Политика обработки персональных данных

Политика описывает, какие персональные данные собирает и обрабатывает онлайн-сервис TaxPilot KZ (далее — «Сервис»), зачем, как они защищаются и какие права есть у пользователя. Документ подготовлен с учётом Закона Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон»).

1. Кто обрабатывает данные

Собственник и оператор базы персональных данных: [не указано — заполнить перед запуском], БИН/ИИН [не указано — заполнить перед запуском], адрес: [не указано — заполнить перед запуском]. Контакт по вопросам персональных данных: [не указано — заполнить перед запуском].

2. Какие данные мы собираем

• Учётная запись: email; пароль хранится только в виде необратимого хэша (Argon2id); секрет двухфакторной защиты — в зашифрованном виде.
• Данные бизнеса: наименование, ИИН/БИН (в зашифрованном виде), режим налогообложения, коды ОКЭД, реквизиты для документов.
• Учётные данные: доходы, расходы, документы (счета, акты, накладные, договоры), контрагенты (ИИН/БИН — в зашифрованном виде).
• Данные работников, которые вносит пользователь: ФИО, ИИН (в зашифрованном виде), должность, начисления, банковский счёт для зарплаты.
• Технические данные: журнал действий (что и когда сделано в Сервисе, без ИИН, паролей и кодов), IP-адрес — для защиты от перебора паролей.

Мы не запрашиваем и не храним ключи ЭЦП, пароли от кабинета налогоплательщика и других государственных систем, данные банковских карт.

3. Зачем

Только для работы Сервиса: расчёт налогов и платежей, подготовка форм и документов, напоминания о сроках, защита учётной записи, разбор сообщений об ошибках. Сбор ограничен данными, необходимыми и достаточными для этих задач (ст. 12 п. 1 Закона). Данные не используются для рекламы и не продаются.

4. Согласие

Согласие даётся при регистрации отметкой в форме и фиксируется в журнале (ст. 7, 8 Закона). Согласие действует до удаления учётной записи. Его можно отозвать, написав на [не указано — заполнить перед запуском], кроме случаев, предусмотренных ст. 8 п. 2 Закона. Если пользователь вносит данные работников или контрагентов, он подтверждает, что вправе передать их Сервису для этих целей. Для юриста: уточнить роль Сервиса (оператор или третье лицо) в отношении данных работников и контрагентов клиента и порядок согласия.

5. Где хранятся данные

Базы данных Сервиса и резервные копии размещаются на серверах, находящихся на территории Республики Казахстан (ст. 12 п. 2 Закона). Трансграничная передача персональных данных не осуществляется (подтвердить при выборе хостинга и почтового сервиса: если почтовый сервис находится за рубежом, адреса email передаются за границу — нужна оценка по ст. 16 Закона).

6. Как защищаем

• Передача данных — только по защищённому соединению (HTTPS).
• Обязательная двухфакторная защита входа, блокировка перебора паролей, автоматический выход при бездействии.
• ИИН, БИН и секреты 2FA шифруются в базе; в журналах и логах ИИН/БИН и email маскируются.
• Доступ к данным компании — только у её участников с назначенными ролями; доступ сотрудников Сервиса — только для поддержки и устранения ошибок.
• Ежедневные зашифрованные резервные копии.

7. Сколько храним

Пока существует учётная запись. После удаления учётной записи данные удаляются из рабочей базы, а из резервных копий — по истечении срока их хранения (срок резервных копий: [указать, например 30 дней]), если иное не требуется законодательством.

8. Ваши права

По ст. 24 Закона вы можете: узнать, какие ваши данные есть у нас, откуда и зачем; потребовать исправления, блокирования, удаления данных; отозвать согласие. Пишите на [не указано — заполнить перед запуском]. Изменение, блокирование или удаление выполняются в сроки, установленные Законом (ст. 25 п. 2 пп. 8) — в течение одного рабочего дня при наличии оснований).

9. Нарушение безопасности

При обнаружении нарушения безопасности персональных данных мы уведомляем уполномоченный орган в порядке ст. 25 п. 2 пп. 8) Закона и сообщаем затронутым пользователям.

10. Cookies

Используются только технически необходимые cookies: сессия входа и защита форм (CSRF). Аналитических и рекламных cookies нет.