Политика конфиденциальности

Версия 1.0 · действует с 15 сентября 2026 г.

Настоящая Политика описывает, как платформа qoima (далее — «Платформа», «мы») собирает, использует, хранит и защищает персональные данные, а также какие права есть у лиц, чьи данные обрабатываются. Политика составлена в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон»).

1. Оператор и контакты

Оператор Платформы — ИП Techstep, Республика Казахстан (далее — «Оператор»). По любым вопросам, связанным с обработкой персональных данных, включая запросы на доступ, исправление, удаление или отзыв согласия, пишите на[email protected]. Мы отвечаем в срок, установленный Законом.

2. Кто чьи данные обрабатывает

qoima — сервис для бизнеса (B2B). В нём участвуют три стороны, и их роли различаются:

Компания-клиент — бизнес, зарегистрировавший аккаунт в qoima. В отношении данных своих сотрудников и покупателей компания-клиент является собственником и/или оператором этих данных и самостоятельно определяет цели их обработки.
Оператор Платформы (мы) — обрабатываем данные компании-клиента и её пользователей для предоставления сервиса, а данные покупателей компании-клиента — по её поручению и в её интересах, как третье лицо в понимании Закона.
Покупатели компании-клиента — люди, чьи контакты и заказы компания-клиент вносит в Платформу или которые пишут ей в WhatsApp. Если вы покупатель и у вас есть вопрос о ваших данных, обращайтесь к компании, с которой вы взаимодействовали; мы содействуем ей в исполнении вашего запроса.

3. Какие данные мы обрабатываем

Данные аккаунтов пользователей: имя, адрес электронной почты, номер телефона, роль в компании, хэш пароля (пароли в открытом виде не хранятся), настройки двухфакторной аутентификации (секрет хранится в зашифрованном виде), журнал действий в системе.
Данные компании-клиента: название, реквизиты (БИН/ИИН, адрес, банковские реквизиты для выставления счетов), каталог товаров, остатки, заказы, поставки, финансовые показатели, документы, загруженные компанией.
Данные покупателей, внесённые компанией-клиентом: имя, телефон, электронная почта, адрес, реквизиты, история заказов и взаиморасчётов, а также отметка о согласии на получение сообщений в WhatsApp.
Данные канала WhatsApp: если компания-клиент подключает свой номер WhatsApp Business, мы обрабатываем идентификаторы её аккаунта в Meta, входящие и исходящие сообщения (текст, вложения, статусы доставки), номера телефонов собеседников и служебные события, которые Meta передаёт по webhook. Токен доступа к WhatsApp Business API хранится в зашифрованном виде и никогда не показывается повторно.
Платёжные данные: при оплате подписки банковской картой данные карты обрабатывает платёжный провайдер. Полный номер карты на Платформе не хранится; мы храним только токен провайдера, маскированный номер и историю платежей.
Технические данные: IP-адрес, тип браузера и устройства, время запросов, идентификаторы сессии, записи об ошибках. Они нужны для безопасности, диагностики и защиты от злоупотреблений.

4. Цели и основания обработки

Предоставление сервиса по договору с компанией-клиентом: ведение склада, продаж, заказов, отчётности.
Отправка сообщений и уведомлений покупателям через WhatsApp, e-mail и SMS — только по поручению компании-клиента и, для WhatsApp, при наличии согласия покупателя (см. раздел 5).
Выставление счетов и приём оплаты за подписку.
Обеспечение безопасности, предотвращение мошенничества, расследование инцидентов.
Улучшение сервиса на основе обезличенной статистики использования.
Исполнение требований законодательства Республики Казахстан.

Правовые основания — договор с компанией-клиентом, согласие субъекта данных (в частности, для рассылок в WhatsApp) и законные интересы Оператора в части безопасности и работоспособности сервиса.

5. WhatsApp и искусственный интеллект

Сообщения в WhatsApp передаются через WhatsApp Business Platform компании Meta. Meta обрабатывает их по собственным условиям (WhatsApp Business Terms); qoima выступает поставщиком технологии, а аккаунт WhatsApp Business принадлежит компании-клиенту.
Инициировать переписку с покупателем компания-клиент может только при наличии его согласия. Согласие фиксируется в Платформе с указанием способа и времени его получения и версии текста, который видел покупатель. Покупатель может отозвать согласие, написав компании в WhatsApp или обратившись к ней любым другим способом.
Платформа может использовать модели искусственного интеллекта для перевода описаний товаров, семантического поиска по каталогу и — в будущем — для автоматических ответов покупателям в WhatsApp. Для этого фрагменты текста (описания товаров, тексты сообщений) передаются провайдерам ИИ-моделей, перечисленным в разделе 6. Мы не передаём им платёжные данные и не используем данные компаний-клиентов для обучения моделей. О применении ИИ-ассистента в переписке покупатель уведомляется в начале диалога.

6. Кому мы передаём данные

Мы не продаём персональные данные. Данные передаются только поставщикам, без которых сервис не может работать, в объёме, необходимом для их функции:

DigitalOcean, LLC — хостинг серверов и хранилища (дата-центр во Франкфурте, Германия).
Cloudflare, Inc. — защита и ускорение сетевого трафика.
Meta Platforms, Inc. — WhatsApp Business Platform (сообщения, статусы доставки).
Resend, Inc. — отправка электронных писем (приглашения, уведомления).
Провайдер SMS (при подключении компанией SMS-уведомлений) — доставка SMS.
Провайдеры ИИ-моделей (DeepSeek; для поиска — DeepInfra; для ассистента — Anthropic) — обработка текста в целях, описанных в разделе 5.
Платёжный провайдер (Freedom Pay или аналог) — приём оплаты подписки.
Functional Software, Inc. (Sentry) — сбор сведений об ошибках приложения.

Также данные могут быть раскрыты по законному требованию уполномоченных государственных органов Республики Казахстан.

7. Где хранятся данные и трансграничная передача

Серверы и база данных Платформы размещены в дата-центре DigitalOcean во Франкфурте (Германия). Поставщики из раздела 6 обрабатывают данные в своих юрисдикциях, в том числе в США и странах Европейского союза. Таким образом, обработка персональных данных сопряжена с их трансграничной передачей за пределы Республики Казахстан в порядке статьи 16 Закона. Передача осуществляется на основании согласия субъекта данных и/или для исполнения договора с компанией-клиентом, в страны, обеспечивающие защиту персональных данных. Регистрируясь в qoima, компания-клиент подтверждает, что получила необходимые согласия своих пользователей и покупателей на такую передачу.

8. Сроки хранения

Данные аккаунта и компании — на протяжении действия договора и 3 лет после его прекращения, если иной срок не установлен законодательством (например, для бухгалтерских документов).
История рассылок в WhatsApp (кампании и статусы доставки по получателям) — 90 дней, после чего удаляется автоматически.
Входящие сообщения WhatsApp — на протяжении действия договора; компания-клиент может запросить их удаление раньше.
Технические журналы и записи об ошибках — не более 90 дней.
Резервные копии базы данных создаются ежедневно и хранятся ограниченный срок; удалённые данные исчезают из них по истечении цикла ротации.

9. Как мы защищаем данные

Весь трафик передаётся по HTTPS (TLS 1.2 и выше).
Данные каждой компании изолированы на уровне базы данных: доступ ограничен идентификатором компании, а политики безопасности строк не позволяют одной компании увидеть данные другой.
Пароли хранятся только в виде криптографического хэша; секреты двухфакторной аутентификации и токены WhatsApp — в зашифрованном виде.
Доступ сотрудников Оператора к данным ограничен служебной необходимостью и журналируется, включая любой вход от имени компании-клиента для поддержки.
Права доступа внутри компании-клиента настраивает её владелец; по умолчанию сотрудникам ничего не разрешено.

10. Ваши права

В соответствии с Законом вы вправе:

знать, какие ваши данные обрабатываются, и получить к ним доступ;
требовать исправления неточных данных;
требовать удаления данных или блокирования их обработки, когда для неё нет оснований;
отозвать согласие на обработку, в том числе на получение сообщений в WhatsApp;
обжаловать действия Оператора в уполномоченный орган по защите персональных данных.

Пользователи компании-клиента направляют запросы на [email protected]. Покупатели обращаются к компании, с которой взаимодействовали; при необходимости мы исполняем её поручение в отношении ваших данных.

11. Cookies и локальное хранилище

Платформа использует только технически необходимые cookies и локальное хранилище браузера: для поддержания сессии пользователя, защиты от подделки запросов и запоминания настроек интерфейса (язык, вид таблиц). Рекламные и трекинговые cookies не используются.

12. Дети

Платформа предназначена для бизнеса и не рассчитана на лиц младше 18 лет. Мы сознательно не собираем данные несовершеннолетних; если вам стало известно о таком случае, сообщите нам.

13. Изменения Политики

Мы можем обновлять Политику при изменении сервиса или законодательства. Действующая версия всегда размещена на этой странице с указанием номера версии и даты. О существенных изменениях мы уведомляем компании-клиенты по электронной почте или в интерфейсе Платформы. Политика публикуется на русском, казахском и английском языках; при расхождениях приоритет имеет русская версия.

14. Контакты

Оператор: ИП Techstep, Республика Казахстан.
Электронная почта по вопросам персональных данных:[email protected].