Политика обработки персональных данных
Политика обработки персональных данных
Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса онлайн-бухгалтерии esepro (далее — «Сервис»), доступного по адресу esepro.kz.
Политика разработана в соответствии с Законом Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V (далее — «Закон о ПДн»).
Используя Сервис и предоставляя свои персональные данные, вы подтверждаете ознакомление с настоящей Политикой и даёте согласие на обработку персональных данных на условиях, изложенных ниже (см. отдельный документ «Согласие на обработку персональных данных»).
1. Оператор персональных данных
Оператором персональных данных (лицом, осуществляющим сбор и обработку персональных данных) является:
- Наименование: ИП «Smart Solutions»
- ИИН: 770614400182
- Адрес: 050038, г. Алматы, мкр. Аккент, д. 5
- Контактный телефон: +7 (708) 908-47-11
- Контактный email для вопросов по обработке персональных данных: info@esepro.kz
2. Перечень обрабатываемых персональных данных и цели обработки
Сервис обрабатывает только те персональные данные, которые необходимы для оказания услуг. Перечень данных и цели их обработки приведены по категориям субъектов.
2.1. Данные зарегистрированного пользователя
| Категория данных | Цель обработки |
|---|---|
| Адрес электронной почты (email) | Регистрация и идентификация учётной записи; вход в Сервис; подтверждение (верификация) email; восстановление пароля; направление транзакционных уведомлений (напоминания о задачах, уведомления по документам) |
| Имя / ФИО пользователя | Персонализация учётной записи и обращений в интерфейсе |
| Номер телефона (если указан) | Связь с пользователем по вопросам учётной записи и поддержки. Телефон указывается по желанию пользователя |
| Пароль (в виде необратимого хеша) | Обеспечение безопасного доступа к учётной записи. Пароль хранится исключительно в виде криптографического хеша и не доступен оператору в открытом виде |
2.2. Данные о компании пользователя и контрагентах, вносимые в документы
При создании первичных бухгалтерских документов (счёт на оплату, акт выполненных работ, накладная, приходный/расходный кассовый ордер, доверенность) пользователь вносит реквизиты своей компании и контрагентов, которые могут содержать персональные данные физических лиц:
| Категория данных | Цель обработки |
|---|---|
| ФИО руководителя компании / контрагента | Формирование и хранение первичных бухгалтерских документов, их корректное оформление в соответствии с законодательством РК о бухгалтерском учёте |
| БИН / ИИН компании или контрагента | Идентификация стороны документа; автоматическое заполнение реквизитов по справочным данным |
| Юридический и (или) фактический адрес | Оформление реквизитов сторон в документах |
| Реквизиты ответственных лиц (например, в доверенности) | Оформление документа в соответствии с его назначением |
В отношении персональных данных руководителей контрагентов, индивидуальных предпринимателей и иных третьих лиц, самостоятельно вносимых Пользователем в Сервис при формировании документов, оператор (ИП «Smart Solutions») выступает лицом, осуществляющим обработку персональных данных по поручению Пользователя (пункт 3 статьи 7 Закона о ПДн). Единственным оператором указанных данных контрагентов является Пользователь; обязанность по получению согласий этих субъектов на обработку их персональных данных (или наличие иных законных оснований) в соответствии с законодательством Республики Казахстан возлагается на Пользователя.
2.3. Технологическое кэширование справочных данных по БИН/ИИН
Сервис по поручению и инициативе Пользователей осуществляет автоматизированное извлечение открытых справочных данных (ФИО индивидуальных предпринимателей и наименования юридических лиц) из официальных общедоступных реестров Комитета государственных доходов МФ РК (portal.kgd.gov.kz) исключительно в целях автозаполнения реквизитов в формируемых Пользователем первичных документах.
Для оптимизации скорости работы Сервиса и снижения нагрузки на государственные информационные системы, Сервис осуществляет временное технологическое кэширование (буферизацию) транзитных данных (сопоставление ИИН/БИН и ФИО/Наименования) в локальной базе данных на территории Республики Казахстан на срок до 30 (тридцати) дней. Такое кэширование не преследует целей создания самостоятельных баз данных или нецелевого извлечения информации, осуществляется в рамках технического обеспечения процессов Пользователя и автоматически удаляется по истечении установленного TTL-срока.
Помимо реестра Комитета государственных доходов, для юридических лиц используется источник data.egov.kz (Государственная база данных «Юридические лица», gbd_ul): по БИН возвращаются наименование юридического лица, ФИО его руководителя, адрес, статус и даты регистрации. Категории извлекаемых и буферизуемых справочных данных:
| Категория данных | Цель обработки |
|---|---|
| ФИО индивидуального предпринимателя (из реестра налогоплательщиков КГД); ФИО руководителя юридического лица (из ГБД «Юридические лица») | Автозаполнение реквизитов контрагента и (или) исполнителя в формируемых Пользователем первичных документах; снижение нагрузки на государственные источники за счёт исключения повторных одинаковых запросов |
| ИИН индивидуального предпринимателя / БИН юридического лица; адрес юридического лица; статус и даты регистрации налогоплательщика | Идентификация стороны документа и автозаполнение реквизитов |
Государственные реестры, к которым обращается Сервис, являются открытыми (общедоступными) источниками: сведения соответствующих реестров опубликованы в соответствии с законами Республики Казахстан (подпункт 7) статьи 9 Закона о ПДн во взаимосвязи с Законом Республики Казахстан «О доступе к информации» № 401-V). Публичность и открытость этих источников означают, что Сервис вправе обращаться к ним и извлекать из них справочные данные по запросу Пользователя. При этом сама по себе общедоступность (опубликование) источника не является самостоятельным правовым основанием последующей обработки и временного хранения (буферизации) таких данных Сервисом.
Правовым основанием обработки и временного хранения справочных данных Сервисом является обработка по поручению Пользователя (пункт 3 статьи 7 Закона о ПДн), как это определено в разделе 2.2 настоящей Политики: единственным оператором данных контрагентов выступает Пользователь, а обязанность по наличию согласий соответствующих субъектов (или иных законных оснований) возлагается на Пользователя. Сервис в отношении таких данных выступает лицом, осуществляющим обработку по поручению Пользователя.
Извлечение и буферизация носят строго целевой характер: данные запрашиваются у государственного источника по поручению и инициативе Пользователя для автозаполнения реквизитов конкретного документа. Сервис не осуществляет фонового или массового извлечения и накопления персональных данных из общедоступных источников для создания или расширения собственных баз данных (статья 7 пункт 11 Закона о ПДн).
Транзитный буфер справочных данных размещается в базе данных на территории Республики Казахстан (статья 12 пункт 2 Закона о ПДн), не передаётся третьим лицам и не публикуется. Срок хранения составляет не более 30 дней (для отрицательного результата — «данные не найдены» — не более 1 дня), после чего записи автоматически удаляются, а данные при необходимости запрашиваются у источника повторно.
Субъект персональных данных (в том числе индивидуальный предприниматель, руководитель юридического лица) вправе запросить сведения о наличии своих персональных данных в кэше Сервиса, их исправление или удаление через единый канал обращения, указанный в разделе 7 настоящей Политики.
2.4. Email посетителя в анонимной форме создания документа
Посетитель, не прошедший регистрацию, может создать документ и указать адрес электронной почты для его получения/сохранения.
| Категория данных | Цель обработки |
|---|---|
| Адрес электронной почты, указанный без регистрации | Направление ссылки на созданный документ; возможность последующего «переноса» (backfill) анонимного черновика в зарегистрированную учётную запись |
2.5. Технические данные и веб-аналитика
| Категория данных | Цель обработки |
|---|---|
| IP-адрес | Защита от автоматических атак (анти-бот), обеспечение безопасности и ограничение частоты запросов (rate-limit), проверка прохождения капчи |
| Файлы cookie, данные о действиях на сайте, поведенческие данные | Веб-аналитика, оценка удобства и эффективности Сервиса (подробнее — раздел 9 «Файлы cookie и веб-аналитика») |
2.6. Данные обращений в службу поддержки
При обращении в Сервис по каналам электронной связи (электронная почта, в том числе info@esepro.kz) обрабатываются данные, содержащиеся в обращении Пользователя.
Цель: Осуществление клиентской поддержки, обработка запросов, обращений и жалоб Пользователей, поступающих по каналам электронной связи.
Категории ПДн: адрес электронной почты, ФИО, номер телефона, а также любые иные персональные данные, добровольно предоставленные Пользователем в тексте обращения или во вложениях к нему.
Срок обработки: в течение срока, необходимого для разрешения сути обращения, и 3 (три) года после его разрешения (для целей возможного урегулирования споров).
3. Правовое основание обработки
Правовым основанием обработки персональных данных является согласие субъекта персональных данных (статья 7 пункт 1, статья 8 Закона о ПДн), которое субъект предоставляет:
- при регистрации в Сервисе — путём проставления отметки (чекбокса) о согласии с настоящей Политикой и Согласием на обработку персональных данных;
- при указании email в анонимной форме создания документа — путём информированного согласия на соответствующем шаге.
В отдельных случаях обработка может осуществляться на иных основаниях, предусмотренных законодательством Республики Казахстан (статья 9 Закона о ПДн), в том числе при обработке данных из общедоступных источников и при наличии у оператора законной обязанности хранения документов (см. раздел 4).
Форма согласия допускается электронная — «иным способом, позволяющим подтвердить получение согласия» (статья 8 пункт 1 Закона о ПДн). Факт, дата и версия согласия фиксируются оператором.
4. Сроки хранения персональных данных
Срок хранения персональных данных определяется датой достижения целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан (статья 12 Закона о ПДн).
| Категория данных | Срок хранения |
|---|---|
| Данные учётной записи (email, ФИО) | В течение срока действия учётной записи. После удаления учётной записи — удаляются, за исключением данных, по которым действует законная обязанность хранения |
| Первичные бухгалтерские документы (и содержащиеся в них ПДн) | В течение срока, установленного законодательством РК: для первичных бухгалтерских документов — не менее 5 лет (статья 11 Закона РК «О бухгалтерском учёте и финансовой отчётности» № 234-III); для целей налогового контроля — в течение срока исковой давности по налоговому обязательству (статья 65 Налогового кодекса РК). Сервис хранит документы в кабинете в течение срока действия учётной записи; обязанность надлежащего долгосрочного хранения первичных документов лежит на Пользователе (см. Договор-оферту, раздел 14) |
| Анонимные черновики документов (без привязки к учётной записи) | До 30 дней с момента создания, после чего удаляются автоматически |
| Черновики документов зарегистрированного пользователя (DRAFT) | До 60 дней с момента последнего изменения (с предварительным уведомлением в интерфейсе), после чего удаляются автоматически |
| Документы со статусом «Отменён» (CANCELLED) | Хранятся бессрочно в целях аудита и контроля целостности нумерации |
| Кэш справочных данных по БИН/ИИН | До 30 дней с момента получения данных, после чего обновляется при следующем запросе |
| Данные обращений в службу поддержки (раздел 2.6) | В течение срока, необходимого для разрешения сути обращения, и 3 (три) года после его разрешения (для целей возможного урегулирования споров) |
| Технические данные веб-аналитики (cookie, поведенческие данные) | В соответствии с настройками сервисов аналитики (см. раздел 9) |
Срок хранения первичных документов определён законодательством РК: статья 11 Закона № 234-III «О бухгалтерском учёте и финансовой отчётности» (не менее 5 лет) и статья 65 НК РК (срок исковой давности для целей налогового контроля). Обязанность надлежащего долгосрочного хранения первичных документов возлагается на Пользователя (см. Договор-оферту, раздел 14).
Для данных, по которым у оператора есть законная обязанность хранения (бухгалтерская первичка), субъект не может потребовать удаления до истечения установленного срока (статья 8 пункт 2 Закона о ПДн — наличие неисполненного обязательства / противоречие законам РК).
5. Передача персональных данных третьим лицам (процессорам)
Для оказания услуг оператор привлекает третьих лиц (процессоров), которым в необходимом объёме передаёт персональные данные. Перечень процессоров и характер обрабатываемых ими данных:
| Процессор | Назначение | Передаваемые данные | Страна размещения |
|---|---|---|---|
| PS Internet Company LLP (ps.kz, хостинг-провайдер) | Размещение основной базы данных Сервиса (мастер-БД с персональными данными) | Все категории ПДн, хранимые в Сервисе | Республика Казахстан (ЦОД в РК) |
| Resend | Отправка транзакционных писем (подтверждение email, восстановление пароля, уведомления, ссылки на документы) | Адрес электронной почты получателя | США |
| Zoho Mail (Zoho Corporation) | Корпоративная электронная почта для клиентской поддержки и деловой переписки (info@esepro.kz) | Email, ФИО, телефон и иные ПДн, содержащиеся в обращениях Пользователей и вложениях к ним | США |
| Cloudflare (в т.ч. Turnstile) | Защита от автоматических атак (капча), доставка контента | IP-адрес, технический токен проверки | США / распределённая сеть |
| Yandex Metrica | Веб-аналитика | IP-адрес, файлы cookie, поведенческие данные | Российская Федерация |
| Google (Google Analytics 4) | Веб-аналитика | IP-адрес, файлы cookie, поведенческие данные | США |
Государственные источники: data.egov.kz, органы государственных доходов | Получение справочных реквизитов по БИН/ИИН | БИН/ИИН (направляемый запрос) | Республика Казахстан |
Формирование файлов документов (PDF/DOCX) выполняется собственными средствами оператора на инфраструктуре, размещённой на территории Республики Казахстан; передачи персональных данных стороннему лицу для этой цели не происходит.
Основная база данных Сервиса, содержащая персональные данные, размещается на территории Республики Казахстан (хостинг-провайдер ps.kz), что соответствует требованию статьи 12 пункта 2 Закона о ПДн о хранении персональных данных в базе, находящейся на территории Республики Казахстан.
Передача адреса электронной почты процессору Resend (США) осуществляется исключительно в технологических целях — для моментальной доставки транзакционных уведомлений. Накопление, постоянное хранение и формирование баз данных персональных данных за пределами Республики Казахстан не осуществляются; мастер-база Сервиса стационарно локализована в Республике Казахстан (ЦОД PS Internet Company LLP, ps.kz), что соответствует требованию статьи 12 пункта 2 Закона о ПДн. Время хранения технологических журналов на стороне Resend минимизируется.
Для организации службы клиентской поддержки и ведения деловой переписки Сервис использует платформу электронной почты Zoho Mail (Zoho Corporation). Передача персональных данных, содержащихся в электронных письмах Пользователей, на серверы Zoho Corporation осуществляется исключительно в целях оперативного взаимодействия и технического обеспечения коммуникации. Первичный сбор и архивация учетных данных Пользователей при этом неизменно производятся на локализованных серверах Сервиса в Республике Казахстан.
Учётная запись Zoho Mail размещена в дата-центре на территории США. Передача персональных данных, содержащихся в обращениях Пользователей, процессору Zoho Mail (США) осуществляется на основании согласия субъекта персональных данных (статья 16 Закона о ПДн) — аналогично передаче через Resend (США). Накопление, постоянное хранение и формирование баз персональных данных за пределами Республики Казахстан не осуществляются; мастер-база Сервиса стационарно локализована в Республике Казахстан (ЦОД PS Internet Company LLP, ps.kz), что соответствует требованию статьи 12 пункта 2 Закона о ПДн.
6. Трансграничная передача персональных данных
В связи с использованием отдельных процессоров часть персональных данных передаётся на территорию иностранных государств (трансграничная передача, статья 16 Закона о ПДн):
- в США — адреса электронной почты (через Resend); персональные данные, содержащиеся в обращениях Пользователей в службу поддержки (через Zoho Mail, Zoho Corporation); поведенческие данные веб-аналитики (через Google Analytics 4); технические данные (через Cloudflare);
- в Российскую Федерацию — поведенческие данные веб-аналитики (через Yandex Metrica).
Трансграничная передача осуществляется на основании согласия субъекта персональных данных, предоставляемого при регистрации и (или) при использовании соответствующих функций Сервиса (статья 16 Закона о ПДн). Сведения о трансграничной передаче также включены в документ «Согласие на обработку персональных данных».
7. Права субъекта персональных данных
В соответствии со статьёй 24 Закона о ПДн субъект персональных данных имеет право:
- знать о наличии у оператора своих персональных данных, а также получать информацию, содержащую такие данные;
- требовать изменения и дополнения своих персональных данных при наличии оснований, подтверждённых соответствующими документами;
- требовать уничтожения своих персональных данных, обработка которых осуществляется с нарушением законодательства РК либо при отсутствии законных оснований для дальнейшего хранения;
- отозвать ранее данное согласие на сбор и обработку персональных данных, за исключением случаев, когда это противоречит законам РК либо при наличии неисполненного обязательства (статья 8 пункт 2 Закона о ПДн).
Срок реакции оператора. На основании соответствующих документов, подтверждающих достоверность, оператор обязуется в течение одного рабочего дня изменить и (или) дополнить персональные данные либо уничтожить их при невозможности изменения и (или) дополнения (статья 25 пункт 2 Закона о ПДн).
Ограничение права на удаление. В отношении персональных данных, содержащихся в первичных бухгалтерских документах, право на удаление ограничено законной обязанностью оператора хранить такие документы в течение установленного законодательством срока (см. раздел 4). Удаление таких данных по запросу субъекта производится только после истечения срока хранения.
Порядок реализации прав. Для реализации своих прав субъект направляет обращение на контактный email оператора, указанный в разделе 1 настоящей Политики.
8. Ответственное лицо по обработке персональных данных
Оператором назначено лицо, ответственное за организацию обработки персональных данных. Контактные данные для обращений по вопросам обработки персональных данных:
- Контакт: info@esepro.kz, +7 (708) 908-47-11
Уполномоченным государственным органом в сфере защиты персональных данных является центральный исполнительный орган, осуществляющий руководство в сфере защиты персональных данных (статья 27-1 Закона о ПДн).
Уполномоченным органом является Комитет по информационной безопасности Министерства цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан (МЦРИАП РК). Адрес: 010000, г. Астана, проспект Мәңгілік Ел, 8, Дом министерств. Единый телефон доверия: 1414.
При нарушении безопасности персональных данных оператор уведомляет уполномоченный орган в порядке и сроки, установленные законодательством РК.
9. Файлы cookie и веб-аналитика
9.1. Что такое файлы cookie
Файлы cookie — это небольшие текстовые файлы, которые сайт сохраняет в браузере вашего устройства при посещении. Они позволяют сайту «запоминать» ваши действия и настройки в течение сессии и между визитами. Помимо cookie, мы используем сходные технологии (локальное хранилище браузера localStorage/sessionStorage, идентификаторы сессии) — здесь все они для краткости называются «cookie».
9.2. Строго необходимые (технические) cookie
Нужны для базовой работы сайта и личного кабинета: авторизация, поддержание сессии, безопасность (защита от подделки запросов — CSRF), запоминание факта вашего ответа на cookie-баннер.
| Назначение | Тип / срок | Передача за рубеж |
|---|---|---|
| Сессия авторизации в личном кабинете (HttpOnly cookie) | Сессионная, до 30 дней (rolling) | Нет (хранится на стороне оператора) |
| Защита от CSRF | Сессионная | Нет |
| Запоминание ответа на cookie-баннер (согласие/отказ от аналитики) | До 12 месяцев | Нет |
| Анти-бот проверка форм (Cloudflare Turnstile) | Сессионная / краткосрочная | Да — Cloudflare обрабатывает IP за рубежом (см. раздел 5) |
Строго необходимые cookie не требуют согласия — без них сайт и личный кабинет не работают. Их нельзя отключить через баннер; их можно заблокировать только в настройках браузера, но тогда часть функций станет недоступна.
9.3. Аналитические cookie (запускаются ТОЛЬКО после вашего согласия)
Помогают нам понять, как используется сайт, и улучшать сервис. Эти cookie и связанные с ними скрипты не загружаются и не выполняются, пока вы не дали согласие через cookie-баннер.
| Сервис | Что собирает | Куда передаются данные |
|---|---|---|
| Yandex Metrica | Просмотры страниц, источники переходов, карта кликов, прокрутка. Режим записи действий пользователя (Webvisor) отключён — содержимое экрана и ввод в поля форм не записываются | Российская Федерация — серверы Yandex |
| Google Analytics 4 (GA4) | Просмотры страниц, события, источники трафика, обобщённое поведение | США — серверы Google |
При согласии на аналитику ваши данные (включая IP-адрес и поведенческие данные) передаются за пределы Республики Казахстан: в РФ (Yandex) и в США (Google). Это трансграничная передача персональных данных (статья 16 Закона о ПДн, см. раздел 6).
Итоговое решение: режим записи действий пользователя (Webvisor) в Yandex Metrica отключён. Запись содержимого экрана и ввода в поля форм (включая БИН, ИИН, email, ФИО, пароли) не производится и третьим лицам не передаётся. Повторное включение Webvisor возможно только после внедрения принудительного маскирования чувствительных полей и отдельного правового подтверждения.
Маркетинговые/рекламные cookie (ретаргетинг, рекламные сети) Сервис не использует.
9.4. Как управлять согласием на cookie и отозвать его
- При первом визите сайт показывает баннер: вы можете «Принять аналитику» или «Только необходимые».
- Отозвать согласие на аналитические cookie можно в любой момент через ссылку «Настройки cookie» в подвале (footer) сайта. После отзыва аналитические скрипты перестают загружаться при следующих визитах.
- Управлять файлами cookie можно и в настройках вашего браузера (просмотр, удаление, блокировка). Отключение строго необходимых cookie может нарушить работу сайта.
10. Меры защиты персональных данных
Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, в том числе:
- хранение паролей исключительно в виде криптографического хеша;
- ограничение доступа к персональным данным;
- использование защищённого соединения (HTTPS);
- меры защиты от автоматизированных атак.
11. Изменение Политики
Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики всегда доступна на сайте esepro.kz. При существенном изменении условий обработки персональных данных оператор уведомляет субъектов и при необходимости запрашивает согласие на новую редакцию.
Редакция от 12 июня 2026 года.