Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности (далее — «Политика») описывает порядок сбора, использования, хранения и защиты персональных данных пользователей мобильного приложения BalaSpace и сайта balaspace.app (далее — «Сервис»).

Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон 94-V»), а также применимыми нормативными актами и руководящими принципами App Store Review Guidelines.

Используя Сервис, Пользователь подтверждает, что ознакомился с настоящей Политикой и принимает её условия. Если Пользователь не согласен с какими-либо условиями — использование Сервиса невозможно.

2. Оператор персональных данных

Оператором персональных данных, ответственным за обработку, является:

• Наименование: ИП Байдуанов Ильяс
• ИИН/БИН: [уточняется при регистрации]
• Юридический адрес: Республика Казахстан, г. Алматы
• Контактный email для запросов по обработке персональных данных: privacy@balaspace.app
• Лицо, ответственное за организацию обработки персональных данных (в соответствии со статьёй 25 Закона 94-V): Ильяс Байдуанов.

3. Категории субъектов и обрабатываемых данных

Сервис обрабатывает данные трёх категорий субъектов: детей посещающих детский сад, их родителей (законных представителей) и сотрудников детского сада (директор, воспитатели).

3.1. Данные детей

• Фамилия, имя, отчество (при наличии);
• Дата рождения, пол;
• Фотография ребёнка (аватар, фото при заходе/уходе, фото-моменты дня);
• Сведения о состоянии здоровья: перечень аллергий, группа крови, медицинские примечания, добавляемые родителем или воспитателем (например, «не переносит лактозу»);
• Группа в детском саду, история посещаемости;
• Заметки о развитии, ежедневные отчёты (питание, сон, активность, настроение), фотографии моментов дня.

Данные ребёнка собираются и обрабатываются исключительно на основании согласия его законного представителя в соответствии со статьями 7 и 8 Закона 94-V. Ребёнок не регистрируется в Сервисе как самостоятельный пользователь.

3.2. Данные родителей (законных представителей)

• Фамилия, имя, отчество;
• Номер мобильного телефона;
• Email;
• Тип родства с ребёнком (мать / отец / опекун);
• Фотография профиля (по желанию);
• Идентификаторы push-уведомлений (Apple Push Notification service / Firebase Cloud Messaging), привязанные к устройству;
• Технические сведения: модель устройства, версия ОС, версия приложения, идентификатор сессии.

3.3. Данные сотрудников детского сада

• Фамилия, имя, отчество;
• Номер мобильного телефона, email;
• Должность в саду (директор / воспитатель);
• Фотография профиля (по желанию);
• Назначение в группу детей (для воспитателей);
• Идентификаторы push-уведомлений.

3.4. Данные о платежах

Сервис фиксирует факт оплаты ежемесячного взноса родителем за посещение ребёнка детским садом (статус «оплачено / не оплачено», сумма, период). Сами реквизиты банковских карт, реквизиты переводов и иные платёжные данные через Сервис не передаются и не хранятся: оплата осуществляется вне приложения через банковский перевод или наличными в кассу детского сада.

4. Цели обработки персональных данных

Персональные данные обрабатываются исключительно в следующих целях:

• Предоставление функциональности Сервиса: учёт посещаемости, фиксация заходов и уходов ребёнка, обмен фотографиями и ежедневными отчётами между воспитателем и родителем;
• Коммуникация между сотрудниками детского сада и родителями (чаты, объявления, push-уведомления);
• Обеспечение безопасности ребёнка — контроль перечня лиц, которым разрешено забирать ребёнка;
• Учёт оплат за услуги детского сада, формирование напоминаний родителям;
• Уведомление родителей и сотрудников о событиях детского сада (праздники, родительские собрания, опросы);
• Техническая поддержка и обеспечение работоспособности Сервиса, обнаружение и устранение ошибок;
• Выполнение обязательств Оператора, предусмотренных законодательством Республики Казахстан.

Сервис не использует персональные данные для таргетированной рекламы, профилирования в маркетинговых целях или продажи третьим лицам.

5. Правовые основания обработки

Обработка персональных данных осуществляется на основании:

• Согласия субъекта или его законного представителя, выражаемого в электронной форме при регистрации в приложении (отметка чек-бокса о принятии настоящей Политики и Условий использования) — в соответствии со статьёй 8 Закона 94-V;
• Договора между детским садом и Оператором Сервиса (в части обработки данных сотрудников и платёжной информации сада);
• Закона — в случаях, прямо предусмотренных законодательством Республики Казахстан.

6. Особенности обработки данных детей и медицинских сведений

Сведения о детях собираются исключительно в объёме, необходимом для оказания услуг по уходу за ребёнком в детском саду.

Сведения о состоянии здоровья ребёнка (аллергии, группа крови, медицинские примечания) относятся к данным с ограниченным доступом в значении пункта 1 статьи 11 Закона 94-V. Доступ к ним имеют:

• Законный представитель ребёнка;
• Сотрудники того детского сада, в который зачислен ребёнок (директор, назначенный группе воспитатель);
• Технический персонал Оператора — исключительно в целях устранения сбоев, при наличии явной необходимости и под ограниченным доступом.

Медицинские сведения не передаются рекламным сетям, страховым компаниям, иным детским садам и любым третьим лицам, кроме исключительных случаев, прямо предусмотренных законодательством (например, по запросу уполномоченного государственного органа в установленном порядке).

7. Хранение данных. Трансграничная передача

Персональные данные хранятся на серверах поставщика инфраструктуры Supabase Inc., размещённых в дата-центре Amazon Web Services в регионе «Европейский союз (Франкфурт-на-Майне, Федеративная Республика Германия)». Это означает, что персональные данные подлежат трансграничной передаче на территорию иностранного государства в значении статьи 16 Закона 94-V.

Федеративная Республика Германия как страна Европейского Союза обеспечивает надлежащий (адекватный) уровень защиты прав субъектов персональных данных на основании Общего регламента по защите данных Европейского Союза (Regulation (EU) 2016/679, GDPR), что соответствует требованиям статьи 16 Закона 94-V о допустимости трансграничной передачи на территорию государств, обеспечивающих адекватную защиту персональных данных.

Соглашаясь с настоящей Политикой, Пользователь предоставляет Оператору согласие на трансграничную передачу своих персональных данных и данных ребёнка в указанный регион Европейского Союза для целей, указанных в разделе 4.

Все каналы передачи данных между приложением и серверами защищены с использованием TLS-шифрования (версия 1.2 и выше). Данные на сервере хранятся в зашифрованном виде (encryption at rest). Доступ к серверам осуществляется только по криптографическим ключам, через многофакторную аутентификацию.

Оператор оставляет за собой право в течение срока действия настоящей Политики осуществить миграцию данных на серверы, расположенные на территории Республики Казахстан, о чём Пользователи будут уведомлены отдельно не позднее чем за 30 календарных дней до миграции.

8. Передача данных третьим лицам

Для функционирования Сервиса Оператор передаёт минимально необходимый объём персональных данных следующим обработчикам:

С каждым из обработчиков Оператор заключил соглашение, обязывающее обработчика обеспечить защиту персональных данных на уровне не ниже требований Закона 94-V.

Оператор не передаёт персональные данные рекламным сетям, маркетинговым партнёрам, иным третьим лицам в коммерческих целях. Оператор не продаёт персональные данные.

9. Сроки хранения и удаление данных

Персональные данные хранятся в течение срока, необходимого для достижения целей их обработки, либо в течение срока действия согласия Пользователя, либо до момента отзыва согласия Пользователем — в зависимости от того, какой срок наступит раньше.

Ориентировочные сроки хранения по категориям:

• Активные данные ребёнка (профиль, посещаемость, ежедневные отчёты): на протяжении периода посещения детского сада;
• Сведения о состоянии здоровья ребёнка: до момента исключения ребёнка из сада или до отзыва согласия родителем;
• Фотографии моментов дня: до 12 месяцев с даты создания, если иное не предусмотрено договором с детским садом;
• Учётные записи родителей: на протяжении срока пользования Сервисом плюс 90 дней после удаления связи с ребёнком;
• Учётные записи сотрудников: на протяжении срока трудовых отношений с детским садом;
• Сведения о платежах: 5 лет (требование налогового законодательства РК).

По запросу Пользователя данные удаляются в срок не более 15 календарных дней. Удаление осуществляется как из основной базы данных, так и из файлового хранилища (фотографии, документы), а также из связанных журналов изменений.

Удаление данных ребёнка осуществляется через приложение родителем (функция «Удалить ребёнка» в карточке ребёнка) либо через обращение на privacy@balaspace.app. Удаление каскадно затрагивает все связанные сущности: посещаемость, фото, заметки, чаты, заявки.

Удаление аккаунта пользователя (родителя или сотрудника) осуществляется через раздел «Профиль» → «Удалить аккаунт» непосредственно в мобильном приложении.

10. Права субъекта персональных данных

В соответствии со статьями 24 и 25 Закона 94-V Пользователь имеет право:

• Получать сведения о наличии у Оператора своих персональных данных (и данных ребёнка, представителем которого Пользователь является), а также сведения о целях, способах, сроках их обработки;
• Получать копии своих персональных данных безвозмездно;
• Требовать изменения, дополнения, блокирования или уничтожения данных, если они являются неполными, неактуальными, недостоверными, или собраны/обрабатываются с нарушением закона;
• Отозвать согласие на обработку персональных данных в любой момент;
• Обжаловать действия (бездействие) Оператора в уполномоченном государственном органе по защите персональных данных Республики Казахстан или в судебном порядке.

Запросы по любому из перечисленных прав направляются на email privacy@balaspace.app. Срок ответа Оператора — не более 15 календарных дней с момента получения запроса.

Отзыв согласия влечёт прекращение обработки данных и их удаление, кроме случаев, когда Оператор обязан хранить данные в силу закона (например, бухгалтерская отчётность по платежам).

11. Меры защиты данных

Оператор применяет правовые, организационные и технические меры для защиты персональных данных в соответствии со статьями 13–14 Закона 94-V:

• Шифрование канала передачи данных (HTTPS / TLS 1.2+);
• Шифрование хранения файлов и базы данных в инфраструктуре обработчика;
• Контроль доступа на основе ролей: родитель видит только данные своего ребёнка; воспитатель — только своей группы; директор — только своего детского сада; данные между садами не пересекаются;
• Хранение токенов аутентификации в защищённом хранилище устройства (Keychain на iOS, EncryptedSharedPreferences на Android);
• Журналирование критических действий (вход, удаление данных, изменение прав доступа);
• Регулярные аудиты безопасности кода и инфраструктуры.

12. Уведомление об инцидентах

В случае обнаружения утечки или иного инцидента, повлёкшего несанкционированный доступ к персональным данным, Оператор:

• Уведомляет уполномоченный государственный орган по защите персональных данных Республики Казахстан в течение 1 рабочего дня с момента обнаружения инцидента;
• Уведомляет затронутых субъектов (Пользователей) в течение 3–5 рабочих дней с момента обнаружения, с указанием характера инцидента, объёма затронутых данных, принимаемых мер по локализации и устранению последствий;
• Принимает меры по устранению причин инцидента и предотвращению повторения.

13. Согласие законного представителя ребёнка

Регистрация ребёнка в Сервисе осуществляется его законным представителем (родителем, опекуном). Регистрируя ребёнка, законный представитель:

• Подтверждает, что является законным представителем ребёнка и имеет полномочия по согласию на обработку его персональных данных;
• Даёт согласие на обработку персональных данных ребёнка в объёме и для целей, указанных в настоящей Политике;
• Даёт согласие на трансграничную передачу данных на условиях, указанных в разделе 7;
• Подтверждает, что предоставляет согласие на размещение фотографий ребёнка, которые публикует воспитатель в рамках ежедневных моментов дня, при условии что эти фотографии доступны только родителям детей этой группы и сотрудникам садика.

Согласие предоставляется в электронной форме посредством отметки чек-бокса в экране регистрации. Дата, время и идентификатор устройства, с которого было предоставлено согласие, фиксируются в системе и доступны для проверки.

Согласие может быть отозвано в любой момент через раздел «Профиль» → «Удалить ребёнка» либо через обращение на privacy@balaspace.app.

14. Cookies и аналогичные технологии

На сайте balaspace.app используются исключительно технические cookies, необходимые для корректного отображения сайта (хранение настроек темы, языка). Аналитические cookies, рекламные трекеры и иные сторонние идентификаторы не используются.

В мобильном приложении используются: токены аутентификации (хранятся локально на устройстве), идентификаторы push-токенов (передаются Apple / Google для доставки уведомлений), идентификатор сессии (для устранения сбоев). Иные трекеры в приложении отсутствуют.

15. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Существенные изменения публикуются на сайте balaspace.app/privacy за 30 календарных дней до вступления в силу. Дата «Последнего обновления» в начале документа отражает дату последней публикации редакции.

Если изменения существенно расширяют объём обрабатываемых данных или цели обработки, Оператор запрашивает повторное согласие Пользователей перед вступлением изменений в силу.

16. Контакты и обращения

По всем вопросам, связанным с обработкой персональных данных, реализацией прав субъекта, отзывом согласия или жалобами, просим обращаться:

• Email: privacy@balaspace.app
• Общий email Сервиса: hello@balaspace.app

В случае несогласия с действиями Оператора Пользователь вправе обратиться:

• В Министерство цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан (уполномоченный государственный орган в области защиты персональных данных);
• В судебные органы Республики Казахстан в порядке, установленном законодательством.