Политика сбора, обработки и защиты персональных данных
Эта политика — документ, определяющий политику ТОО «R-Labs» в отношении сбора, обработки и защиты персональных данных, который мы обязаны утвердить и соблюдать (пп. 1-1 п. 2 ст. 25 Закона РК от 21.05.2013 № 94-V «О персональных данных и их защите», далее — Закон). Она действует для посетителей сайта buh-agent.kz, пользователей платформы «Бух-агент» и физических лиц, чьи данные содержатся в базах 1С наших клиентов.
1. Правовая основа и термины
Мы обрабатываем персональные данные на основании:
- Закона РК от 21.05.2013 № 94-V «О персональных данных и их защите»;
- Правил уведомления субъектов о нарушении безопасности персональных данных (в редакции приказа уполномоченного органа от 30.04.2026, действует с 12.07.2026);
- Закона РК «Об информатизации» в части защиты электронных информационных ресурсов;
- Закона РК «О бухгалтерском учёте и финансовой отчётности» и Налогового кодекса РК — в части сроков хранения учётных документов клиентов;
- настоящей политики и соглашений с клиентами.
Персональные данные — сведения, относящиеся к определённому или определяемому по ним физическому лицу (ИИН, ФИО, телефон, почта и т. п.). Субъект — физическое лицо, к которому относятся данные. Обработка — любые действия с данными: сбор, накопление, хранение, изменение, использование, обезличивание, блокирование, уничтожение. Обезличивание — действия, после которых нельзя определить принадлежность данных субъекту (ст. 1, 17 Закона).
2. Кто обрабатывает данные
- Собственник и оператор: ТОО «R-Labs», БИН 260740034011, адрес: г. Астана, ул. Керей, Жанибек хандар, 30.
- Лицо, ответственное за организацию обработки персональных данных (пп. 10 п. 2 ст. 25 Закона): директор ТОО «R-Labs», почта info@r-labs.kz, телефон +7 706 650 05 65. Это лицо ведёт внутренний контроль, информирует сотрудников о требованиях Закона и рассматривает обращения субъектов (п. 3 ст. 25 Закона).
- В отношении данных из баз 1С клиентов R-Labs выступает третьим лицом, которому собственник (клиент) предоставил доступ (пп. 17 ст. 1 Закона); собственником таких данных остаётся клиент.
3. Какие данные мы собираем и зачем
Перечень персональных данных, необходимых и достаточных для наших задач (пп. 1 п. 2 ст. 25, п. 1 ст. 12 Закона):
| Категория субъектов | Данные | Цель | Основание |
|---|---|---|---|
| Посетители, оставившие заявку | ФИО, телефон, электронная почта, название компании | Связаться по заявке, провести консультацию, рассчитать стоимость, подключить тест | Согласие субъекта (ст. 7, 8 Закона) |
| Пользователи платформы | ФИО, должность, логин, пароль (в хешированном виде), роль и группа, журнал действий | Вход, разграничение доступа, журнал «кто и что внёс», поддержка | Договор с клиентом; согласие при создании учётной записи |
| Представители клиентов | ФИО, должность, телефон, почта | Заключение и исполнение договора, подключение баз совместно с обслуживающей организацией клиента | Исполнение договора (ст. 9 Закона) |
| Физические лица в базах 1С клиентов (сотрудники, ИП, представители контрагентов) | ИИН, ФИО и иные данные, содержащиеся в выписках, ЭСФ, документах и справочниках 1С | Работа агента: чтение выписок и ЭСФ, создание документов по вашему «Внести» | Соглашение с клиентом; заверения клиента о законности доступа; обезличивание до передачи ИИ |
| Все посетители сайта | IP-адрес, тип браузера и устройства, время запроса, технические cookies | Безопасность, работа сессии входа, защита от атак | Защита информационных ресурсов (ст. 22, 23 Закона) |
Мы не собираем биометрические данные, данные о здоровье, религии, политических взглядах и иные специальные категории. Мы не используем данные для рекламных рассылок без отдельного согласия и не продаём их.
4. Согласие и его отзыв
Отправляя заявку на сайте и отмечая «Я прочитал(а) политику конфиденциальности», вы даёте согласие на сбор и обработку персональных данных (п. 1 ст. 8 Закона: способом, позволяющим подтвердить факт его получения). Факт согласия фиксируется с датой, временем и IP-адресом.
- Оператор: ТОО «R-Labs», БИН 260740034011.
- Субъект: ФИО, указанные вами в форме.
- Срок действия согласия: до достижения целей обработки или до отзыва согласия.
- Передача третьим лицам: только лицам, указанным в разделе 8, для целей из раздела 3; продажа и передача для чужих целей не осуществляются.
- Трансграничная передача персональных данных: не осуществляется. За пределы РК могут передаваться только обезличенные данные (раздел 6).
- Распространение в общедоступных источниках: не осуществляется.
- Перечень данных: ФИО, телефон, электронная почта, название компании; при заявке на тест — данные для подключения базы 1С.
- Способ отзыва: письмо на info@r-labs.kz или сообщение в WhatsApp +7 706 650 05 65.
Вы можете отозвать согласие в любое время тем же способом, которым его дали, или по контактам из раздела 13. Отзыв невозможен, если это противоречит законам РК или у вас есть неисполненное обязательство перед нами (п. 2 ст. 8 Закона). После отзыва мы прекращаем обработку и уничтожаем данные, кроме тех, что обязаны хранить по закону.
5. Данные из баз 1С клиентов
- Перед предоставлением доступа к базе с клиентом заключается «Соглашение о конфиденциальности и техническом доступе», а состав работ фиксируется договором.
- Клиент как собственник базы заверяет, что правомерно обрабатывает данные и имеет согласия субъектов или иное законное основание для предоставления доступа третьему лицу; если клиент обслуживает других компаний, он урегулирует этот вопрос с ними самостоятельно.
- Агент работает в базе под отдельной учётной записью с правами, ограниченными задачей; права администратора не запрашиваются. Каждый документ агента помечен «AUTO» в комментарии.
- По умолчанию агент читает данные; запись выполняется только после того, как бухгалтер увидел план и нажал «Внести». Новый вид операции сначала идёт пробным пакетом до подтверждения «Верно». В закрытый месяц агент не вносит.
- Мы не создаём копий и выгрузок данных из базы сверх минимума, который технически нужен для работы агента в моменте.
- ЭЦП клиента мы не получаем и не храним: ЭСФ в ИС ЭСФ подписывает клиент.
6. Обезличивание и искусственный интеллект
Обезличенные данные не являются персональными данными, поэтому их обработка, в том числе с использованием поставщика ИИ-моделей, не является трансграничной передачей персональных данных (ст. 16 Закона). Персональные данные в необезличенном виде за пределы Республики Казахстан не передаются. Поставщики ИИ-моделей не получают права использовать переданные данные для обучения моделей — это закреплено в договорах с ними.
7. Где и сколько хранятся данные
- Базы данных платформы находятся на территории Республики Казахстан (п. 2 ст. 12 Закона): дата-центр хостинг-провайдера на территории Республики Казахстан.
- Срок хранения определяется достижением цели сбора, если законом не установлено иное (п. 3 ст. 12 Закона); по достижении цели данные уничтожаются (ст. 18, пп. 4 п. 2 ст. 25 Закона).
| Данные | Срок |
|---|---|
| Заявка без заключения договора | 12 месяцев с даты последнего контакта, затем уничтожение |
| Учётные записи пользователей платформы | Срок действия договора + 30 дней |
| Реквизиты доступа к базам 1С и локальные копии данных | Пока действует доступ; после прекращения договора или по требованию клиента — удаление в течение 10 рабочих дней с письменным подтверждением |
| Копии в автоматических резервных копиях наших систем | Удаляются при штатной ротации, не позднее 90 календарных дней; всё это время остаются конфиденциальными |
| Журнал действий в платформе (кто и когда нажал «Внести») | 5 лет — как часть первичных учётных данных клиента по требованиям законодательства о бухгалтерском учёте |
| Технические журналы сервера (IP, запросы) | 90 дней |
| Документы, созданные агентом в базе 1С клиента | Хранятся у клиента в его базе; мы их не копируем |
Обязательства по конфиденциальности в отношении коммерческой тайны клиента действуют 3 года после прекращения договора; в отношении персональных данных — до их уничтожения или обезличивания (п. 2 ст. 22 Закона).
8. Кому передаются данные
Мы соблюдаем конфиденциальность: сотрудники и подрядчики, имеющие доступ к данным, не вправе распространять их без законного основания (ст. 11 Закона). Доступ к данным имеют:
- сотрудники R-Labs, которым он нужен для подключения, настройки и поддержки агента — по служебной необходимости и под обязательством о неразглашении;
- оператор серверной площадки в Казахстане (дата-центр хостинг-провайдера на территории Республики Казахстан) — только размещение инфраструктуры, без доступа к содержанию;
- поставщики ИИ-моделей — только обезличенные данные (раздел 6);
- оператор СМС-рассылки для подтверждения номера телефона — только номер телефона и код;
- государственные органы — исключительно в случаях и порядке, прямо предусмотренных законами РК (ст. 9 Закона).
9. Меры защиты
Мы принимаем правовые, организационные и технические меры для предотвращения несанкционированного доступа, его своевременного выявления и минимизации последствий (п. 1 ст. 22, пп. 2 п. 2 ст. 25 Закона):
- передача данных только по защищённому соединению (HTTPS/TLS);
- хранение паролей пользователей в хешированном виде; реквизитов доступа к базам 1С — в зашифрованном хранилище с ограниченным доступом, никогда в открытой переписке и мессенджерах без шифрования;
- разграничение доступа по ролям и группам; бухгалтер видит компании своей группы, руководитель — все;
- журналирование действий с данными и доступа к ним (пп. 5 п. 1 ст. 22 Закона);
- отдельная учётная запись агента в каждой базе с минимальными правами; проверка дублей перед записью и сверка проводок по регистру после;
- обезличивание до передачи ИИ;
- регулярные резервные копии платформы и контроль их ротации;
- обязательства о конфиденциальности с сотрудниками и подрядчиками; инструктаж сотрудников ответственным лицом;
- на сайте нет внешних скриптов и сторонних счётчиков.
10. Нарушения безопасности данных
При обнаружении нарушения безопасности персональных данных мы:
- в течение одного рабочего дня уведомляем уполномоченный орган в сфере защиты персональных данных с указанием контактов ответственного лица, принятых мер и данных затронутых субъектов (пп. 8 п. 2 ст. 25 Закона; Правила уведомления, действуют с 12.07.2026); субъектов уведомляет оператор «цифрового правительства» через личный кабинет eGov, мобильное приложение или СМС;
- не позднее 48 часов уведомляем клиента, чьи данные затронуты, и предпринимаем меры по устранению последствий;
- блокируем затронутые учётные записи и реквизиты доступа, при необходимости отзываем их и выдаём новые.
11. Ваши права
Как субъект персональных данных вы вправе (ст. 24 Закона):
- знать, какие ваши данные есть у нас, и получить к ним бесплатный доступ (пп. 9 п. 2 ст. 25);
- требовать изменения и дополнения данных на основании подтверждающих документов — выполняется в течение одного рабочего дня (пп. 8 п. 2 ст. 25);
- требовать блокирования данных при сведениях о незаконной обработке и их уничтожения, если нарушение подтвердилось;
- отозвать согласие (раздел 4);
- получить информацию о сроках и целях обработки;
- обжаловать наши действия в уполномоченный орган в сфере защиты персональных данных или в суд (ст. 30 Закона).
Запрос направляйте на info@r-labs.kz или в WhatsApp +7 706 650 05 65 с указанием ФИО и способа связи. Чтобы не выдать данные постороннему, мы можем попросить подтвердить личность. Ответ даём в сроки, установленные законодательством; при отказе — мотивированный ответ (пп. 6, 7 п. 2 ст. 25 Закона).
12. Cookies и технические данные
Сайт buh-agent.kz использует технические cookies, необходимые для входа и безопасности сессии, и cookie своего счётчика посещений (ниже). Сторонние счётчики, рекламные трекеры и внешние скрипты на сайте не используются. Технические журналы (IP-адрес, время запроса, тип браузера) хранятся 90 дней и используются только для защиты от атак и расследования инцидентов.
Свой счётчик посещений. Чтобы понимать, откуда приходят посетители, сайт ставит cookie __Host-ba_src на 90 дней (срок продлевается при каждом просмотре). В ней — случайный номер посетителя, первый и последний источник перехода (метки utm в ссылке или сайт, с которого вы пришли), первая страница и дата первого визита. Служебная cookie __Host-ba_hop живёт 30 секунд, чтобы переадресация не повторялась. На нашем сервере в Казахстане счётчик хранит просмотры страниц и нажатия кнопок с этим номером и источником — без IP-адреса, данных браузера, имени и телефона — 12 месяцев. Команда R-Labs получает ежедневную сводку только с общими числами. В готовом сообщении кнопок WhatsApp и «Подключить» есть код источника (например, «buh-agent.kz · instagram»): его можно удалить перед отправкой. Данные счётчика третьим лицам не передаются. Отказаться можно, удалив cookie или запретив их в настройках браузера: сайт работает и без них.
13. Изменения и контакты
Мы можем обновлять политику. Новая редакция публикуется на этой странице с датой; о существенных изменениях пользователи платформы уведомляются на почту не менее чем за 10 дней. Предыдущие редакции предоставляются по запросу.
ТОО «R-Labs», БИН 260740034011, г. Астана, ул. Керей, Жанибек хандар, 30 · r-labs.kz · по вопросам персональных данных: info@r-labs.kz · телефон +7 706 650 05 65 · WhatsApp wa.me/77066500565.