Политика конфиденциальности и обработки персональных данных

Платформа Headora (headora.ai) · Редакция от 1 сентября 2026 года · Действующая редакция размещена по адресу https://headora.ai/privacy

1. Общие положения

1.1. Собственником и оператором персональных данных является Товарищество с ограниченной ответственностью «ONE2 INNOVATIONS», БИН 220740046484, адрес: г. Астана, Есильский район, проспект Кабанбай Батыра, дом 60А/4, кв. 9 (далее — «Оператор», «мы»).

1.2. Политика разработана в соответствии с Конституцией Республики Казахстан, Гражданским кодексом Республики Казахстан, Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите», Законом Республики Казахстан «Об информатизации», Законом Республики Казахстан «О связи» и иными нормативными правовыми актами Республики Казахстан.

1.3. Политика распространяется на все персональные данные, которые Оператор получает от посетителей Сайта, зарегистрированных пользователей Платформы, представителей контрагентов и лиц, обратившихся в службу поддержки.

1.4. Оператор собирает и обрабатывает только тот минимально необходимый объём персональных данных, который требуется для оказания услуг, исполнения договора и соблюдения требований законодательства.

1.5. Использование Платформы означает согласие субъекта с настоящей Политикой. При несогласии с её условиями использование Платформы должно быть прекращено.

2. Термины

2.1. Персональные данные — сведения, относящиеся к определённому или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.

2.2. Субъект — физическое лицо, к которому относятся персональные данные.

2.3. Обработка персональных данных — действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.

2.4. Пользователь — лицо, зарегистрировавшее аккаунт на Платформе.

2.5. Платформа, Сайт, Пользовательский контент, Сгенерированный контент, Провайдеры ИИ, Сторонние сервисы — имеют значения, определённые в Публичной оферте.

3. Какие данные мы собираем

3.1. Данные, предоставляемые вами при регистрации и использовании Платформы:

• имя или иное обозначение, которым вы себя называете;
• адрес электронной почты;
• номер телефона (если указан);
• пароль в виде необратимого криптографического хеша (сам пароль Оператору неизвестен);
• наименование, сфера деятельности, описание и характеристики вашего бизнеса, целевая аудитория, продукты и услуги, тон коммуникации и иные сведения, вводимые в процессе онбординга;
• ссылки на аккаунты в социальных сетях и веб-сайты;
• содержание обращений в службу поддержки и переписки с нами.

3.2. Платёжные данные. Оператор не собирает и не хранит полные реквизиты банковских платёжных карт. Приём платежей осуществляется сертифицированными платёжными провайдерами (в том числе Kaspi, Freedom Pay, Wooppay, ЮKassa), которые обрабатывают карточные данные на своей стороне в соответствии со стандартом PCI DSS. Оператор получает от них только сведения о факте, сумме, дате платежа, маскированном номере карты (последние 4 цифры) и идентификаторе транзакции. При оплате по счёту обрабатываются реквизиты плательщика — юридического лица или индивидуального предпринимателя.

3.3. Технические данные, собираемые автоматически: IP-адрес; тип, версия и язык браузера и операционной системы; тип устройства; данные о примерном местоположении, определяемом по IP-адресу (geoip) на уровне страны и города; дата, время и продолжительность сессий; количество входов; просмотренные страницы и совершённые в интерфейсе действия; источник перехода (referrer, UTM-метки); идентификаторы файлов cookie.

3.4. Данные, получаемые от Сторонних сервисов. Если вы подключаете к Платформе аккаунт социальной сети или иной сервис, Оператор получает данные в объёме, разрешённом вами при выдаче разрешений и допустимом правилами такого сервиса (например, публичные сведения профиля, статистику публикаций). Оператор не получает ваш пароль от Сторонних сервисов.

3.5. Данные, вводимые вами о третьих лицах. Если вы вводите в Платформу персональные данные третьих лиц, вы выступаете собственником таких данных, а Оператор — оператором, действующим по вашему поручению. Вы гарантируете наличие правового основания и согласий и несёте ответственность перед субъектами и уполномоченными органами.

3.6. Специальные категории данных. Оператор не собирает намеренно сведения о состоянии здоровья, биометрические данные, сведения о судимости, национальной и религиозной принадлежности, политических взглядах. Ввод таких данных в Платформу запрещён Публичной офертой. Если такие данные были введены вами, вы несёте за это самостоятельную ответственность, а Оператор вправе их удалить.

3.7. Данные несовершеннолетних. Платформа не предназначена для лиц младше 18 лет. Оператор не осуществляет целенаправленный сбор данных несовершеннолетних. При обнаружении таких данных они подлежат удалению.

4. Цели и правовые основания обработки

5. Согласие и его отзыв

5.1. Согласие на сбор и обработку персональных данных даётся субъектом в электронной форме путём проставления отметки при регистрации и (или) совершения конклюдентных действий, предусмотренных Публичной офертой.

5.2. Согласие даётся на срок действия договора и последующий срок хранения данных, предусмотренный разделом 9.

5.3. Субъект вправе отозвать согласие полностью или в части, направив обращение на [email protected]. Отзыв согласия влечёт прекращение обработки и удаление данных, за исключением случаев, когда обработка продолжается на ином законном основании (в том числе для исполнения налоговых и бухгалтерских обязанностей, защиты прав Оператора в споре).

5.4. Отзыв согласия на обработку данных, необходимых для оказания услуг, делает оказание услуг невозможным и является основанием для прекращения договора без возврата денежных средств за истёкший период.

6. Автоматизированная обработка и искусственный интеллект

6.1. Платформа обрабатывает вводимые вами сведения с использованием алгоритмов и генеративных моделей искусственного интеллекта, в том числе моделей, предоставляемых Провайдерами ИИ — третьими лицами.

6.2. Для формирования результата содержание ваших запросов и относящиеся к ним данные о бизнесе могут передаваться Провайдерам ИИ. Оператор стремится минимизировать объём передаваемых данных и не передавать сведения, не требующиеся для получения результата.

6.3. Не вводите в Платформу персональные данные третьих лиц, коммерческую тайну, банковские, медицинские и иные чувствительные сведения, если это не требуется для получения результата.

6.4. Оператор не принимает в отношении субъектов решений, порождающих юридические последствия, исключительно на основе автоматизированной обработки персональных данных.

6.5. Для целей обучения собственных или сторонних моделей Оператор использует исключительно обезличенные и (или) агрегированные данные, не позволяющие идентифицировать субъекта.

7. Передача данных третьим лицам

7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.

7.2. Передача возможна только в следующих случаях: с согласия субъекта; когда это необходимо для оказания услуг и исполнения договора; по требованию уполномоченных государственных органов и суда в порядке, установленном законодательством; для защиты прав и законных интересов Оператора в споре.

7.3. Категории получателей:

• Провайдеры облачной инфраструктуры и хостинга — размещение и обработка данных;
• Провайдеры ИИ — формирование Сгенерированного контента;
• Платёжные провайдеры и банки — приём платежей и возвраты;
• Сервисы аналитики, мониторинга ошибок и рассылок — в обезличенном или минимально необходимом объёме;
• Сторонние сервисы, подключённые вами — в объёме выданных вами разрешений;
• Профессиональные консультанты (аудиторы, юристы, бухгалтеры) — при наличии обязанности сохранять конфиденциальность.

7.4. Со всеми привлекаемыми лицами Оператор обеспечивает соблюдение требований конфиденциальности и защиты персональных данных.

7.5. Оператор вправе публиковать и передавать обезличенную агрегированную информацию (статистику, отраслевые срезы), не позволяющую идентифицировать субъекта.

7.6. При реорганизации, продаже бизнеса или передаче прав на Платформу персональные данные могут перейти к правопреемнику с сохранением условий настоящей Политики; субъекты уведомляются об этом.

8. Трансграничная передача данных

8.1. Часть инфраструктуры и сервисов, используемых для работы Платформы (в том числе модели искусственного интеллекта, облачные и коммуникационные сервисы), находится за пределами Республики Казахстан. В связи с этим персональные данные могут передаваться на территорию иностранных государств.

8.2. Трансграничная передача осуществляется в соответствии со статьёй 16 Закона Республики Казахстан «О персональных данных и их защите»: в государства, обеспечивающие защиту персональных данных, — на общих основаниях; в иные государства — при наличии согласия субъекта, предусмотренного пунктом 8.4, либо по иным основаниям, установленным законом.

8.3. Оператор обеспечивает хранение базы персональных данных граждан Республики Казахстан на территории Республики Казахстан в объёме и порядке, предусмотренных законодательством Республики Казахстан. [ПОДТВЕРДИТЬ РАЗМЕЩЕНИЕ ОСНОВНОЙ БАЗЫ ПД НА СЕРВЕРАХ В РК И УКАЗАТЬ ПРОВАЙДЕРА]

8.4. Принимая настоящую Политику, субъект даёт прямое, информированное и осознанное согласие на трансграничную передачу своих персональных данных в объёме, необходимом для оказания услуг, включая передачу Провайдерам ИИ и провайдерам облачной инфраструктуры, в том числе в государства, не обеспечивающие эквивалентный уровень защиты. Субъект уведомлён о возможных рисках такой передачи и принимает их.

8.5. Согласие на трансграничную передачу может быть отозвано в порядке пункта 5.3; последствия отзыва определяются пунктом 5.4.

9. Сроки хранения

9.1. Персональные данные хранятся в течение срока действия договора и 30 (тридцати) календарных дней после его прекращения или удаления аккаунта, в течение которых субъект вправе запросить выгрузку данных или восстановление аккаунта.

9.2. По истечении указанного срока данные удаляются или обезличиваются, за исключением:

• бухгалтерских, налоговых и платёжных документов — в течение сроков, установленных законодательством Республики Казахстан;
• журналов безопасности и технических логов — до 12 месяцев;
• данных, необходимых для защиты прав Оператора в рамках спора, — до истечения срока исковой давности;
• резервных копий — до их автоматической ротации (не более 90 дней).

9.3. Обезличенные и агрегированные данные могут храниться бессрочно.

10. Меры защиты

10.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования и распространения, включая:

• шифрование данных при передаче (TLS) и криптографическую защиту хранимых аутентификационных данных;
• разграничение прав доступа и принцип минимально необходимых привилегий;
• ведение журналов доступа и действий;
• регулярное резервное копирование;
• обязательства о конфиденциальности для работников и подрядчиков;
• назначение лица, ответственного за организацию обработки персональных данных.

10.2. Ни одна система передачи и хранения данных не может гарантировать абсолютную безопасность. Оператор не несёт ответственности за последствия компрометации аутентификационных данных по вине субъекта, использования небезопасных устройств и сетей, а также за действия третьих лиц, получивших доступ к устройству субъекта.

11. Инциденты информационной безопасности

11.1. При выявлении факта неправомерного доступа к персональным данным Оператор проводит внутреннее расследование, принимает меры по устранению последствий и уведомляет уполномоченный орган в сфере защиты персональных данных в сроки, установленные законодательством Республики Казахстан.

11.2. Затронутые субъекты уведомляются без неоправданной задержки, если инцидент создаёт риск нарушения их прав и законных интересов.

12. Права субъекта персональных данных

12.1. Субъект вправе:

• знать о наличии у Оператора своих персональных данных и получать информацию об условиях доступа к ним;
• получать сведения о том, кто и на каком основании обрабатывает его данные;
• требовать изменения и дополнения данных при их недостоверности или неполноте;
• требовать блокирования данных при наличии сведений о нарушении условий обработки;
• требовать уничтожения данных, собранных или обрабатываемых с нарушением закона, а также при отзыве согласия;
• отзывать согласие на обработку и на трансграничную передачу;
• получить копию своих данных в структурированном машиночитаемом формате;
• отказаться от рекламных рассылок;
• обжаловать действия Оператора в уполномоченный орган или в суд.

12.2. Обращение направляется на [email protected] с адреса электронной почты, указанного при регистрации, либо иным способом, позволяющим идентифицировать субъекта. Оператор вправе запросить дополнительные сведения для подтверждения личности заявителя.

12.3. Срок рассмотрения обращения — 15 (пятнадцать) рабочих дней с даты получения, если законодательством не установлен иной срок.

12.4. В удовлетворении требования может быть отказано, если это противоречит законодательству либо нарушает права третьих лиц; отказ мотивируется.

13. Файлы cookie и аналогичные технологии

13.1. Сайт использует файлы cookie и аналогичные технологии (локальное хранилище, пиксели) для:

• строго необходимых функций — авторизация, сохранение сессии, безопасность, защита от мошенничества;
• функциональных — запоминание языка и настроек интерфейса;
• аналитических — измерение посещаемости и качества работы Сайта;
• маркетинговых — оценка эффективности рекламных кампаний (при наличии согласия).

13.2. Строго необходимые cookie устанавливаются без отдельного согласия, поскольку без них Сайт не может функционировать. Аналитические и маркетинговые cookie устанавливаются при получении согласия через баннер.

13.3. Субъект вправе в любой момент отключить cookie в настройках браузера. Это может привести к частичной или полной неработоспособности Платформы.

14. Ссылки на сторонние ресурсы

14.1. Сайт и Платформа могут содержать ссылки на сторонние ресурсы. Настоящая Политика на них не распространяется. Оператор не несёт ответственности за обработку данных такими ресурсами и рекомендует ознакомиться с их политиками самостоятельно.

15. Изменения Политики

15.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция размещается на Сайте с указанием даты и вступает в силу с момента размещения, если в ней не указан иной срок.

15.2. О существенных изменениях, затрагивающих объём обрабатываемых данных, цели обработки или условия трансграничной передачи, Оператор уведомляет пользователей по электронной почте либо через интерфейс Платформы.

15.3. Продолжение использования Платформы после вступления изменений в силу означает согласие с новой редакцией. При несогласии использование Платформы должно быть прекращено, а согласие — отозвано.

16. Контактная информация

Уполномоченный орган в сфере защиты персональных данных Республики Казахстан — Комитет по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан. [ПРОВЕРИТЬ АКТУАЛЬНОЕ НАИМЕНОВАНИЕ УПОЛНОМОЧЕННОГО ОРГАНА НА ДАТУ ПУБЛИКАЦИИ]