Соглашение об обработке персональных данных SotaCRM

Редакция от 04.10.2026. Действует с даты размещения на сайте sotacrm.kz по адресу sotacrm.kz/legal/dpa.

1.1. Настоящее Соглашение является неотъемлемой частью Публичной оферты SotaCRM (далее — «Оферта»), заключённой между ТОО «DIGITAL SOTALABS», БИН 260940001290 (далее — «Исполнитель»), и Заказчиком, и регулирует обработку Исполнителем персональных данных Контактов, которые Заказчик вносит в Платформу или получает через подключённые каналы.

1.2. В этой обработке Заказчик является собственником и оператором базы, содержащей персональные данные Контактов, и определяет цели и состав их обработки. Исполнитель обрабатывает персональные данные Контактов исключительно по поручению Заказчика в соответствии с Законом Республики Казахстан «О персональных данных и их защите» (далее — «Закон»). Исполнитель не является собственником базы Контактов и самостоятельно исполняет обязанности, возложенные Законом на лиц, осуществляющих сбор, обработку и защиту персональных данных, включая хранение баз данных на территории Республики Казахстан и принятие мер защиты. Обработка персональных данных Пользователей регулируется Политикой конфиденциальности.

1.3. Термины используются в значениях, определённых Офертой и Политикой конфиденциальности. Положения Соглашения о Линиях WhatsApp и иных каналах переписки (пункты 4.2, 7.1, 7.3, 7.4 и 10.2) применяются и к номеру ИИ-ассистента руководителя, который в число Линий не входит (пункт 1.6 Оферты).

2.1. Исполнитель обрабатывает персональные данные Контактов только по документированным инструкциям Заказчика. Инструкциями являются: настройки Аккаунта, действия Пользователей в интерфейсе и через программные интерфейсы, конфигурация Модулей, автоматизации и функций ИИ, а также Оферта.

2.2. Действия с персональными данными, выполняемые по поручению: сбор, запись, систематизация, хранение, изменение, использование для работы функций Платформы, передача сервисам, подключённым по поручению Заказчика, обезличивание, блокирование, уничтожение.

2.3. Исполнитель не использует персональные данные Контактов в собственных целях, не продаёт их и не использует для обучения моделей искусственного интеллекта.

2.4. Если, по мнению Исполнителя, инструкция Заказчика нарушает законодательство о персональных данных, Исполнитель незамедлительно сообщает об этом Заказчику.

3.1. Субъекты: лиды, клиенты и их контактные лица, представители контрагентов, собеседники в подключённых мессенджерах, отправители лид-форм, участники звонков, иные лица, сведения о которых вносит Заказчик.

3.2. Категории данных: идентификационные и контактные данные, содержание коммуникаций (переписка, вложения, голосовые сообщения), коммерческие сведения (сделки, счета, оплаты, записи на услуги), сведения в полях, настроенных Заказчиком.

3.3. Специальные категории персональных данных Платформой не запрашиваются. Если Заказчик вносит их по собственной инициативе, он самостоятельно обеспечивает правовые основания.

4.1. Заказчик обеспечивает законные основания для сбора и обработки персональных данных Контактов, включая их согласия в случаях, когда согласие требуется Законом, и информирует Контактов об обработке их данных.

4.2. До первого использования функций ИИ любым Пользователем Аккаунта и до подключения первой Линии WhatsApp или иного канала переписки Заказчик обеспечивает основания для трансграничной передачи персональных данных Контактов получателям, указанным в разделе 10, в том числе согласие Контактов на такую передачу в соответствии со статьёй 16 Закона, и подтверждает это в интерфейсе Платформы через владельца или администратора Аккаунта.

4.3. Заказчик рассматривает обращения Контактов как собственник и оператор их данных.

Исполнитель допускает к персональным данным Контактов только работников и подрядчиков, которым это необходимо для исполнения обязанностей и которые приняли обязательства о конфиденциальности, действующие и после прекращения трудовых или договорных отношений.

Исполнитель принимает в отношении всех Данных Заказчика правовые, организационные и технические меры защиты, предусмотренные Законом и принятыми в его развитие правилами, в том числе:

• шифрование каналов передачи данных (TLS) и учётных данных интеграций при хранении;
• изоляцию Аккаунтов: каждый запрос исполняется в границах Аккаунта, которому принадлежит сессия или ключ;
• ролевую модель доступа с настраиваемыми правами и журналами действий;
• хэширование паролей и ограничение частоты запросов к публичным точкам доступа;
• резервное копирование и процедуры восстановления;
• доступ персонала по принципу необходимого минимума.

7.1. Заказчик даёт согласие на привлечение Исполнителем к обработке по его поручению хостинг-провайдера в Республике Казахстан и поставщика моделей ИИ, указанных в разделе 9 Политики конфиденциальности. Платёжные сервисы, каналы WhatsApp, Instagram Direct и Facebook Messenger (компании группы Meta) и иные сервисы, которые Заказчик подключает сам, Исполнитель к обработке не привлекает: они получают данные в связи с оплатой, каналами переписки и интеграциями и обрабатывают их на собственных условиях; роль Meta определена в пункте 7.4. Исполнитель передаёт им данные только в объёме, необходимом для оплаты, работы канала переписки или интеграции, подключённых Заказчиком, в порядке раздела 10.

7.2. О привлечении нового получателя Исполнитель уведомляет Заказчика не менее чем за 10 календарных дней через интерфейс Платформы и по электронной почте и не начинает передачу данных новому получателю до истечения этого срока, кроме случая, когда замена вызвана недоступностью действующего получателя или угрозой безопасности данных и не может быть отложена: тогда Исполнитель вправе осуществить её до истечения этого срока, уведомляет Заказчика незамедлительно после замены, а передача данных новому получателю за пределы Республики Казахстан осуществляется при наличии оснований, требуемых законодательством. Если Заказчик не согласен с привлечением, он вправе направить Исполнителю мотивированное возражение с указанием причины не позднее даты вступления привлечения в силу, указанной в уведомлении (а если уведомление не направлено заранее — в течение 10 календарных дней со дня уведомления либо со дня, когда Заказчику стало известно о привлечении). Направив возражение, Заказчик вправе отказаться от функции, использующей нового получателя, либо расторгнуть Оферту с возвратом неиспользованной стоимости текущего Расчётного периода в порядке пункта 6.11 Оферты. Если возражение не направлено в этот срок, Заказчик считается согласившимся.

7.3. С хостинг-провайдером и поставщиком моделей ИИ, обрабатывающими данные по поручению Исполнителя, заключается соглашение с обязательствами по защите данных не ниже настоящего Соглашения в части, применимой к функции получателя. Исполнитель отвечает перед Заказчиком за действия этих получателей как за собственные в пределах, установленных разделом 17 Оферты. За работу и действия платёжных сервисов, каналов WhatsApp, Instagram Direct и Facebook Messenger (компании группы Meta) и сервисов, которые Заказчик подключает сам, Исполнитель не отвечает (пункт 14.4 Оферты); он отвечает за собственные действия по передаче данных этим сервисам в пределах настроек Заказчика.

7.4. Каналы Meta. При подключении канала через официальные программные интерфейсы Meta (пункт 12.2 Оферты) Заказчик сам принимает условия Meta и остаётся владельцем своих аккаунтов. Meta обрабатывает данные канала по этим условиям: в WhatsApp Business Platform — как обработчик по поручению Заказчика, а также как самостоятельный оператор в целях безопасности своей платформы и в отношении сведений об аккаунте Заказчика, и вправе использовать обезличенные и обобщённые данные для улучшения своих сервисов и аналитики в порядке условий хостинга Cloud API; в Instagram и Facebook Messenger — как самостоятельный оператор на условиях Условий платформы Meta. Meta не является получателем, привлечённым Исполнителем к обработке по пункту 7.3. Исполнитель действует как технологический поставщик Заказчика: обрабатывает данные каналов только по поручению Заказчика, хранит их отдельно по каждому Заказчику, без задержки передаёт Заказчику обращения Meta и субъектов, касающиеся этих данных, и по требованию Meta прекращает доступ к каналу и удаляет данные канала в указанный Meta срок, а если срок не указан — без неоправданной задержки; копии в резервных хранилищах уничтожаются по циклу ротации (пункт 11.3). Заказчик исполняет переданное ему обращение Контакта об удалении данных, полученных через канал, либо сообщает Исполнителю законное основание отказа в течение 7 рабочих дней со дня передачи обращения. Если Заказчик в этот срок не сделал ни того, ни другого, а переписка однозначно установлена по сведениям обращения, Заказчик настоящим поручает Исполнителю удалить эти данные, и Исполнитель удаляет их без дополнительных указаний. Исполнитель не использует данные Каналов Meta для создания, обучения и улучшения моделей ИИ, не разрешает такое использование, не передаёт их поставщику моделей для этой цели и принимает меры, чтобы поставщик моделей не использовал их для обучения своих моделей.

8.1. Исполнитель предоставляет Заказчику средства выгрузки, исправления и удаления данных Контактов в интерфейсе Платформы, а на Тарифах с доступом к REST API — и через него. По обращению Заказчика в службу поддержки Исполнитель оказывает содействие в блокировании данных Контакта. Обращение Контакта, полученное Исполнителем напрямую, без задержки передаётся Заказчику.

8.2. Исполнитель оказывает Заказчику содействие в обеспечении безопасности данных и в выполнении обязанностей при инцидентах с учётом характера обработки и доступной Исполнителю информации.

9.1. Об инциденте, затрагивающем персональные данные Контактов, Исполнитель уведомляет Заказчика без неоправданной задержки и не позднее 24 часов с момента, когда ему стало известно об инциденте. Инцидентом является в том числе доступ к персональным данным Контактов лица, не имеющего на это права, с использованием действительных учётных данных, если об этом стало известно Исполнителю.

9.2. Уведомление содержит известные Исполнителю на момент направления сведения: характер инцидента и затронутые категории данных, вероятные последствия, принятые и планируемые меры, контактное лицо Исполнителя; недостающие сведения Исполнитель направляет по мере их установления.

9.3. Уведомление уполномоченного органа о нарушении безопасности персональных данных Контактов Исполнитель направляет самостоятельно в срок, установленный законодательством Республики Казахстан (на дату настоящей редакции — в течение одного рабочего дня с момента обнаружения нарушения; подпункт 8) пункта 2 статьи 25 Закона); это не освобождает Заказчика от собственных обязанностей по уведомлению уполномоченного органа как собственника и оператора их данных. Исполнитель оказывает Заказчику необходимое содействие. Уведомление самих Контактов осуществляется в порядке, установленном законодательством: на основании уведомления уполномоченного органа сообщение им направляет оператор, определённый этим порядком. Для этого Заказчик и Исполнитель сообщают уполномоченному органу сведения о нарушении, принятых мерах и данные субъектов, необходимые для направления уведомления, в объёме, предусмотренном этим порядком и имеющемся у соответствующей Стороны.

10.1. Базы данных Платформы, содержащие персональные данные Контактов, размещаются на территории Республики Казахстан в соответствии со статьёй 12 Закона.

10.2. Трансграничная передача осуществляется в соответствии со статьёй 16 Закона:

• при использовании функций ИИ — Anthropic PBC (США), в объёме, необходимом для выполнения запроса;
• при использовании каналов WhatsApp, Instagram Direct и Facebook Messenger и номера ИИ-ассистента руководителя — компании группы Meta (Meta Platforms, Inc. (США), Meta Platforms Ireland Limited (Ирландия), WhatsApp LLC (США)) и их центры обработки данных за пределами Республики Казахстан.

10.3. Заказчик, не желающий трансграничной передачи, вправе не подключать соответствующие функции. Хранение основной базы данных при этом остаётся на территории Республики Казахстан.

11.1. В течение срока действия Оферты Заказчик выгружает свои данные средствами Платформы в любой момент.

11.2. После прекращения Оферты Исполнитель по выбору Заказчика передаёт ему данные в структурированном машиночитаемом виде и (или) удаляет их. Если выбор не сделан в течение 30 календарных дней после прекращения, данные удаляются в порядке пунктов 8.4 и 8.5 Оферты.

11.3. Резервные копии хранятся 30 календарных дней со дня создания. Данные в резервных копиях уничтожаются по циклу ротации и до этого в обработке не используются.

11.4. Исполнитель вправе сохранить сведения, хранение которых обязательно по законодательству Республики Казахстан, только в этом объёме и на этот срок. Удаление данных Исполнителем не распространяется на данные, которые Meta хранит по своим условиям (пункт 7.4); по ним Заказчик обращается к Meta.

По запросу Заказчика Исполнитель предоставляет сведения, необходимые для подтверждения соблюдения настоящего Соглашения: описание мер защиты, перечень получателей, ответы на опросные листы. Проверка на площадке Исполнителя проводится не чаще одного раза в год, по согласованному плану, силами независимого проверяющего, связанного обязательством конфиденциальности, без доступа к данным других Заказчиков и за счёт Заказчика.

13.1. Соглашение действует, пока Исполнитель обрабатывает персональные данные Контактов по поручению Заказчика.

13.2. Ответственность Сторон определяется разделом 17 Оферты, если иное не установлено императивными нормами законодательства. Пункты 4.3 и 17.1 Оферты применяются к ответственности по настоящему Соглашению.

13.3. При противоречии между настоящим Соглашением и иными частями Оферты в вопросах обработки персональных данных Контактов применяется настоящее Соглашение.

ТОО «DIGITAL SOTALABS», БИН 260940001290, Республика Казахстан, Акмолинская область, Бурабайский район, г. Щучинск, ул. Алаш, 199. Электронная почта: support@sotacrm.kz.