Политика конфиденциальности
Редакция от 30 июля 2026 года
Короткая версия: мы просим телефон, имя и фотографии букета, храним всё это на серверах в Казахстане, никому ваш номер не показываем и удаляем аккаунт по вашей кнопке.
Документ является проектом
Текст подготовлен по действующим нормам Республики Казахстан, но юридическую экспертизу не проходил. До проверки юристом и заполнения реквизитов он не является публичной офертой и не порождает обязательств.
1.Кто обрабатывает ваши данные
1.1
Собственником и оператором персональных данных является [ИП/ТОО «___», БИН/ИИН ___, адрес] — далее «площадка». Площадка управляет сервисом Secret Flowers в городе Шымкент.
1.2
Обработка ведётся по Закону Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите».
1.3
Ответственное за организацию обработки персональных данных лицо и адрес для обращений указаны в разделе 15. Назначение такого лица предусмотрено подпунктом 10 пункта 2 статьи 25 Закона № 94-V для юридических лиц.
Требует проверки юристом. Законом Республики Казахстан от 24 июня 2026 года № 326-VIII в Закон № 94-V внесены масштабные изменения — в том числе в статьи 1, 6, 7, 12, 18, 22, 25 и новые статьи 10-1 и 25-1. Они вводятся в действие через 60 календарных дней после опубликования, то есть осенью 2026 года. Текст этой политики написан по редакции, действующей на дату сверху, и должен быть перепроверен после вступления поправок в силу.
2.Какие данные мы собираем
Перечень исчерпывающий. Того, чего нет в этом списке, мы не собираем.
Номер телефона — обязателен. Это идентификатор вашего аккаунта. Запрашивается не при входе на сайт, а в момент действия: когда вы решаете написать продавцу, создать объявление или пожаловаться.
Имя — то, которое вы указали сами. Может быть коротким или вымышленным — паспортные данные мы не проверяем и не запрашиваем.
Фотографии букета — снимки, которые вы загружаете в объявление, вместе с рукописным кодом лота. Если в кадр попали посторонние объекты или люди, эти данные тоже оказываются у нас.
Технические метаданные фотографии — в том числе EXIF: время съёмки, модель устройства, параметры съёмки и координаты, если камера их записала. Также сохраняется признак «снято камерой площадки» и перцептивный хеш изображения.
Местоположение — если вы разрешили доступ к геолокации. Для сортировки «ближе ко мне» используется ваша позиция на устройстве.
Район объявления — координаты, привязанные к объявлению, для всех, кроме вас, округляются примерно до 300 метров. Точную точку видите только вы.
Содержание объявления — заголовок, описание, цена, тип и размер букета, дата дарения, стоял ли букет в воде.
Переписка в чате — сообщения между вами и другой стороной сделки, время отправки, статус прочтения.
Технические данные — IP-адрес, тип устройства и версия приложения, идентификатор сессии, язык, страницы, которые вы открывали, ошибки и сбои.
Данные об оплате — факт и сумма платежа за размещение, статус, дата. Номер и срок действия банковской карты вводятся на стороне платёжного сервиса и площадке не передаются.
Push-токен — если вы разрешили уведомления, — чтобы прислать сообщение о новом отклике или об окончании срока объявления.
Чего мы не собираем: удостоверение личности, ИИН, адрес проживания, банковские реквизиты, список контактов, содержимое галереи за пределами выбранных вами фотографий, биометрию. Копии документов на бумажном носителе мы не собираем — это прямо запрещено пунктом 10 статьи 7 Закона № 94-V.
3.Зачем мы их собираем
Телефон — вход в аккаунт, привязка объявлений и переписки к владельцу, защита от спама и накрутки жалоб. Другим пользователям не показывается никогда.
Имя — подпись под объявлением и в чате, чтобы человек понимал, с кем говорит.
Фотографии — публикация объявления и модерация.
Метаданные фотографий, включая EXIF — только модерация и борьба с обманом. По ним видно, снят ли кадр сегодня и не публиковалась ли эта же фотография раньше. Из публичных версий фотографий метаданные, включая координаты, удаляются перед показом; исходные хранятся отдельно и пользователям не показываются.
Местоположение и район — показать, что рядом, и сориентировать покупателя, не раскрывая ваш адрес.
Переписка — работа чата, маскирование контактов, разбор жалоб и споров.
Технические данные — работоспособность сервиса, диагностика ошибок, ограничение частоты запросов, выявление накрутки и множественных аккаунтов.
Данные об оплате — учёт размещений, возвраты, бухгалтерия и налоговая отчётность.
3.1
Мы не используем ваши данные для рекламных рассылок третьих лиц, не продаём их и не передаём для профилирования в рекламных целях.
3.2
Собирается только то, что необходимо для перечисленных целей. Избыточная обработка запрещена пунктами 8 и 9 статьи 7 Закона № 94-V, и мы этого правила придерживаемся.
4.На каком основании
4.1
Основное основание — ваше согласие. Пункт 1 статьи 7 Закона № 94-V допускает сбор и обработку персональных данных только с согласия субъекта, кроме случаев, прямо названных в законе.
4.2
Согласие даётся способом, позволяющим подтвердить его получение (пункт 1 статьи 8 Закона № 94-V): подтверждением номера телефона кодом из SMS и отметкой согласия при создании объявления. Площадка обязана представить доказательство получения согласия — подпункт 5 пункта 2 статьи 25 — поэтому факт, дата, время и версия текста фиксируются.
4.3
Часть обработки ведётся без согласия — в случаях, названных статьёй 9 Закона № 94-V: исполнение обязанностей перед государственными органами, ответы на законные запросы правоохранительных органов и суда, налоговая и бухгалтерская отчётность.
4.4
Согласие можно отозвать в любой момент — способ описан в разделе 9.
Требует проверки юристом. Пункт 4 статьи 8 Закона № 94-V перечисляет, что должно содержать согласие, и среди прочего называет фамилию, имя, отчество субъекта, а также БИН или ИИН оператора. Площадка намеренно не запрашивает полное имя пользователя — это противоречило бы принципу минимизации данных и не нужно для работы сервиса. Как сочетать эти два требования, должен решить юрист: возможно, форму согласия нужно переработать, а реквизиты оператора вынести в текст согласия целиком.
5.Где данные хранятся физически
5.1
Персональные данные хранятся в базе, находящейся на территории Республики Казахстан. Это прямое требование абзаца первого пункта 2 статьи 12 Закона № 94-V: «Хранение персональных данных осуществляется собственником и (или) оператором, а также третьим лицом в базе, находящейся на территории Республики Казахстан».
5.2
В Казахстане размещены база данных и хранилище фотографий. Резервные копии также хранятся на территории Республики Казахстан.
5.3
Реквизиты дата-центра и оператора хостинга — [наименование, город, договор].
6.Сколько мы их храним
6.1
Общее правило из абзаца второго пункта 2 статьи 12 Закона № 94-V: срок хранения определяется датой достижения целей сбора и обработки, если иное не установлено законодательством.
Аккаунт: телефон, имя — пока аккаунт существует. После удаления — уничтожаются, кроме сведений, которые мы обязаны хранить по закону.
Объявление и его фотографии — 24 часа публикации плюс срок хранения архивной страницы. После удаления аккаунта объявления снимаются.
Метаданные фотографий и хеши — [указать срок] — нужны, чтобы ловить повторную публикацию одного и того же букета.
Переписка — пока существуют оба аккаунта. Удаление аккаунта делает переписку недоступной для второй стороны.
Технические логи — [указать срок, обычно от 30 дней до 1 года].
Данные об оплате и бухгалтерские документы — срок, установленный налоговым законодательством и законодательством о бухгалтерском учёте, независимо от удаления аккаунта.
Журнал действий (аудит) — записи о согласиях, блокировках и решениях модератора. Хранятся без изменений, поскольку служат доказательством получения согласия.
6.2
Основания уничтожения перечислены в статье 18 Закона № 94-V: истечение срока хранения, прекращение правоотношений, решение суда, выявление сбора и обработки без согласия, иные случаи.
Конкретные сроки в этом разделе оставлены незаполненными намеренно. Их должен назвать юрист вместе с бухгалтером: срок хранения бухгалтерских документов и срок хранения логов задаются не этой политикой, а налоговым законодательством и требованиями информационной безопасности.
7.Кому мы передаём данные
7.1
Другим пользователям площадки видны только: ваше имя, район, ваши объявления и ваши сообщения в чате. Номер телефона не показывается никому и не передаётся другой стороне сделки ни при каких обстоятельствах.
7.2
Мы привлекаем поставщиков услуг, которые обрабатывают данные по нашему поручению и в объёме, необходимом для их работы:
Оператор SMS-рассылки — номер телефона — для доставки кода подтверждения. [наименование]
Платёжный сервис — сумма и идентификатор платежа. Реквизиты карты вводятся на его стороне и нам не передаются. [наименование]
Хостинг и хранилище файлов в Казахстане — размещение базы данных и фотографий. [наименование]
Служба push-уведомлений — push-токен устройства — для доставки уведомления.
7.3
Государственным органам данные передаются по мотивированному запросу, оформленному в порядке, установленном законодательством Республики Казахстан. Мы проверяем полномочия запрашивающего и не отдаём больше того, что запрошено.
7.4
Пункт 1 статьи 19 Закона № 94-V обязывает уведомить субъекта о передаче его персональных данных третьему лицу в течение десяти рабочих дней. Уведомление направляется push-сообщением или письмом — кроме случаев, когда закон освобождает от уведомления.
7.5
Своим пользователям и площадке запрещено разглашать содержание сообщений и передавать их третьим лицам, кроме случаев, установленных договором или законами Республики Казахстан, — пункт 198 Правил внутренней торговли.
8.Передача за пределы Казахстана
8.1
Основные персональные данные за пределы Республики Казахстан не передаются и хранятся только в Казахстане.
8.2
Исключение — доставка push-уведомлений на устройства: она технически проходит через инфраструктуру производителей операционных систем. В уведомление не включаются номер телефона, содержание переписки и точные координаты.
8.3
Трансграничная передача возможна только на условиях статьи 16 Закона № 94-V: в государства, обеспечивающие защиту персональных данных, — и в остальные государства лишь при вашем согласии, на основании ратифицированного международного договора либо в случаях, прямо названных законами Республики Казахстан.
Требует проверки юристом. Квалификация доставки push-уведомлений как трансграничной передачи персональных данных спорна: push-токен — идентификатор устройства, и является ли он персональными данными в понимании подпункта 2 статьи 1 Закона № 94-V, однозначного ответа в законе нет. Если юрист сочтёт, что является, сведения о такой передаче нужно включить в текст согласия по подпункту 5 пункта 4 статьи 8.
9.Ваши права и сроки ответа
Пункт 1 статьи 24 Закона № 94-V даёт вам право:
- знать о наличии у нас ваших персональных данных и получить подтверждение факта, целей, источников и способов их сбора и обработки, перечень данных, сроки обработки и хранения;
- требовать изменения и дополнения данных;
- требовать блокирования данных;
- требовать уничтожения данных;
- отозвать согласие на сбор и обработку;
- дать или не дать согласие на распространение данных в общедоступных источниках;
- защищать свои права, в том числе требовать возмещения морального и материального вреда.
9.1
Обращение подаётся письменно, в форме электронного документа либо иным защищённым способом — пункт 2 статьи 10 Закона № 94-V. Практически: письмом с адреса, привязанного к аккаунту, на адрес из раздела 15, с указанием номера телефона аккаунта.
9.2
Сроки, в которые мы отвечаем и действуем:
3 рабочих дня — сообщить запрошенную информацию о ваших данных либо дать мотивированный отказ — пункт 16 Правил сбора, обработки персональных данных, утверждённых приказом от 21 октября 2020 года № 395/НҚ.
1 рабочий день — изменить, дополнить, заблокировать, уничтожить данные или снять блокирование после подтверждения обоснованности требования — подпункт 8 пункта 2 статьи 25 Закона № 94-V.
15 рабочих дней — прекратить обработку после отзыва согласия либо направить мотивированный отказ — пункт 7 статьи 8 Закона № 94-V.
9.3
Отзыв согласия невозможен в части обязательств, которые ещё не исполнены (пункт 2 статьи 8 Закона № 94-V), — например, пока не завершён спор о возврате платы за размещение.
9.4
Ознакомление со своими персональными данными — бесплатно.
10.Как удалить аккаунт
10.1
Аккаунт удаляется из интерфейса: раздел «Кабинет» → «Настройки» → «Удалить аккаунт». Обращаться в поддержку и объяснять причину не нужно.
10.2
Что происходит после удаления:
- активные объявления снимаются с публикации;
- переписка становится недоступной;
- номер телефона, имя и фотографии уничтожаются в сроки, указанные в разделе 6;
- сохраняются только сведения, которые мы обязаны хранить по закону: бухгалтерские документы об оплате и записи журнала действий.
10.3
Удаление необратимо. Восстановить аккаунт, переписку и историю объявлений после удаления нельзя.
10.4
Если на аккаунте остались оплаченные, но не израсходованные размещения, подайте заявление о возврате до удаления — порядок описан в оферте, пункт 9.2.
12.Как мы защищаем данные
12.1
Меры защиты применяются с момента сбора данных и до их уничтожения или обезличивания — статья 22 Закона № 94-V.
12.2
Что делается практически:
- передача данных между устройством и сервером шифруется;
- доступ сотрудников к персональным данным ограничен ролями и журналируется;
- метаданные фотографий, включая координаты, вырезаются из публичных версий изображений;
- номера телефонов и ссылки в сообщениях чата маскируются автоматически;
- действия с персональными данными регистрируются и учитываются;
- частота запросов ограничивается для защиты от перебора.
12.3
При выявлении нарушения безопасности персональных данных мы уведомляем уполномоченный орган в срок, установленный подпунктом 8 пункта 2 статьи 25 Закона № 94-V, — один рабочий день.
12.4
Никто из сотрудников площадки никогда не спрашивает у вас код из SMS.
13.Дети
13.1
Площадка предназначена для лиц, достигших 18 лет. Мы сознательно не собираем данные детей.
13.2
Если вы обнаружили, что аккаунт создан несовершеннолетним, напишите нам — аккаунт будет заблокирован, а данные уничтожены.
14.Изменение политики
14.1
Действующая редакция публикуется на этой странице, дата указана сверху.
14.2
Об изменениях, расширяющих состав собираемых данных или цели обработки, мы сообщаем в интерфейсе площадки до того, как они начнут действовать, и при необходимости запрашиваем новое согласие.
15.Куда обращаться
Электронная почта для обращений по персональным данным — [e-mail]
Ответственное лицо — [должность, фамилия и инициалы]
Почтовый адрес — [индекс, город, улица, дом, офис]
15.1
Если ответ вас не устроил, вы вправе обратиться в уполномоченный орган в сфере защиты персональных данных. На дату этой редакции таким органом является Министерство искусственного интеллекта и цифрового развития Республики Казахстан; вопросами защиты персональных данных занимается Комитет по информационной безопасности.
15.2
Высший надзор за соблюдением законности осуществляют органы прокуратуры (статья 28 Закона № 94-V). Действия площадки можно обжаловать в порядке, установленном законами Республики Казахстан (статья 30).
Условия оказания услуги размещения описаны в публичной оферте, требования к объявлениям и порядок жалоб — в правилах площадки.
Источники
- Закон РК «О персональных данных и их защите» от 21 мая 2013 года № 94-V — ст. 1 (определения), ст. 7 (согласие, минимизация, запрет сбора копий документов), ст. 8 (порядок и содержание согласия, отзыв — 15 рабочих дней), ст. 9 (обработка без согласия), ст. 10 (форма обращения), ст. 12 п. 2 (хранение в базе на территории РК; срок хранения), ст. 16 (трансграничная передача), ст. 18 (уничтожение), ст. 19 (уведомление о передаче третьему лицу — 10 рабочих дней), ст. 22 (меры защиты), ст. 24 (права субъекта), ст. 25 (обязанности оператора; 1 рабочий день), ст. 27-1, 28, 30 (уполномоченный орган, надзор, обжалование)
https://adilet.zan.kz/rus/docs/Z1300000094 - Правила сбора, обработки персональных данных, утв. приказом Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 21 октября 2020 года № 395/НҚ — п. 16: ответ на обращение субъекта в течение 3 рабочих дней
https://adilet.zan.kz/rus/docs/V2000021498 - Закон РК от 24 июня 2026 года № 326-VIII — изменения в Закон № 94-V (ст. 1, 6, 7, 12, 18, 22, 25, новые ст. 10-1 и 25-1), вводятся в действие через 60 календарных дней после опубликования; текст политики требует сверки после их вступления в силу
https://adilet.zan.kz/rus/docs/Z1300000094 - Административный процедурно-процессуальный кодекс РК от 29 июня 2020 года № 350-VI — ст. 76, сроки рассмотрения обращений уполномоченным органом
https://adilet.zan.kz/rus/docs/K2000000350 - Правила внутренней торговли, утв. приказом и. о. Министра национальной экономики РК от 27 марта 2015 года № 264 — п. 197 (информационно-рекламная торговая площадка, аутентификация по SMS-коду), п. 198 (запрет разглашения сообщений и передачи их третьим лицам)
https://adilet.zan.kz/rus/docs/V1500011148 - Закон РК «Об онлайн-платформах и онлайн-рекламе» от 10 июля 2023 года № 18-VIII — обязанности собственника онлайн-платформы, рассмотрение жалоб, модерация контента
https://adilet.zan.kz/rus/docs/Z2300000018 - Закон РК «О защите прав потребителей» от 4 мая 2010 года № 274-IV — ст. 33-1 и 33-2 (обязанности электронной торговой площадки), ст. 42-4 (претензионный порядок)
https://adilet.zan.kz/rus/docs/Z100000274_
Secret Flowers — площадка объявлений о перепродаже подаренных букетов. Шымкент, Республика Казахстан.