1Общие положения
1.1. Политика применяется при использовании сайта, мобильного приложения, Личных кабинетов, сервисов бронирования, SIP-телефонии, электронного подписания, государственных услуг, инвестиционного модуля и иных цифровых сервисов BASPANA HUB.
1.2. Политика распространяется на персональные данные физических лиц, включая Посетителей, Клиентов, Покупателей, Инвесторов, представителей Застройщиков, Эмитентов, Партнеров и иных лиц, взаимодействующих с Платформой.
1.3. В отношении персональных данных работников и контрагентов Оператора могут применяться отдельные внутренние документы и договорные условия.
1.4. Если конкретный Партнер самостоятельно определяет цели и способы обработки, он является самостоятельным собственником и/или оператором персональных данных. Его действия регулируются собственной политикой конфиденциальности и законодательством.
1.5. Использование общедоступного функционала подтверждает ознакомление с Политикой. Согласие на сбор и обработку предоставляется отдельно в случаях и форме, требуемых законодательством.
2Термины
2.1. Персональные данные – данные, в том числе биометрические, относящиеся к определенному или определяемому на их основании физическому лицу, зафиксированные на электронном, бумажном и/или ином материальном носителе.
2.2. Субъект – физическое лицо, к которому относятся персональные данные.
2.3. Сбор – действия, направленные на получение персональных данных.
2.4. Обработка – действия, направленные на накопление, хранение, изменение, дополнение, использование, передачу, распространение, обезличивание, блокирование и уничтожение персональных данных.
2.5. Оператор – Товарищество с ограниченной ответственностью «SmartTechnologies», осуществляющее сбор, обработку и защиту персональных данных в рамках Платформы.
2.6. Третье лицо – лицо, не являющееся Субъектом или Оператором, но связанное с ними обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных.
2.7. Биометрические данные – персональные данные, характеризующие физиологические и биологические особенности Субъекта, на основе которых можно установить его личность.
2.8. Обезличивание – действия, в результате которых определение принадлежности данных конкретному Субъекту становится невозможным.
2.9. Государственный сервис – сервис, обеспечивающий получение согласия и контроль доступа к персональным данным, содержащимся в цифровых объектах государственных органов и государственных юридических лиц.
2.10. Негосударственный сервис – сервис, позволяющий предоставить или отозвать согласие и получать уведомления о действиях с персональными данными вне взаимодействия с государственными цифровыми объектами.
2.11. Cookie – небольшой фрагмент данных, сохраняемый браузером или приложением для обеспечения функциональности, безопасности, аналитики и персонализации.
2.12. Нарушение безопасности персональных данных – нарушение защиты, повлекшее незаконное распространение, изменение, уничтожение, несанкционированный доступ или иное неправомерное действие с персональными данными.
3Нормативная основа и принципы
3.1. Обработка осуществляется в соответствии с Конституцией Республики Казахстан, Цифровым кодексом Республики Казахстан, Законом Республики Казахстан «О персональных данных и их защите», Законом Республики Казахстан «Об онлайн-платформах и онлайн-рекламе», законодательством о защите прав потребителей, противодействии легализации доходов, государственных услугах, связи и иными применимыми нормативными правовыми актами.
3.2. Оператор руководствуется принципами законности, конфиденциальности, прозрачности, минимизации данных, ограничения обработки конкретными целями, точности, ограничения срока хранения, безопасности и подконтрольности обработки Субъекту в пределах законодательства.
3.3. Оператор не собирает данные, содержание и объем которых избыточны по отношению к заявленным целям. При изменении цели Оператор получает новое согласие, если иное основание не предусмотрено законом.
3.4. По возможности используется получение цифровых сведений из источников эталонных данных вместо требования бумажных копий документов.
4Категории субъектов
4.1. Оператор может обрабатывать данные следующих категорий Субъектов:
1) Посетители Платформы;
2) зарегистрированные Клиенты и Покупатели;
3) Инвесторы и лица, проходящие инвестиционную идентификацию;
4) представители, работники и бенефициарные собственники Застройщиков, Эмитентов, SPV и иных проектных организаций;
5) представители банков, платежных организаций, операторов связи, поставщиков государственных и профессиональных услуг;
6) лица, указанные Пользователем в документах, сообщениях или запросах, включая супругов, созаемщиков, доверителей, выгодоприобретателей и иных участников сделки;
7) лица, обращающиеся в службу поддержки, участвующие в телефонных разговорах или направляющие претензии.
5Категории обрабатываемых данных
5.1Идентификационные и контактные данные
5.1.1. Фамилия, имя, отчество, ИИН, дата и место рождения, гражданство, пол, сведения документа, удостоверяющего личность, фотография, номер телефона, адрес электронной почты, адрес проживания и регистрации.
5.1.2. Данные электронной цифровой подписи, сертификата открытого ключа, сведения о полномочиях и результатах проверки электронной подписи. Закрытый ключ электронной цифровой подписи Оператором не запрашивается и не хранится.
5.1.3. Идентификаторы учетной записи, сведения о способе регистрации, одноразовых кодах, статусах верификации и связанных ролях.
5.2Данные о недвижимости и сделках
5.2.1. Сведения о зарегистрированных правах, обременениях, объектах недвижимости, земельных участках, выбранных помещениях, бронировании, цене, площади, скидках и условиях приобретения.
5.2.2. Содержание заявлений, договоров, приложений, согласий, доверенностей, подтверждений бронирования, платежных документов и иных материалов сделки.
5.2.3. Сведения о семейном положении, супруге, созаемщиках, представителях и иных участниках, если они необходимы для конкретной сделки или государственной услуги.
5.3Данные Застройщиков, Эмитентов и представителей
5.3.1. Должность, место работы, корпоративные контакты, сведения о доверенности и праве подписи.
5.3.2. Сведения об учредителях, участниках, руководителях, бенефициарных собственниках, деловой репутации, судебных спорах, санкционных и иных проверках, если это необходимо для due diligence, KYC/AML и оценки проекта.
5.3.3. Документы и сведения о проекте строительства, финансовой модели, источниках финансирования, земельном участке, разрешениях, залогах и иных рисках, в части содержащихся в них персональных данных.
5.4Платежные и финансовые данные
5.4.1. Сведения о сумме, назначении, времени, статусе платежа, банке или платежной организации, частично маскированных реквизитах платежного средства, возвратах и оспариваниях.
5.4.2. Полные реквизиты банковской карты обычно вводятся в защищенном интерфейсе платежного Партнера и не передаются Оператору. Если техническая модель изменится, Пользователю будет предоставлена обновленная информация до начала обработки.
5.4.3. Для инвестиционного модуля могут обрабатываться сведения об источнике средств, доходах, инвестиционном опыте, налоговом резидентстве, статусе публичного должностного лица, рисковом профиле и результатах проверок.
5.5Биометрические и специальные данные
5.5.1. При использовании биометрической идентификации могут обрабатываться изображение лица, видео, признаки живости и технический результат сопоставления. Объем данных зависит от выбранного поставщика идентификации.
5.5.2. Оператор не использует биометрические данные для иных целей без отдельного законного основания.
5.5.3. Сведения о здоровье, религиозных убеждениях, национальности и иные чувствительные сведения специально не запрашиваются, если они не требуются законом или конкретной юридически значимой процедурой.
5.6Коммуникационные данные
5.6.1. Сообщения, заявки, обращения, отзывы, история взаимодействия, аудиозаписи телефонных разговоров, дата, время, продолжительность и маршрут звонка.
5.6.2. Сведения службы поддержки, включая приложенные документы, описание проблемы и результат рассмотрения.
5.7Технические и поведенческие данные
5.7.1. IP-адрес, тип и идентификаторы устройства, операционная система, браузер, язык, часовой пояс, геолокация при наличии разрешения, дата и время входа, история просмотров, поисковые запросы, действия в интерфейсе, диагностические журналы, сведения о сбоях и безопасности.
5.7.2. Cookie, рекламные идентификаторы и аналитические события в объеме, разрешенном настройками Пользователя и законодательством.
6Источники и способы получения данных
6.1. Данные могут поступать:
1) непосредственно от Субъекта при регистрации, заполнении формы, звонке, переписке, загрузке документа, оплате, подписании или обращении;
2) от Застройщика, Эмитента, работодателя, доверителя или иного Пользователя, указавшего Субъекта в рамках сделки;
3) из государственных цифровых ресурсов и национальных регистров с использованием государственного сервиса и согласия Субъекта;
4) от банков, платежных организаций, операторов связи, поставщиков идентификации, KYC/AML и иных Партнеров;
5) из общедоступных источников при наличии законного основания и с соблюдением запрета на нецелевое формирование баз данных;
6) автоматически при использовании Платформы посредством журналов событий, cookie, SDK и средств информационной безопасности.
6.2. При получении данных от третьего лица Оператор вправе запросить подтверждение законного основания их предоставления и уведомить Субъекта в случаях, предусмотренных законодательством.
7Цели обработки
7.1. Оператор обрабатывает данные для следующих целей:
1) регистрация, идентификация, аутентификация и управление Личным кабинетом;
2) предоставление поиска, рекомендаций, избранного, сравнения и иных функций маркетплейса недвижимости;
3) создание и ведение Карточек объектов, интеграция Шахматок, обработка заявок и взаимодействие с Застройщиками;
4) организация SIP-телефонии, обратного звонка, записи и контроля качества коммуникаций;
5) оформление, подтверждение, изменение и прекращение бронирования, проведение и возврат платежей;
6) формирование, подписание, проверка, передача и хранение электронных документов;
7) получение цифровых сведений и предоставление государственных и связанных услуг;
8) проведение due diligence Застройщика, Эмитента, SPV, проекта и инвестиционного предложения;
9) KYC/AML, санкционные проверки, установление бенефициарных собственников, оценка инвестиционной пригодности и соблюдение ограничений;
10) учет выпуска, приобретения, обращения, конвертации, погашения и иных операций с токенами в соответствии со специальными правилами;
11) предотвращение мошенничества, злоупотреблений, несанкционированного доступа и иных инцидентов;
12) рассмотрение обращений, претензий и споров, защита прав и законных интересов Оператора и Пользователей;
13) исполнение требований законодательства, судебных актов и законных запросов государственных органов;
14) анализ использования, улучшение качества, разработка новых сервисов и проведение обезличенной аналитики;
15) направление сервисных уведомлений и, при наличии основания, маркетинговых предложений.
8Правовые основания и согласие
8.1. Обработка осуществляется на основании согласия Субъекта, необходимости исполнения договора или совершения действий по его запросу, требований законодательства, законного интереса Оператора при соблюдении прав Субъекта и иных предусмотренных законом оснований.
8.2. Согласие может предоставляться письменно, посредством государственного или негосударственного сервиса, электронной цифровой подписи, одноразового кода, проставления отметки в интерфейсе либо иным способом, позволяющим подтвердить факт его получения.
8.3. Согласие содержит предусмотренные законодательством сведения, включая данные Оператора, Субъекта, перечень данных, цели, срок или период действия, сведения о передаче третьим лицам и наличии трансграничной передачи, если применимо.
8.4. При получении персональных данных из цифровых объектов государственных органов или государственных юридических лиц согласие предоставляется через государственный сервис. Оператор не заменяет и не обходит установленный механизм согласия.
8.5. Для биометрии, маркетинга, передачи данных конкретному Застройщику, инвестиционной проверки и иных самостоятельных целей могут использоваться отдельные согласия.
8.6. Отзыв согласия не влияет на законность обработки, осуществленной до отзыва, и может быть ограничен при наличии неисполненного обязательства или иного предусмотренного законом основания для продолжения обработки.
9Государственные цифровые сведения и электронные документы
9.1. Для получения государственных и иных услуг Платформа может направлять запросы к национальным регистрам и государственным цифровым ресурсам только в пределах выбранного Пользователем сервиса и предоставленного согласия.
9.2. Пользователю до подтверждения запроса показываются цель, состав запрашиваемых сведений и получатель, если это предусмотрено государственным сервисом и технической интеграцией.
9.3. Электронные документы и данные электронной цифровой подписи хранятся в объеме, необходимом для подтверждения юридически значимого действия. Оператор не имеет доступа к закрытому ключу Пользователя.
9.4. Оператор может сохранять результат проверки подписи, сертификат открытого ключа, отметку времени и подписанный документ для исполнения договора и защиты прав сторон.
10Биометрия, KYC/AML и автоматизированные проверки
10.1. Биометрическая идентификация применяется для подтверждения личности, предотвращения подмены и исполнения требований конкретного сервиса.
10.2. Обработка может осуществляться специализированным Партнером, который возвращает Оператору результат проверки, идентификатор сессии и иные минимально необходимые сведения.
10.3. В инвестиционном модуле применяются проверки личности, бенефициарных собственников, санкционных списков, публичных должностных лиц, источника средств и иных факторов риска.
10.4. Автоматизированный результат может повлечь дополнительную проверку, ограничение операции или запрос документов. Пользователь вправе обратиться за разъяснением и пересмотром в случаях, предусмотренных законодательством и правилами сервиса.
10.5. Оператор стремится не принимать решений, существенно затрагивающих права Пользователя, исключительно на основании непрозрачного автоматизированного процесса без возможности человеческого контроля.
11SIP-телефония и запись разговоров
11.1. При звонке через Платформу могут обрабатываться номер вызывающего и вызываемого абонента, технические данные соединения и аудиозапись разговора.
11.2. Запись осуществляется после уведомления и используется для подтверждения заявки, контроля качества, предотвращения мошенничества, обучения работников, разрешения споров и исполнения требований законодательства.
11.3. Доступ к записям ограничивается уполномоченными лицами Оператора и соответствующего Застройщика в объеме, необходимом для заявленной цели.
11.4. Запись не публикуется и не используется для рекламы без отдельного согласия.
12Cookie и аналитика
12.1. Платформа использует обязательные cookie для авторизации, безопасности, сохранения настроек и работы основных функций.
12.2. Аналитические и маркетинговые cookie применяются в соответствии с настройками согласия и помогают оценивать использование, эффективность интерфейса и рекламных кампаний.
12.3. Пользователь может ограничить необязательные cookie через настройки Платформы или браузера. Отключение обязательных cookie может сделать отдельные функции недоступными.
12.4. Оператор вправе использовать обезличенные и агрегированные данные для статистики, анализа рынка и развития продуктов, если по ним невозможно определить конкретного Субъекта.
13Передача данных третьим лицам
13.1. Оператор передает данные только в объеме, необходимом для соответствующей цели, следующим категориям получателей:
1) Застройщикам и их уполномоченным представителям – для обработки заявки, бронирования и заключения сделки;
2) Эмитентам, SPV, управляющим, банкам, кастодианам и иным участникам инвестиционной структуры – для проверки и исполнения инвестиционной операции;
3) банкам и платежным организациям – для проведения платежа, возврата, эскроу и противодействия мошенничеству;
4) операторам связи и поставщикам SIP-телефонии – для установления соединения и записи разговора;
5) поставщикам электронной подписи, биометрической идентификации, KYC/AML, санкционного и антифрод-скрининга;
6) государственным органам, государственным юридическим лицам, нотариусам, регистраторам и иным уполномоченным субъектам – для получения услуг и исполнения закона;
7) хостинг-провайдерам, центрам обработки данных, разработчикам, службам поддержки и иным техническим подрядчикам;
8) аудиторам, юристам, оценщикам, техническим консультантам и страховщикам при условии конфиденциальности;
9) правопреемнику при реорганизации, продаже бизнеса или передаче соответствующего сервиса с соблюдением требований законодательства.
13.2. Передача осуществляется на основании согласия, договора, требования законодательства или иного законного основания.
13.3. Партнеры обязуются соблюдать конфиденциальность, использовать данные только для согласованной цели и применять меры защиты. Самостоятельные операторы отвечают за собственную обработку в соответствии с законом.
13.4. Оператор не продает персональные данные как самостоятельный товар и не предоставляет рекламодателям прямой доступ к идентифицирующим данным без законного основания.
14Трансграничная передача и локализация
14.1. Накопление и хранение персональных данных осуществляются в базе, находящейся на территории Республики Казахстан, в соответствии с законодательством РК.
14.2. Трансграничная передача допускается в случаях и порядке, предусмотренных законодательством, при наличии необходимого согласия и достаточного уровня защиты либо иного законного основания.
14.3. Использование зарубежных программных компонентов, сетей доставки контента, аналитики или технической поддержки не должно приводить к неправомерному переносу основной базы персональных данных за пределы Республики Казахстан.
14.4. До начала существенной трансграничной обработки Оператор информирует Субъекта в составе согласия или условий соответствующего сервиса.
15Общедоступные данные и контент
15.1. Сведения в Карточке объекта, профиль Застройщика, публичный отзыв и иной выбранный Пользователем Контент могут быть доступны неопределенному кругу лиц.
15.2. Оператор минимизирует публикацию персональных контактов и вправе использовать виртуальные номера, формы связи и иные способы скрытия данных.
15.3. Размещение персональных данных третьих лиц допускается только при наличии их согласия или иного законного основания.
15.4. Субъект вправе отозвать согласие на распространение общедоступных данных, если сохранение публикации не требуется законом или исполнением обязательства.
16Защита и конфиденциальность
16.1. Оператор применяет правовые, организационные и технические меры, включая:
1) разграничение прав доступа и применение принципа минимально необходимых полномочий;
2) шифрование каналов передачи, защита учетных данных и многофакторная аутентификация;
3) журналирование действий, мониторинг аномалий и антифрод-контроль;
4) резервное копирование, управление уязвимостями и тестирование защищенности;
5) договорные обязательства о конфиденциальности для работников и подрядчиков;
6) процедуры реагирования на инциденты, восстановления и уведомления в случаях, предусмотренных законом;
7) периодический пересмотр рисков, политик доступа и перечня обрабатываемых данных.
16.2. Несмотря на принимаемые меры, ни одна цифровая система не может гарантировать абсолютную безопасность. Пользователь также обязан защищать устройство, учетную запись, одноразовые коды и ключи электронной цифровой подписи.
16.3. При подозрении на нарушение безопасности Пользователь должен незамедлительно изменить учетные данные и сообщить Оператору.
16.4. При подтвержденном инциденте Оператор принимает меры по локализации, оценке последствий, устранению причин и уведомлению уполномоченных органов и Субъектов, если такое уведомление требуется законодательством.
17Сроки хранения
17.1. Данные хранятся не дольше, чем необходимо для достижения целей обработки, исполнения договора, соблюдения обязательных сроков хранения и защиты прав сторон.
17.2. Данные учетной записи хранятся в период ее использования и после прекращения – в течение срока, необходимого для завершения обязательств и разрешения возможных требований.
17.3. Документы и журналы юридически значимых операций хранятся в сроки, установленные законодательством и соответствующими правилами документооборота.
17.4. Записи звонков и переписка хранятся в течение срока, установленного внутренним регламентом с учетом цели записи, срока исковой давности и обязательных требований.
17.5. Инвестиционные, платежные и KYC/AML-данные хранятся в сроки, установленные законодательством о финансовом мониторинге, цифровых активах и условиями специального режима.
17.6. По истечении срока данные уничтожаются или обезличиваются, если дальнейшее хранение не требуется законом.
18Права субъекта
18.1. Субъект вправе:
1) знать о наличии у Оператора своих персональных данных и получать сведения о целях, источниках, способах, перечне и сроках обработки;
2) требовать изменения и дополнения неточных или неполных данных;
3) требовать блокирования или уничтожения данных, собранных и обработанных с нарушением законодательства, при наличии оснований;
4) предоставлять и отзывать согласие в установленном порядке;
5) давать согласие или отказывать в распространении данных в общедоступных источниках;
6) отказываться от маркетинговых сообщений;
7) получать копию подписанного электронного документа и доступные сведения о действиях с данными;
8) обжаловать действия Оператора в уполномоченный орган или суд и требовать возмещения вреда в предусмотренных законом случаях.
18.2. Для реализации права Оператор вправе провести идентификацию заявителя и запросить сведения, достаточные для предотвращения раскрытия данных постороннему лицу.
18.3. Ответ предоставляется в порядке и сроки, установленные законодательством. Требование может быть отклонено полностью или частично при наличии законного основания, о чем Субъекту направляется мотивированное разъяснение.
19Отзыв согласия и удаление учетной записи
19.1. Субъект может отозвать согласие через государственный или негосударственный сервис, настройки Платформы либо путем обращения Оператору, в зависимости от способа его предоставления.
19.2. Отзыв может сделать недоступными функции, для которых обработка необходима. Оператор заранее информирует о соответствующих последствиях, если это возможно.
19.3. Удаление Личного кабинета не влечет автоматического уничтожения данных о завершенных сделках, платежах, электронной подписи, KYC/AML и иных операциях, подлежащих обязательному хранению.
19.4. При наличии неисполненного обязательства или спора обработка продолжается в минимально необходимом объеме до его завершения и истечения обязательного срока хранения.
20Данные несовершеннолетних
20.1. Платформа не предназначена для самостоятельного совершения несовершеннолетними сделок, бронирований и инвестиций, требующих полной дееспособности.
20.2. Если обработка данных несовершеннолетнего необходима для сделки, она осуществляется с участием законного представителя и в порядке, установленном законодательством.
20.3. При выявлении учетной записи, созданной лицом без необходимой дееспособности, Оператор вправе ограничить доступ и запросить подтверждение полномочий законного представителя.
21Изменение политики
21.1. Оператор вправе изменять Политику в связи с развитием Платформы, внедрением новых сервисов, изменением законодательства и требований безопасности.
21.2. Действующая редакция публикуется на Платформе с указанием даты. О существенных изменениях зарегистрированные Пользователи уведомляются через Личный кабинет или иной доступный канал.
21.3. Если изменение требует нового согласия, соответствующая обработка не начинается до получения такого согласия, если иное не предусмотрено законом.
22Обращения по вопросам персональных данных
22.1. Обращение может быть направлено через форму обратной связи или Личный кабинет BASPANA HUB, по почтовому адресу Оператора либо по контактному телефону.
22.2. В обращении рекомендуется указать ФИО, ИИН или иной идентификатор учетной записи, контакт для ответа, содержание требования и подтверждающие документы.
22.3. Оператор вправе запросить дополнительную идентификацию, если это необходимо для защиты данных от неправомерного раскрытия.
22.4. Ответственным каналом для обращений является форма обратной связи и Личный кабинет BASPANA HUB. До публикации Политики рекомендуется дополнительно указать отдельный адрес электронной почты для вопросов по персональным данным.