
3. для выполнения обязательных требований законодательства Республики Казахстан;
4. в целях исполнения Пользовательского соглашения и предоставления выбранного Пользователем сервиса — при наличии согласия либо иного предусмотренного законодательством основания.
Обработка ограничивается конкретными, заранее определенными и законными целями. Использование данных для новой несовместимой цели допускается только после получения нового согласия, если иное прямо не предусмотрено законодательством.
2.5. Для отдельных видов обработки данных Собственник вправе запросить дополнительное согласие Пользователя, включая участие в опросах, исследованиях или использование отдельных сервисов, требующих дополнительных разрешений.
2.6. Пользователь вправе в любое время отозвать ранее предоставленное согласие посредством функционала Приложения либо направления обращения Оператору.
Собственник не позднее пятнадцати рабочих дней с даты получения отзыва:
1. прекращает обработку, осуществляемую на основании отозванного согласия; либо
2. направляет Пользователю мотивированный отказ, если сохранение или обработка соответствующих данных требуется в соответствии с законодательством Республики Казахстан либо в связи с наличием неисполненного обязательства.
Отзыв согласия на маркетинг, профилирование, точную геолокацию, трансграничную передачу или передачу Партнерам не означает автоматического удаления учетной записи.
Данные, которые Собственник обязана сохранить, блокируются и не используются для маркетинга, профилирования или иных целей, не связанных с обязательным хранением.
3. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ДАННЫХ
Собственник вправе обрабатывать следующие категории персональных данных:
3.1. Регистрационные данные: Для регистрации Собственник обрабатывает:
1. номер мобильного телефона;
2. имя либо выбранное Пользователем отображаемое имя;
3. адрес электронной почты — если он необходим для восстановления доступа или выбранного сервиса;
4. дату рождения либо возрастную категорию — если это необходимо для проверки возрастных ограничений или участия в конкретной акции.
Фамилия, отчество, пол и фотография профиля предоставляются добровольно, если их обработка не является обязательной для конкретного сервиса.
Обязательные и добровольные поля обозначаются в интерфейсе Приложения. Отказ от предоставления добровольных сведений не ограничивает базовый функционал.
3.2. Данные о транзакциях: Собственник вправе обрабатывать сведения о покупках, бонусах, шопертокенах, сертификатах, купонах, истории начислений и списаний, истории посещений, парковочных платежах, покупке билетов и истории обращений.
3.3. Автоматически собираемые данные: При каждом запуске и использовании Приложения Собственник автоматически получает следующие технические данные: IP-адрес, модель и производитель устройства, версия операционной системы, язык устройства, рекламные идентификаторы устройства (IDFA, GAID), уникальные идентификаторы устройства, журналы ошибок, информация о производительности приложения, данные об использовании функций приложения, сведения о взаимодействии с push-уведомлениями, технические журналы подключения и сведения о времени использования приложения.
3.4. Геолокация: При наличии разрешения Пользователя Собственник вправе получать сведения о местоположении устройства исключительно для предоставления отдельных функций приложения, отображения ближайших объектов, персонализации предложений и улучшения пользовательского опыта. Пользователь вправе отключить доступ к геолокации в настройках своего устройства в любое время. Отключение доступа к геолокации может повлиять на корректную работу отдельных функций Приложения.
Собственник получает приблизительное местоположение устройства только после отдельного разрешения Пользователя и только во время активного использования функции, объективно требующей определения местоположения.
Собственник не осуществляет фоновый сбор и не формирует историю перемещений Пользователя.
Геолокационные данные используются для отображения ближайшего ТРЦ, навигации и иных функций, прямо выбранных Пользователем, и не передаются Партнерам для самостоятельного маркетинга.
Отключение геолокации ограничивает только функции, объективно требующие определения местоположения.
3.5. Камера: Приложение может запрашивать доступ к камере устройства исключительно после получения соответствующего разрешения Пользователя.
Доступ к камере активируется только по инициативе Пользователя. Собственник не осуществляет скрытую, непрерывную или фоновую фото- и видеосъемку. Доступ к камере используется только для функций, непосредственно связанных с работой Приложения, включая загрузку фотографий, сканирование QR-кодов, фотографирование чеков и использование иных предусмотренных сервисов.
Пользователь вправе в любое время запретить доступ к камере в настройках операционной системы своего устройства. Ограничение доступа к камере может повлиять на корректную работу отдельных функций Приложения.
При загрузке фотографии чека Собственник может осуществлять автоматическое распознавание текста и извлечение номера чека, даты, суммы, наименования продавца и иных сведений, необходимых для проверки операции. Оригинал изображения чека хранится не более 180 календарных дней после завершения проверки, начисления бонусов или рассмотрения заявки Пользователя. Если по соответствующей операции возникли претензия, спор либо признаки мошенничества, изображение может храниться до окончательного разрешения соответствующего вопроса и истечения обязательного срока хранения. После завершения хранения изображение удаляется, а необходимые для учета сведения сохраняются отдельно в минимально необходимом объеме. Пользователь не должен загружать документы и изображения, содержащие избыточные персональные данные самого Пользователя или третьих лиц.
3.6. Данные, предоставляемые Пользователем добровольно: обращения, отзывы, фотографии, документы, сообщения, ответы на опросы и иные сведения, необходимые для решения конкретного вопроса.
3.7. Данные, получаемые от Партнеров и третьих лиц: При условии, что Партнер
(1) имеет законное основание для сбора и передачи Оператору персональных данных Пользователя,
(2) предварительно проинформировал Пользователя о такой передаче,
(3) получил согласие Пользователя, если оно требуется законодательством Казахстана,
(4) передает только минимальный требуемый Оператору объем данных,
в рамках работы программы лояльности и сервисов Приложения Оператор вправе получать от Партнеров (арендаторов ТРЦ, продавцов, сервис-провайдеров), платежных и банк-партнеров, сервисов авторизации следующие сведения о Пользователе:
· Данные о совершенных покупках и транзакциях у Партнеров: дата, время и сумма покупки, наименование и состав купленных товаров/услуг, размер предоставленной скидки, количество начисленных или списанных бонусов/шопертокенов;
· Данные по чекам и фискальным документам: номер чека, код фискального признака, номер ККМ, загруженные Пользователем или переданные Партнером для начисления бонусов и участия в маркетинговых акциях;
· Данные сервисов-партнеров: статусы парковочных сессий и оплат, информация о купленных билетах в кино (название фильма, дата, время, номер зала и места), статусы активированных сертификатов и купонов;
· Данные авторизации: сведения, передаваемые сервисами аутентификации (например, при входе через сервисы операторов связи или соцсети), в объеме, разрешенном Пользователем.
· Данные для маркетинговых мероприятий: сведения, необходимые для участия в промо-акциях, розыгрышах призов и маркетинговых мероприятиях Собственнику и Партнеров (включая истории активации промокодов, купонов, статусы выполнения условий акций и данные для вручения призов).
Сведения о наименовании и составе приобретенных товаров передаются Собственнику только в случаях, когда они объективно необходимы:
1) для расчета бонусов по конкретным товарным категориям;
2) для проверки выполнения условий акции;
3) для рассмотрения обращения или возврата;
4) для формирования персонализированных предложений при наличии отдельного согласия.
Если для соответствующей цели достаточно суммы, даты, места покупки и номера чека, состав товаров Собственнику не передается.
3.8. В целях контроля качества обслуживания, проведения аудита и решения спорных вопросов Собственник вправе осуществлять запись телефонных разговоров при обращении в Службу заботы (Контакт-центр), а также сохранять историю текстовых обращений Пользователя (в чате Приложения, по электронной почте, в мессенджерах или социальных сетях). До начала записи телефонного разговора Пользователь уведомляется о факте записи, целях ее осуществления и способе получения дополнительной информации.
Записи используются исключительно для контроля качества, рассмотрения обращений и споров, обеспечения безопасности и обучения сотрудников на обезличенных примерах. Доступ предоставляется только уполномоченным работникам. Записи телефонных разговоров хранятся не более 12 месяцев с даты записи.
Если запись относится к претензии, спору, расследованию нарушения или неисполненному обязательству, она может храниться до окончательного разрешения вопроса и истечения применимого срока хранения.
По истечении срока запись удаляется либо анонимизируется. Доступ к записям предоставляется только работникам, которым он необходим для исполнения трудовых обязанностей.
4. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Собственник осуществляет обработку персональных (Регистрационных) данных исключительно в объеме, необходимом для достижения законных целей. Персональные данные Пользователя могут использоваться для:
4.1. Регистрации и идентификации Пользователя: создания учетной записи, авторизации, восстановления доступа, подтверждения личности, предотвращения несанкционированного доступа с учетом следующего:
1) Поля, обязательные для регистрации или использования конкретного сервиса, обозначаются в интерфейсе Приложения. Иные сведения предоставляются Пользователем добровольно;
2) Отказ от предоставления необязательных сведений, включая пол, фотографию профиля, сведения об интересах и предпочтениях, не ограничивает доступ к основному функционалу;
3) Собственник не собирает персональные данные, не являющиеся необходимыми и достаточными для заявленных целей обработки.
4.2. Предоставления сервисов Smart Plaza: предоставления доступа к функционалу Приложения, включая программу лояльности, начисление бонусов, использование шопертокенов, сертификаты, акции, специальные предложения, покупку билетов, оплату парковки, навигацию, службу поддержки, обратную связь и иные сервисы.
4.3. Исполнения обязательств перед Пользователем: обработки обращений, рассмотрения претензий, исполнения обязательств по Пользовательскому соглашению и исполнения требований законодательства Республики Казахстан.
4.4. Информационного взаимодействия: отправки сервисных уведомлений, сообщений о работе Приложения, начислении бонусов, изменении статуса заказа, уведомлений о парковке, билетах и других уведомлений, необходимых для использования Приложения. Такие уведомления являются обязательными и не относятся к рекламным сообщениям.
4.5. Маркетинговые коммуникации и право на отписку:
Собственник вправе направлять Пользователю рекламные сообщения, персональные предложения, новости, информацию об открытии новых магазинов, приглашения на мероприятия, информацию об акциях, скидках, предложениях Партнеров, поздравления, подборки товаров и услуг, рекомендации. Рассылка может осуществляться посредством push-уведомлений, SMS, электронной почты, сообщений в мессенджерах и иных каналов связи, предусмотренных законодательством Республики Казахстан.
Пользователь вправе в любое время и без объяснения причин отказаться от получения рекламных и маркетинговых сообщений (отписаться от рассылок). Отказ (отписка) может быть осуществлен посредством:
· использования интерактивной ссылки «Отписаться» (Unsubscribe) в теле электронного письма (email);
· отправки ответного бесплатного SMS-кода или следования инструкциям в SMS/мессенджере;
· изменения настроек уведомлений в профиле Мобильного приложения;
· отключения push-уведомлений в настройках операционной системы мобильного устройства;
· направления запроса Оператору на электронную почту smartplazakazakhstan@gmail.com.
Оператор обеспечивает прекращение направления маркетинговых сообщений срок от 15 (пятнадцати) до 30 (тридцати) рабочих дней с момента получения соответствующего обращения либо регистрации отказа Пользователя. Отказ от рекламных сообщений не влияет на получение обязательных сервисных уведомлений и не является основанием для ограничения доступа к базовому функционалу Приложения.
4.6. Оператор использует автоматизированные алгоритмы для:
1) Персонализации: анализа предпочтений Пользователя для формирования индивидуальных рекомендаций, персональных скидок, специальных предложений, персонализированного контента и предложений Партнеров.
2) Аналитики и улучшения сервисов: анализа использования Приложения, оценки производительности, повышения стабильности, устранения ошибок, тестирования новых функций, улучшения интерфейса и качества обслуживания.
3) Обеспечения безопасности: предотвращения мошенничества, выявления подозрительной активности, предотвращения злоупотреблений, защиты учетной записи и обеспечения информационной безопасности.
4) Организации и проведение маркетинговых мероприятий: проведение рекламных акций, стимулирующих мероприятий, розыгрышей призов, опросов, маркетинговых исследований, определение победителей и вручение призов Пользователям в соответствии с правилами конкретных акций.
4.7. Автоматизированная обработка может влиять на порядок отображения предложений, но не используется для возникновения, изменения или прекращения прав Пользователя без отдельного согласия или иного законного основания.
Пользователь вправе заявить возражение против автоматизированной обработки и потребовать рассмотрения соответствующего вопроса уполномоченным работником Собственнику. Возражение рассматривается в течение трех рабочих дней с уведомлением Пользователя о результате.
Собственник принимает меры по предотвращению дискриминационных, ошибочных и несоразмерных результатов автоматизированной обработки.
По запросу Пользователя Собственник сообщает:
1. факт применения алгоритмической системы;
2. основные категории данных, использованные при принятии решения;
3. ключевые факторы и критерии, повлиявшие на результат;
4. возможные последствия автоматизированной обработки;
5. порядок пересмотра результата уполномоченным работником.
Собственник не обязана раскрывать исходный код, алгоритмы или сведения, составляющие охраняемую законом тайну.
5. ИСПОЛЬЗОВАНИЕ АНАЛИТИКИ И ТЕХНОЛОГИЙ
5.1. Для обеспечения стабильной работы мобильного приложения Собственник вправе использовать сервисы третьих лиц, в том числе сервисы аналитики, коммуникации, мониторинга ошибок и доставки push-уведомлений, включая, помимо прочего, Firebase, Google Analytics, Google Crashlytics, Meta SDK, AppsFlyer, OneSignal, Apple Push Notification Service, Firebase Cloud Messaging и иные аналогичные сервисы. Использование конкретных сервисов может изменяться без предварительного уведомления Пользователей.
Собственник вправе изменить поставщика без отдельного согласия только при условии, что новый поставщик обрабатывает тот же или меньший объем данных, в тех же целях и на условиях не менее высокого уровня защиты.
Если изменение предполагает новую цель, дополнительную категорию данных или трансграничную передачу, ранее не охваченную согласием, Собственник предварительно уведомляет Пользователя и получает новое согласие, когда оно требуется законодательством.
5.2. Аналитика: Сервисы аналитики могут автоматически получать технические сведения об устройстве и использовании Приложения исключительно для ведения статистики, анализа, повышения стабильности работы, улучшения пользовательского опыта и оценки эффективности рекламных кампаний.
5.3. Cookies и аналогичные технологии: При использовании сайта либо встроенных веб-сервисов Собственник может использовать cookies, web beacons, local storage, SDK и рекламные идентификаторы для сохранения настроек, авторизации, аналитики, повышения безопасности и персонализации. Пользователь вправе ограничить использование отдельных технологий посредством настроек браузера или устройства, однако это может повлиять на работу отдельных функций Приложения.
5.4. Push-уведомления: При наличии согласия Пользователя Собственник вправе направлять push-уведомления. Пользователь может отключить получение push-уведомлений в настройках мобильного устройства либо Приложения.
5.5. Автоматизированная обработка осуществляется в порядке и на условиях, установленных пунктами 4.6 и 4.7 настоящей Политики.
6. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
6.1. Собственник обеспечивает конфиденциальность персональных данных Пользователей и не осуществляет их продажу третьим лицам.
Собственник передает персональные данные третьим лицам:
1. на основании согласия Пользователя, охватывающего соответствующую передачу;
2. по поручению Пользователя для предоставления выбранного сервиса;
3. без согласия — исключительно в случаях, прямо предусмотренных законодательством Республики Казахстан.
Указание категории получателя в Политике или Пользовательском соглашении само по себе не является самостоятельным основанием передачи.
Собственник передает только минимально необходимый объем данных и заключает с лицами, обрабатывающими данные по ее поручению, соглашения, предусматривающие:
1) цели и предмет обработки;
2) конфиденциальность;
3) запрет самостоятельного использования;
4) меры защиты;
5) локализацию;
6) порядок привлечения субподрядчиков;
7) действия при нарушении безопасности;
8) возврат, удаление или уничтожение данных.
Собственник вправе передавать персональные данные следующим категориям лиц:
i. Партнерам программы лояльности;
ii. платежным организациям;
iii. банкам;
iv. поставщикам облачной инфраструктуры;
v. поставщикам аналитических сервисов;
vi. поставщикам коммуникационных сервисов;
vii.поставщикам SMS-сервисов;
viii.государственным органам в случаях, предусмотренных законодательством Республики Казахстан.
Лица, обрабатывающие данные по поручению Собственнику, не вправе использовать их для собственных целей и обязуются соблюдать конфиденциальность, требования безопасности, сроки хранения, порядок возврата и уничтожения данных.
Если Партнер самостоятельно определяет цели обработки, он действует как самостоятельный собственник и (или) оператор и несет ответственность за предоставление Пользователю своей политики и получение необходимых согласий.
6.2. Передача Партнерам: В целях предоставления скидок, бонусов, сертификатов, акций и специальных предложений Собственник вправе передавать Партнерам минимально необходимый объем персональных данных исключительно в рамках исполнения соответствующего сервиса.
6.3. Международная (трансграничная) передача данных: При использовании облачной инфраструктуры и платформ, расположенных за пределами Республики Казахстан, Собственник вправе осуществлять трансграничную передачу персональных данных в соответствии с требованиями законодательства РК и при условии применения принимающей стороной достаточных мер защиты. Трансграничная передача осуществляется при наличии согласия Пользователя либо иного основания, прямо предусмотренного законодательством Республики Казахстан. Трансграничная передача не заменяет обязанность по формированию и хранению основной базы на территории Республики Казахстан.
6.4. Информационный обмен с Партнерами: Для обеспечения корректного начисления и списания бонусов, предоставления скидок, валидации парковочных талонов, билетов и применения купонов между Собственником и Партнерами осуществляется двусторонний обмен минимально необходимыми данными. Партнеры передают Собственнику сведения о совершенных Пользователем операциях в магазинах/сервисах Партнера, а Собственник передает Партнерам подтверждение статуса Пользователя в программе лояльности и доступный баланс бонусов/сертификатов.
7. СРОКИ ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Собственник хранит персональные данные только в течение срока, необходимого для конкретной цели обработки, либо в течение обязательного срока, установленного законодательством Республики Казахстан.
7.2. Собственник утверждает и применяет таблицу сроков хранения, являющуюся приложением к настоящей Политике.
7.3. По истечении срока данные подлежат удалению, уничтожению, анонимизации либо обезличиванию, если дальнейшее хранение не требуется законодательством.
7.4. Рекомендуемые сроки:
· данные аккаунта — до удаления аккаунта плюс технический срок не более 30 календарных дней;
· журналы предоставленных и отозванных согласий — в течение срока обработки и трех лет после ее прекращения;
· изображения чеков — 180 календарных дней после завершения проверки;
· технические журналы и журналы ошибок — не более 12 месяцев;
· записи контакт-центра — не более 12 месяцев;
· геолокация — в пределах активной сессии, если сохранение истории не требуется;
· маркетинговый профиль — до отзыва согласия плюс технический срок не более 30 календарных дней;
· транзакционные и бухгалтерские данные — в течение обязательного срока, установленного законодательством.
7.5. Если данные необходимы для рассмотрения конкретной претензии, расследования или судебного спора, срок хранения продлевается только в отношении соответствующих данных и только до окончательного разрешения вопроса.
8. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Собственник принимает необходимые организационные, технические и правовые меры по защите персональных данных (шифрование, защищенные каналы передачи, разграничение прав доступа, резервное копирование, мониторинг ИБ) от неправомерного доступа, изменения, уничтожения, блокирования, копирования, распространения, утраты и иных неправомерных действий.
Собственник регулярно принимает меры по актуализации используемых средств защиты информации с учетом развития технологий и изменения возможных угроз информационной безопасности.
Базы данных, содержащие персональные данные Пользователей, являющихся гражданами и (или) резидентами Республики Казахстан, физически располагаются и формируются на серверах и оборудовании, находящихся на территории Республики Казахстан, в соответствии с требованиями законодательства РК.
В случае выявления нарушения безопасности персональных данных Собственник:
1. незамедлительно принимает меры по локализации и прекращению нарушения;
2. определяет категории затронутых данных, субъектов и возможные последствия;
3. сохраняет сведения, необходимые для расследования;
4. уведомляет уполномоченный орган в порядке, установленном законодательством Республики Казахстан;
5. уведомляет Пользователей, если такое уведомление требуется законодательством или необходимо для снижения риска причинения им вреда;
6. документирует нарушение, его причины, последствия и принятые меры.
Собственник применяет план реагирования на инциденты кибербезопасности и регулярно проверяет его актуальность.
8.2. В зависимости от характера обработки Собственник применяет:
· шифрование при хранении и передаче;
· маскирование персональных данных в пользовательских интерфейсах и тестовых средах;
· хеширование паролей, токенов и иных идентификаторов, для которых восстановление исходного значения не требуется;
· разграничение и регулярный пересмотр прав доступа;
· журналирование доступа и операций;
· резервное копирование;
· многофакторную аутентификацию для привилегированных учетных записей;
· регулярное тестирование защищенности.
8.3. С момента обнаружения нарушения безопасности Собственник незамедлительно уведомляет уполномоченный орган в порядке, установленном законодательством, с указанием контактных данных лица, ответственного за организацию обработки персональных данных.
8.4. Собственник уведомляет затронутых Пользователей, если нарушение может создать риск для их прав и законных интересов либо если такое уведомление обязательно.
8.5. Информация об инциденте документируется во внутреннем журнале с указанием причин, затронутых данных, количества Пользователей, последствий и принятых мер.
9. ПРАВА ПОЛЬЗОВАТЕЛЯ
Пользователь вправе:
1. получать сведения о целях, основаниях, способах и сроках обработки;
2. получать информацию о категориях данных и получателях;
3. требовать уточнения и исправления;
4. требовать блокирования;
5. требовать удаления, уничтожения, анонимизации или ограничения обработки;
6. отзывать согласие;
7. возражать против автоматизированной обработки;
8. требовать пересмотра полностью автоматизированного решения уполномоченным работником;
9. отказаться от маркетинговых сообщений;
10.обжаловать действия Собственнику в уполномоченный орган или суд.
Отзыв согласия исполняется либо по нему предоставляется мотивированный отказ не позднее пятнадцати рабочих дней.
Возражение против автоматизированной обработки рассматривается в течение трех рабочих дней.
Уведомление о передаче третьему лицу направляется в течение десяти рабочих дней, если соответствующее уведомление предусмотрено согласием или законодательством.
Иные обращения рассматриваются без неоправданной задержки и в срок, предусмотренный применимым законодательством.
10. УДАЛЕНИЕ АККАУНТА
10.1. Пользователь вправе в любое время удалить свою учетную запись посредством функционала Приложения (в настройках Профиля) либо путем обращения к Оператору с соответствующим запросом на электронную почту smartplazakazakhstan@gmail.com.
10.2. После удаления учетной записи Собственник прекращает обработку данных, необходимых исключительно для функционирования аккаунта, и удаляет, уничтожает либо обезличивает их в срок не более 30 календарных дней.
Отдельные данные могут быть сохранены только:
1. если срок их хранения прямо установлен законодательством Республики Казахстан;
2. при наличии неисполненного обязательства Пользователя или Собственнику;
3. в объеме, необходимом для рассмотрения уже заявленного требования, претензии или судебного спора.
Доступ к сохраняемым данным ограничивается, а их дальнейшее использование для маркетинга, персонализации и аналитики прекращается.
Требование об удалении, анонимизации или ограничении обработки не подлежит исполнению в той части, в которой сохранение данных необходимо:
1. для исполнения обязательного срока хранения;
2. для защиты жизни и здоровья либо прав и законных интересов третьих лиц;
3. для рассмотрения дел о правонарушениях;
4. для осуществления правосудия или исполнения вступившего в силу судебного акта;
5. для обеспечения публичного интереса, прямо установленного законодательством;
6. для статистических или научных целей при условии анонимизации;
7. в связи с наличием неисполненного обязательства либо уже возникшего спора.
В таких случаях Собственник ограничивает доступ к данным и приостанавливает их использование для иных целей, включая маркетинг и профилирование.
10.3. Пользователь осведомлен, что при удалении учетной записи накопленные бонусы, шопертокены, активные купоны и статусы в программе лояльности безвозвратно аннулируются.
11. ОБРАБОТКА ДАННЫХ НЕСОВЕРШЕННОЛЕТНИХ
Приложение предназначено для самостоятельного использования лицами, достигшими 16 лет.
Пользователь младше 16 лет вправе зарегистрироваться только после получения подтверждаемого согласия законного представителя.
Собственник применяет разумный механизм проверки согласия законного представителя, не предусматривающий избыточного сбора документов.
Если Собственник установит, что данные лица младше 16 лет обрабатываются без требуемого согласия, обработка прекращается, а данные удаляются, если отсутствует иное законное основание для их хранения.
Собственник не использует данные несовершеннолетних для рекламного профилирования без отдельного подтверждаемого согласия законного представителя.
12. ИЗМЕНЕНИЕ ПОЛИТИКИ
Собственник вправе в любое время вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента ее публикации. О существенных изменениях Собственник предварительно уведомляет Пользователя через Приложение, электронную почту или иной доступный канал.
Если новая редакция предусматривает:
i. новую цель обработки;
ii. дополнительные категории данных;
iii. новую категорию получателей;
iv. новую трансграничную передачу;
v. расширение профилирования;
vi. распространение данных в общедоступных источниках,
Собственник получает новое согласие, если оно требуется законодательством.
Продолжение использования Приложения подтверждает ознакомление с новой Политикой, но не заменяет отдельное согласие.
13. КОНТАКТЫ ОПЕРАТОРА
По вопросам обработки персональных данных Пользователь вправе обратиться к Оператору: ТОО «TS Property Management» (БИН: 200640013557)
Адрес: Республика Казахстан, г. Алматы, Медеуский район, мкр. Самал-2, д.111
Электронная почта для обращений: smartplazakazakhstan@gmail.com
Настоящая Политика является неотъемлемой частью Пользовательского соглашения мобильного приложения Smart Plaza и применяется совместно с ним.