Политика конфиденциальности и обработки персональных данных (сервис Mirum)
Действует с даты публикации на сайте https://mirum.kz.
1. Общие положения#
1.1. Настоящая Политика определяет порядок сбора, обработки, хранения и защиты персональных данных пользователей интернет-сервиса Mirum (сайт https://mirum.kz и его поддомены, включая https://cabinet.mirum.kz; далее — «Сервис») Товариществом с ограниченной ответственностью «SMG Education» (далее — «Оператор», «мы»).
1.2. Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон»), Правилами защиты персональных данных и иными актами законодательства Республики Казахстан.
1.3. Используя Сервис, регистрируя аккаунт и оформляя заказы, пользователь подтверждает, что ознакомлен с Политикой. Согласие на сбор и обработку персональных данных даётся отдельно в форме, описанной в разделе 5.
1.4. Термины «персональные данные», «субъект», «собственник», «оператор», «сбор», «обработка», «обезличивание», «трансграничная передача» используются в значениях, установленных Законом.
2. Оператор#
Собственник и оператор базы персональных данных Сервиса:
Товарищество с ограниченной ответственностью «SMG Education», БИН 151240018587.
Юридический адрес: Республика Казахстан, г. Астана, ул. Толе би, 55.
Адрес для обращений (офис): Республика Казахстан, г. Астана, пр. Улы Дала, 41/4, офис 5.
Телефон / WhatsApp: +7 (707) 062-02-62. E-mail по вопросам персональных данных: support@mirum.kz.
Лицо, ответственное за организацию обработки персональных данных, назначается Оператором; обращения по персональным данным — support@mirum.kz.
3. Какие данные мы собираем и зачем#
| Категория | Состав данных | Цель | Основание | Срок хранения |
|---|---|---|---|---|
| Данные аккаунта | номер мобильного телефона; имя; пароль (хранится только в виде хеша); язык интерфейса; e-mail (если указан) | регистрация и вход, подтверждение кодом, связь по заказам и поддержка | согласие; исполнение договора (оферты) | пока существует аккаунт, затем 3 года (срок исковой давности), если иной срок не установлен законом |
| Данные учащегося | имя (отображаемое), класс, язык прохождения, дата рождения (необязательно); связь с аккаунтом родителя | формирование тестов по возрасту и классу, отчёты, история результатов | согласие родителя (законного представителя) | как у данных аккаунта |
| Результаты тестирования | ответы на задания, время выполнения, баллы, отчёты (по предметам, темам, навыкам), рекомендации, история попыток | оказание услуги: проверка, отчёт, динамика результатов | исполнение договора; согласие | как у данных аккаунта |
| Данные заказов и платежей | номер и состав заказа, сумма, статус; способ оплаты; идентификатор платежа у платёжного сервиса; последние 4 цифры номера карты и платёжная система, если переданы платёжным сервисом; редакция принятой оферты и дата | оформление и исполнение заказов, возвраты, бухгалтерский и налоговый учёт, разрешение споров | исполнение договора; обязанности по законодательству о бухгалтерском учёте и налогам | не менее 5 лет с даты заказа |
| Согласия | вид и редакция принятого документа, дата и время принятия, источник (регистрация или заказ) | подтверждение факта и условий согласия | обязанность оператора доказать получение согласия | как у данных аккаунта |
| Технические данные | IP-адрес, сведения об устройстве и браузере, время запросов, идентификаторы сессии, журналы ошибок и безопасности, ограничение частоты запросов | работа и безопасность Сервиса, защита от мошенничества и злоупотреблений, устранение ошибок | законные интересы оператора в обеспечении безопасности; согласие | журналы запросов — до 90 дней; журналы безопасности (вход, смена пароля) — до 1 года; записи о заказах и платежах — в течение сроков, установленных законодательством Республики Казахстан о бухгалтерском учёте |
| Обращения в поддержку | содержание переписки в WhatsApp, по телефону и e-mail; номер телефона; вложения | ответы на обращения, претензии, возвраты | исполнение договора; согласие | 3 года с даты обращения |
Полные данные банковских карт (номер, срок, CVC) Оператор не собирает и не хранит: их вводит пользователь на защищённой странице платёжного сервиса (ТОО «Payment Processing», сервис ioka) или в приложении Kaspi.kz.
Специальные (чувствительные) персональные данные — о здоровье, национальной принадлежности, политических и религиозных убеждениях и т. п. — Оператор не запрашивает и просит их не указывать. Биометрические данные не обрабатываются.
4. Данные несовершеннолетних#
4.1. Сервис предназначен для диагностики знаний школьников. Аккаунт регистрирует совершеннолетний пользователь — родитель (законный представитель) учащегося либо сам учащийся, если ему исполнилось 18 лет.
4.2. Персональные данные несовершеннолетнего учащегося (имя, класс, язык, дата рождения, результаты тестов) вносит в Сервис и даёт согласие на их обработку его родитель (законный представитель) в соответствии со статьёй 7 Закона. Регистрируя аккаунт и создавая профиль учащегося, пользователь подтверждает, что является его родителем (законным представителем).
4.3. В профиле учащегося достаточно имени; Оператор не требует указывать фамилию, отчество, ИИН, школу или адрес ребёнка.
5. Согласие и его отзыв#
5.1. Согласие на сбор и обработку персональных данных даётся при регистрации отметкой в поле «Я подтверждаю, что мне исполнилось 18 лет, и даю согласие на обработку персональных данных…» (текст согласия размещён на странице «Согласие на обработку персональных данных»). Факт, дата, время, редакция текста и источник согласия сохраняются в Сервисе (статья 8 Закона).
5.2. Согласие даётся на срок действия аккаунта и достижения целей обработки, указанных в разделе 3, а в части данных, хранение которых обязательно по закону, — на установленный законом срок.
5.3. Согласие на получение рекламных и информационных рассылок даётся отдельной необязательной отметкой и может быть отозвано в любой момент — ответом на сообщение рассылки или обращением к Оператору по контактам раздела 2.
5.4. Отзыв согласия: обращение по контактам раздела 2 с номера телефона аккаунта или с подтверждением доступа к аккаунту кодом. В течение 15 рабочих дней Оператор прекращает обработку и удаляет данные, кроме тех, хранение которых обязательно по законодательству (данные заказов и платежей — раздел 3), либо направляет мотивированный отказ. После отзыва согласия использование Сервиса невозможно, неиспользованные попытки возвращаются по правилам оферты.
6. Кому передаются данные#
Оператор передаёт персональные данные только в объёме, необходимом для указанной цели:
| Получатель | Какие данные | Цель | Место обработки |
|---|---|---|---|
| АО «Kaspi Bank» (Республика Казахстан) | номер заказа, сумма, идентификатор платежа; плательщика идентифицирует сам банк в приложении Kaspi.kz | приём оплаты, возвраты | Республика Казахстан |
| ТОО «Payment Processing» (платёжный сервис ioka, Республика Казахстан) | номер и сумма заказа, идентификаторы платежа; данные карты вводятся пользователем на стороне сервиса | приём оплаты картами, Apple Pay и Google Pay, возвраты | Республика Казахстан; данные карт обрабатываются платёжными системами по их правилам |
| Meta Platforms Ireland Ltd. / Meta Platforms, Inc. (сервис WhatsApp Business Platform) | номер мобильного телефона и текст сообщения с кодом подтверждения | доставка кодов подтверждения при регистрации, смене пароля и подтверждении контакта, служебные уведомления | за пределами Республики Казахстан (ЕС, США) — трансграничная передача, раздел 7 |
| Поставщик услуг хостинга: DigitalOcean, LLC (США) — размещение серверов Сервиса и резервных копий до завершения переноса в центр обработки данных на территории Республики Казахстан | все данные Сервиса в составе базы данных и резервных копий (доступ ограничен технически) | размещение и техническое обслуживание Сервиса | за пределами Республики Казахстан до завершения переноса (пункт 8.1) |
| Оператор фискальных данных (при формировании фискальных чеков) | сумма, наименование услуги, номер телефона или e-mail для направления чека (если требуется) | выдача фискальных чеков по законодательству о ККМ | Республика Казахстан |
| Государственные органы | по их законному требованию | исполнение требований законодательства | Республика Казахстан |
Иным лицам персональные данные не передаются и не продаются. Оператор не размещает на Сервисе рекламные трекеры и сторонние системы аналитики, собирающие персональные данные.
7. Трансграничная передача#
7.1. Для доставки кодов подтверждения через WhatsApp номер телефона пользователя передаётся оператору сервиса WhatsApp Business Platform (Meta Platforms), серверы которого расположены за пределами Республики Казахстан. Передача осуществляется по защищённому каналу, только в объёме, необходимом для доставки сообщения, и на основании согласия пользователя (статья 16 Закона), которое включено в текст согласия при регистрации.
7.2. Иные персональные данные (результаты тестов, данные учащегося, заказы) за пределы Республики Казахстан не передаются, кроме размещения серверов Сервиса за пределами Республики Казахстан до переноса (пункт 8.1).
7.3. Пользователь, не желающий передавать номер телефона сервису WhatsApp, может зарегистрироваться по адресу электронной почты, если этот способ предусмотрен в форме регистрации, — тогда коды подтверждения приходят на e-mail.
8. Хранение и локализация данных#
8.1. До завершения переноса серверы Сервиса, база персональных данных и её резервные копии размещены у DigitalOcean, LLC (США). Перенос в центр обработки данных на территории Республики Казахстан запланирован на ближайшее время; после переноса публикуется редакция 1.1 настоящей Политики с указанием провайдера и города.
8.2. Доступ к базе данных имеют только уполномоченные работники и подрядчики Оператора в объёме, необходимом для выполнения их обязанностей, на основании обязательств о конфиденциальности.
8.3. Персональные данные хранятся в течение сроков, указанных в разделе 3, после чего удаляются или обезличиваются. Резервные копии хранятся не дольше 6 месяцев (ежедневные — 7 дней, еженедельные — 4 недели, ежемесячные — 6 месяцев) и затем удаляются.
9. Права пользователя#
Пользователь (субъект персональных данных, законный представитель несовершеннолетнего) вправе:
- знать, какие его данные обрабатываются, и получить их копию;
- требовать исправления неточных или неполных данных (имя и язык интерфейса можно изменить в профиле аккаунта самостоятельно, язык теста выбирается перед каждой попыткой);
- требовать блокирования данных на время рассмотрения обращения и удаления данных, обрабатываемых с нарушением;
- отозвать согласие (раздел 5) и удалить аккаунт;
- отказаться от рассылок;
- обжаловать действия Оператора в уполномоченный орган в сфере защиты персональных данных или в суд.
Обращение направляется по контактам раздела 2. Для защиты данных Оператор подтверждает личность заявителя кодом на номер телефона аккаунта. Срок ответа — не позднее 15 рабочих дней с даты получения обращения, если законом не установлен иной срок.
10. Защита данных#
Оператор применяет организационные и технические меры, в том числе:
- передача данных только по защищённому протоколу HTTPS (TLS);
- хранение паролей и кодов подтверждения только в виде криптографических хешей; ограничение числа попыток ввода кода и пароля;
- разграничение прав доступа работников и подрядчиков, журналирование действий с данными;
- ограничение частоты запросов и защита от автоматизированных атак;
- регулярное резервное копирование и контроль целостности данных;
- учёт бизнес-процессов обработки, назначение ответственного за обработку, внутренние правила работы с данными;
- уведомление уполномоченного органа и пользователей о нарушении безопасности персональных данных в сроки и порядке, установленных Правилами защиты персональных данных.
Оператор не собирает и не хранит полные данные банковских карт; оплата картами проходит на стороне платёжного сервиса, сертифицированного по стандарту PCI DSS, с подтверждением по технологии 3-D Secure.
11. Файлы cookie и локальное хранилище#
11.1. Сервис использует только технически необходимые cookie и хранилище браузера: cookie — выбранный язык и ключ корзины гостя (до 30 дней); локальное хранилище — ключ входа в аккаунт (удаляется при выходе) и выбранный язык; хранилище вкладки (очищается при её закрытии) — данные подтверждения кода, ключи защиты от повторной отправки заказа и оплаты, номер текущего вопроса теста. Без них Сервис не работает, поэтому отдельное согласие на них не запрашивается; их можно удалить в настройках браузера.
11.2. Сторонние рекламные и аналитические cookie не используются.
12. Изменения Политики#
Оператор вправе изменять Политику. Новая редакция публикуется на сайте с указанием номера редакции и даты; существенные изменения дополнительно доводятся до пользователей уведомлением в Сервисе. Обработка данных, собранных до изменения, продолжается на условиях согласия, действовавшего на момент их сбора, если новая редакция не улучшает положение пользователя.
13. Контакты#
По вопросам персональных данных: ТОО «SMG Education», г. Астана, пр. Улы Дала, 41/4, офис 5; телефон / WhatsApp +7 (707) 062-02-62; e-mail support@mirum.kz.