Соглашение об обработке персональных данных

01Стороны и статус документа

Настоящее Соглашение об обработке персональных данных (далее — «DPA») является неотъемлемым приложением к Пользовательскому соглашению (публичной оферте) и регулирует порядок обработки персональных данных клиентов салона в рамках использования платформы glow.kg.

Салон (в том числе частный мастер), акцептовавший Пользовательское соглашение, выступает владельцем персональных записей своих клиентов в значении Цифрового кодекса Кыргызской Республики от 31 июля 2025 года № 178 (далее — «Цифровой кодекс») и для целей настоящего DPA именуется «Оператор».

ОсОО «Сандык Диджитал» осуществляет обработку персональных данных клиентов исключительно по поручению и в интересах Салона в качестве обработчика в значении статьи 86 Цифрового кодекса, в объёме и на условиях, определённых настоящим DPA, и для целей настоящего DPA именуется «Обработчик».

Обработчик обрабатывает персональные данные клиентов на тех же основаниях, что и Оператор (часть 1 статьи 86 Цифрового кодекса), и не приобретает собственных, самостоятельных оснований их обработки. Цели обработки персональных данных клиентов определяет исключительно Оператор; Стороны не являются совместными владельцами персональных записей в значении статьи 87 Цифрового кодекса.

02Предмет DPA

Обработчик обрабатывает персональные данные клиентов Оператора исключительно в целях обеспечения функционирования Платформы: хранение карт клиентов и истории визитов, ведение журнала записи, формирование счетов и учёт оплат и абонементов, направление уведомлений клиентам по поручению Оператора и иные операции, прямо предусмотренные функциональностью Платформы.

Обработчик не определяет цели обработки персональных данных клиентов самостоятельно и действует строго в рамках задокументированных распоряжений (инструкций) Оператора, выражаемых через настройку и использование функциональности Платформы, а также через обращения Оператора, направленные способом, предусмотренным разделом 13 настоящего DPA.

Обработка осуществляется в течение всего срока действия Пользовательского соглашения и в сроки, предусмотренные разделом 11 настоящего DPA. Настоящий раздел совместно с разделами 3 и 11 определяет период обработки, её характер и цели, а также требование обработки исключительно по задокументированным распоряжениям Оператора (пункты 1, 2 и 4 части 4 статьи 86 Цифрового кодекса).

03Категории субъектов и персональных данных

Субъекты персональных данных: клиенты Салона, их законные представители.

Категории обрабатываемых данных: фамилия, имя, отчество, дата рождения, пол, контактные данные (телефон, адрес электронной почты), адрес; история записей и визитов, оказанные услуги, заметки о визитах и заметки о клиенте; фотографии работ и иные файлы клиента; сканы документов, удостоверяющих личность (если Оператор их загружает), сканы согласий и электронные подписи; сведения об оплате услуг, абонементах и депозитах.

04Обязанности Оператора (Салона)

Оператор гарантирует, что:

• обладает предусмотренным Цифровым кодексом (статьи 78–91) законным основанием для обработки персональных данных клиентов, вносимых им в Платформу;
• в отношении сведений, указанных в разделе 3 как относящиеся к специальным категориям, обладает основанием, предусмотренным частью 2 статьи 80 Цифрового кодекса, — в частности, пунктом 1 (обработка необходима для заключения и исполнения договора, стороной которого является клиент), и вносит такие сведения только в объёме, необходимом для безопасного оказания услуги;
• получает согласия клиентов в тех случаях, когда согласие требуется законом, — в частности, на трансграничную передачу персональных данных (пункт 1 части 4 статьи 89 Цифрового кодекса, раздел 8 настоящего DPA), на направление напоминаний, информационных и рекламных сообщений, на публикацию фотографий работ, а также на иные цели, не связанные непосредственно с оказанием услуг;
• оформляет такие согласия с соблюдением частей 3–5 статьи 79 Цифрового кодекса: согласие выделено из иных запросов, изложено простым и понятным языком и не запрашивается в тех случаях, когда обработка осуществляется на ином законном основании;
• в отношении клиентов, не достигших 14 лет, получает согласие законного представителя, а в отношении клиентов, достигших 14 лет, — их собственное согласие (статья 81 Цифрового кодекса);
• самостоятельно определяет состав Персонала салона, имеющего доступ к персональным данным клиентов, и несёт ответственность за соблюдение им требований конфиденциальности;
• своевременно информирует Обработчика об отзыве согласия клиента или ином законном требовании, влекущем необходимость прекращения обработки, ограничения доступа или удаления данных конкретного клиента (раздел 6 настоящего DPA).

05Обязанности Обработчика: меры защиты

Обработчик обязуется применять следующие технические и организационные меры защиты персональных данных клиентов:

• шифрование — файлы клиентов (фотографии, документы, сканы согласий, электронные подписи) хранятся в зашифрованном виде; ключи шифрования недоступны напрямую через веб-интерфейс Платформы;
• изоляция данных — данные каждого Салона хранятся в отдельной, логически изолированной базе данных, недоступной другим салонам Платформы;
• контроль доступа — доступ Персонала салона к данным клиентов разграничен по ролям (RBAC); учётные записи с расширенными правами защищены обязательной двухфакторной аутентификацией;
• ограничение доступа на стороне Обработчика — доступ работников Обработчика к персональным данным клиентов предоставляется только в объёме, необходимом для технической поддержки Платформы и устранения неисправностей, и фиксируется в аудит-логе (пункт 5 части 4 статьи 86 Цифрового кодекса);
• журналирование — действия с данными клиентов фиксируются в аудит-логе, доступном Оператору для целей контроля (раздел 10 настоящего DPA);
• резервное копирование — резервные копии создаются регулярно и хранятся в зашифрованном виде.

Обязательства работников Обработчика. Работники Обработчика, а также иные лица, получающие доступ к информационным системам Обработчика, связаны письменными обязательствами о неразглашении и допускаются к персональным данным клиентов только после их принятия. Указанные лица обязаны сохранять конфиденциальность сведений о клиентах Оператора, ставших им известными при исполнении своих обязанностей, в том числе после прекращения работы у Обработчика. Аналогичные обязательства Обработчик возлагает на суб-обработчиков (раздел 7 настоящего DPA).

Обработчик не вправе обрабатывать персональные данные клиентов в целях, не связанных с исполнением Пользовательского соглашения, передавать их третьим лицам помимо суб-обработчиков, указанных в разделе 7, либо использовать их в собственных маркетинговых или аналитических целях.

06Права клиентов и исполнение распоряжений Оператора

Обращения клиентов, связанные с реализацией их прав (доступ к данным, исправление, удаление, ограничение обработки, отзыв согласия), рассматривает Оператор как владелец персональных записей. Обработчик самостоятельно на такие обращения не отвечает; при получении обращения клиента напрямую Обработчик без промедления перенаправляет его Оператору, не раскрывая клиенту сведений об обработке помимо факта наличия поручения Оператора.

Обработчик обеспечивает Оператору возможность самостоятельно, средствами интерфейса Платформы, исправлять, удалять и ограничивать обработку персональных данных конкретного клиента, а также выгружать их. Если распоряжение Оператора не может быть исполнено средствами интерфейса, Обработчик исполняет его по обращению Оператора в срок не более 10 (десяти) рабочих дней с момента получения обращения и подтверждает исполнение (пункт 6 части 4 статьи 86 Цифрового кодекса).

Если, по мнению Обработчика, распоряжение Оператора противоречит требованиям Цифрового кодекса или иного законодательства Кыргызской Республики, Обработчик уведомляет об этом Оператора и вправе приостановить исполнение такого распоряжения до получения разъяснений.

07Суб-обработчики

Для исполнения настоящего DPA Обработчик привлекает следующих суб-обработчиков:

Привлечение суб-обработчика, не указанного в таблице выше, допускается исключительно после получения Обработчиком предварительного разрешения Оператора. Таким разрешением является акцепт Оператором обновлённой редакции настоящего DPA либо явное подтверждение, данное Оператором в интерфейсе Платформы. До получения разрешения новый суб-обработчик к обработке персональных данных клиентов Оператора не привлекается.

Обработчик уведомляет Оператора о планируемом привлечении нового суб-обработчика не менее чем за 10 календарных дней до предполагаемого начала обработки способом, указанным в учётной записи Салона, с указанием наименования, назначения и местонахождения суб-обработчика. Если Оператор не предоставит разрешение, а дальнейшее исполнение Пользовательского соглашения без привлечения такого суб-обработчика невозможно, каждая из сторон вправе расторгнуть Пользовательское соглашение в порядке, предусмотренном его разделом 11.

Обработчик обеспечивает возложение на суб-обработчиков обязательств по защите персональных данных и сохранению их конфиденциальности не ниже уровня, установленного настоящим DPA, и отвечает перед Оператором за действия привлечённых им суб-обработчиков как за свои собственные.

08Трансграничная передача персональных данных

Перечень государств, обеспечивающих адекватный уровень защиты персональных данных, уполномоченным государственным органом Кыргызской Республики на дату вступления в силу настоящей редакции DPA не утверждён и не опубликован. В связи с этим трансграничная передача осуществляется на основаниях, предусмотренных частью 4 статьи 89 Цифрового кодекса, а именно: на основании согласия субъекта персональных данных (пункт 1) и договора между владельцем персональных записей и обработчиком, обеспечивающего адекватную защиту прав субъекта персональных данных (пункт 6), роль которого выполняет настоящий DPA.

Оператор обязуется включать сведения о трансграничной передаче персональных данных — с указанием того, что данные обрабатываются и хранятся на серверах на территории Европейского союза, — в согласия, получаемые от клиентов, и в собственную политику обработки персональных данных, публикуемую для клиентов.

Обработчик применяет к трансграничной передаче меры защиты не ниже уровня, требуемого статьями 78–91 Цифрового кодекса, включая требования статьи 89 к трансграничной передаче персональных данных, а также шифрование данных при передаче и хранении.

09Уведомление об инцидентах безопасности

В случае выявления инцидента, повлёкшего или способного повлечь неправомерный доступ, утрату, изменение или разглашение персональных данных клиентов, Обработчик уведомляет Оператора не позднее 72 (семидесяти двух) часов с момента обнаружения инцидента, с указанием характера инцидента, предположительного объёма затронутых данных и предпринятых мер реагирования.

10Учёт операций обработки, аудит и контроль

Обработчик ведёт учёт операций обработки персональных данных клиентов (пункт 7 части 4 статьи 86 Цифрового кодекса): действия с данными клиентов фиксируются в аудит-логе Платформы с указанием учётной записи, совершившей действие, даты и времени, характера операции и затронутых данных. Записи учёта хранятся в течение срока действия Пользовательского соглашения и доступны Оператору непосредственно в интерфейсе Платформы.

Оператор вправе запросить у Обработчика информацию о применяемых мерах защиты персональных данных клиентов и о совершённых операциях обработки в объёме, не раскрывающем сведения, составляющие коммерческую тайну Обработчика или затрагивающем безопасность данных иных салонов Платформы. Обработчик предоставляет такую информацию в срок не более 30 календарных дней.

11Срок действия и возврат/удаление данных

Настоящий DPA действует в течение всего срока действия Пользовательского соглашения. При расторжении Пользовательского соглашения Оператору предоставляется 30 (тридцать) календарных дней на выгрузку персональных данных клиентов из Платформы, по истечении которых данные, включая резервные копии, безвозвратно удаляются, за исключением случаев, когда законодательство Кыргызской Республики требует более длительного хранения (в частности, требования к хранению бухгалтерской и налоговой документации).

12Ответственность

Обработчик несёт ответственность перед Оператором за нарушение мер защиты персональных данных клиентов, предусмотренных разделом 5 настоящего DPA, в порядке и на условиях, установленных разделом 9 Пользовательского соглашения («Ответственность сторон»).

Оператор несёт самостоятельную ответственность за законность оснований обработки персональных данных клиентов, переданных на обработку Обработчику, и за содержание вносимых в Платформу карт клиентов, заметок о визитах и иных сведений.

Оператор обязуется возместить Обработчику документально подтверждённые убытки, включая суммы штрафов и разумные судебные расходы, возникшие вследствие претензий субъектов персональных данных или уполномоченных государственных органов, если такие претензии вызваны отсутствием у Оператора законных оснований обработки либо иным нарушением Оператором гарантий, предусмотренных разделом 4 настоящего DPA.

13Заключительные положения

Термины, не определённые в настоящем DPA, используются в значении, придаваемом им Пользовательским соглашением. В случае противоречия между DPA и Пользовательским соглашением в части, касающейся обработки персональных данных клиентов, применяются положения настоящего DPA.

Распоряжения Оператора, обращения по вопросам исполнения настоящего DPA и уведомления Сторон направляются на адрес электронной почты, указанный ниже, либо на адрес электронной почты, указанный в учётной записи Салона, и считаются письменными.