Настоящая политика описывает, как ИП ALASH AMANATY обрабатывает данные пользователей сайта и сервиса Business Control AI.

1. Роли и область применения

В отношении регистрационных, договорных и платёжных контактных данных ИП ALASH AMANATY самостоятельно определяет цели обработки и отвечает за них. В отношении финансовых, кадровых, клиентских и иных данных, которые организация загружает в свой кабинет, клиент остаётся собственником и (или) оператором базы персональных данных, определяет состав, цели и законное основание обработки. ИП ALASH AMANATY действует как обработчик по поручению клиента: использует эти данные только для работы сервиса, поддержки, защиты и исполнения документированных указаний клиента.

Клиент отвечает за получение необходимых согласий работников, родителей, законных представителей и других субъектов. Business Control AI не продаёт клиентские данные, не определяет для них самостоятельные рекламные цели и не передаёт их другому клиенту. Контакт по вопросам данных и безопасности: erzzat11@gmail.com.

2. Какие данные обрабатываются

Мы можем обрабатывать имя, рабочий email, телефон, организацию, роль, данные учётной записи, технические журналы входа, действия в системе, а также CRM- и финансовые данные, которые организация загружает самостоятельно.

После отдельного согласия сайт сохраняет собственные идентификаторы посетителя и сессии, просмотренные страницы, нажатия на ключевые кнопки, источник перехода, UTM-метки, тип устройства и семейство браузера. Полный IP-адрес в аналитическом отчёте не сохраняется. Анонимная сессия связывается с именем или email только после добровольной формы, регистрации или входа.

Для отчёта частного сада в управление образования могут обрабатываться код и ФИО ребёнка, номер ваучера, группа, дни по плану и факту посещения, уважительные и неуважительные пропуски, отметка подтверждения родителя, сумма госзаказа и родительской платы. Эти поля используются только для проверки и формирования отчёта клиента. ИИН, сведения о здоровье, банковские пароли и данные платёжных карт сервису не требуются; не загружайте их без отдельного письменного согласования.

3. Цели обработки

• создание и защита учётной записи;
• предоставление CRM, финансовой модели и ИИ-помощника;
• ответ на заявки и техническая поддержка;
• анализ посещаемости, воронки и качества публичных страниц при наличии согласия;
• обеспечение безопасности, аудит действий и предотвращение злоупотреблений;
• исполнение договора и законных обязанностей оператора.

4. Основания, поручение и согласие

Данные обрабатываются для исполнения пользовательского или корпоративного договора, на основании согласия субъекта и в иных случаях, предусмотренных законодательством Республики Казахстан. Клиент поручает ИП ALASH AMANATY хранение, структурирование, расчёт, отображение, резервное копирование, экспорт и удаление загруженных данных только в объёме, необходимом для функций выбранного тарифа. Клиент отвечает за законность загрузки данных работников, клиентов, детей и их законных представителей, а также за содержание и доказуемость согласий.

5. ИИ и сторонние обработчики

Критичные финансовые показатели, прогноз ликвидности, безубыточность и сценарии рассчитываются собственным детерминированным модулем внутри основного контура. Если пользователь отправляет запрос ИИ-помощнику, сервис может передать OpenAI текст запроса и минимально необходимую выборку из результатов инструментов текущей организации. Запросы отправляются с отключённым сохранением ответа со стороны API (store=false). Банковские пароли, реквизиты карт, секреты интеграций и полный массив загруженных файлов в ИИ-запрос не включаются.

При недоступности внешнего ИИ сервис показывает локальную сводку из расчётного ядра. ИИ не получает права проводить платежи, подписывать документы или менять утверждённые данные без действия пользователя.

6. Хранение, доступ и защита

Доступ разделяется по организациям и ролям. Пароли защищаются PBKDF2-SHA256 с индивидуальной солью и 310 000 итераций. Веб-сессия хранится в недоступной JavaScript cookie, имеет срок не более семи дней и может быть отозвана владельцем аккаунта. Основная база хранится на территории Республики Казахстан. Отдел продаж, партнёры и другие клиенты не имеют доступа к данным организации. Инфраструктурный доступ имеет владелец сервиса и назначенный технический администратор только для поддержки, восстановления или расследования инцидента и в минимально необходимом объёме.

Аналитические события хранятся не более 13 месяцев. Клиентские рабочие данные, включая сведения отчёта по детям, хранятся до удаления клиентом или прекращения договора, если более длительный срок не требуется законом или письменной спецификацией. Резервные копии выводятся из ротации не позднее 30 дней. Дата последней копии и пробного восстановления публикуется на странице статуса; неподтверждённая проверка не показывается как успешная.

7. Передача, размещение и поставщики

Основная база и загруженные клиентом данные размещаются на сервере Hoster.KZ в Республике Казахстан. Для отдельных функций используются следующие поставщики в строго необходимом объёме:

Передача ограничивается целью оказания услуги. Трансграничная передача выполняется только при наличии применимого основания и мер защиты. Актуальные правила обработки определяются Законом Республики Казахстан «О персональных данных и их защите».

8. Права пользователя и удаление

Пользователь вправе запросить доступ, исправление, экспорт или удаление данных, отозвать согласие, а также получить сведения об обработке. Владелец одной организации может необратимо удалить активную организацию и свою учётную запись самостоятельно в разделе «Настройки → Аккаунт» после проверки текущего пароля и контрольной фразы. Если аккаунт связан с несколькими организациями, сначала требуется передать права или закрыть остальные рабочие пространства.

После подтверждения рабочие данные удаляются из активной базы сразу. Резервные копии выводятся из ротации не позднее 30 дней. Данные, которые оператор или платёжный провайдер обязан сохранять по закону, изолируются от рабочего аккаунта и удаляются после окончания обязательного срока. Согласие на аналитику можно изменить через ссылку «Настройки аналитики» внизу сайта. Альтернативный запрос доступен на странице «Управление данными».

9. Запрос государственного органа

До раскрытия данных оператор проверяет полномочия отправителя, правовое основание, предмет и объём запроса. Передаются только сведения, которые оператор обязан предоставить по применимому законодательству. Клиент уведомляется о запросе и передаче, если такое уведомление не запрещено законом и не препятствует законной процедуре.

10. Инциденты безопасности

При подтверждённом нарушении доступа команда ограничивает затронутый контур, сохраняет технические доказательства, определяет категории данных и клиентов, уведомляет ответственных внутри сервиса и действует по срокам, установленным применимым законодательством. Затронутому клиенту направляется первичное уведомление без необоснованной задержки с описанием фактов, риска, уже принятых мер и следующего обновления. Сообщить о подозрении можно на erzzat11@gmail.com.

11. Обновление политики

Актуальная редакция всегда размещается по этому адресу. При существенных изменениях зарегистрированные пользователи получают уведомление через кабинет или email.