Политика конфиденциальности SotaCRM

Редакция от 04.10.2026. Действует с даты размещения на сайте sotacrm.kz по адресу sotacrm.kz/legal/privacy.

1.1. Платформа (SotaCRM) — облачная CRM-система, доступная через веб-интерфейс и программные интерфейсы, включая Модули, функции искусственного интеллекта и каналы связи.

1.2. Исполнитель — ТОО «DIGITAL SOTALABS», оператор Платформы (реквизиты — раздел 2).

1.3. Заказчик — юридическое лицо или индивидуальный предприниматель, зарегистрировавший рабочее пространство (Аккаунт) в Платформе.

1.4. Пользователь — физическое лицо, которому Заказчик предоставил доступ к своему Аккаунту.

1.5. Контакт — физическое лицо, сведения о котором Заказчик вносит в Платформу или получает через подключённые каналы: лид, клиент, представитель контрагента, собеседник в мессенджере, отправитель лид-формы, участник звонка.

1.6. Персональные данные — сведения, относящиеся к определённому или определяемому на их основании физическому лицу, в значении Закона Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V (далее — «Закон»).

1.7. Оферта — Публичная оферта SotaCRM (sotacrm.kz/legal/terms). Соглашение об обработке — Соглашение об обработке персональных данных SotaCRM (sotacrm.kz/legal/dpa).

1.8. Термины «Линия», «Модуль», «Расчётный период» и иные термины, не определённые в настоящей Политике, используются в значениях, определённых Офертой. Положения Политики о Линиях WhatsApp (разделы 7, 9 и 10) применяются и к номеру ИИ-ассистента руководителя, который в число Линий не входит (пункт 1.6 Оферты).

ТОО «DIGITAL SOTALABS», БИН 260940001290, юридический адрес: Республика Казахстан, Акмолинская область, Бурабайский район, г. Щучинск, ул. Алаш, 199.

Обращения по вопросам персональных данных: support@sotacrm.kz, тема письма «Персональные данные». Лицо, ответственное за организацию обработки персональных данных, назначается приказом директора Исполнителя.

3.1. В отношении персональных данных Пользователей (учётные записи, оплата, обращения в поддержку, технические журналы) Исполнитель самостоятельно определяет цели и способы обработки и является собственником и оператором соответствующей базы.

3.2. В отношении персональных данных Контактов собственником и оператором базы является Заказчик: он определяет цели и состав обработки и обеспечивает её правовые основания, включая согласия Контактов. Исполнитель обрабатывает эти данные по поручению Заказчика на условиях Соглашения об обработке.

4.1. Данные Пользователей:

• идентификационные: имя, адрес электронной почты, номер телефона, пароль в виде необратимого хэша, изображение профиля;
• организационные: наименование, БИН или ИИН и реквизиты Заказчика, роль и права Пользователя, часовой пояс, настройки интерфейса;
• технические: IP-адрес, тип браузера и устройства, журналы действий, сведения о сессиях;
• платёжные: выставленные счета, статусы и способы оплат. Реквизиты банковских карт Исполнитель не получает и не хранит: их обрабатывает банк-эквайер (раздел 9).

4.2. Данные Контактов (по поручению Заказчика):

• карточки CRM: имена, телефоны, адреса электронной почты, должности, наименования организаций, реквизиты, поля, настроенные Заказчиком;
• коммуникации: переписка в подключённых каналах (текст, вложения, голосовые сообщения, реакции, статусы доставки и прочтения) и данные профиля собеседника, которые передаёт владелец канала (пункт 7.5), содержимое лид-форм, сведения о звонках (участники, длительность), комментарии и задачи;
• коммерческие: сделки, счета, оплаты, позиции заказов, складские операции, записи на услуги;
• документы, сформированные из карточек.

4.3. Платформа не предназначена для обработки специальных категорий персональных данных (о здоровье, биометрии, религиозных и политических убеждениях). Заказчик не вносит такие данные без самостоятельного обеспечения законных оснований.

Исполнитель обрабатывает персональные данные Пользователей с их согласия (пункт 1 статьи 7 Закона), кроме случаев, когда обработка требуется законами Республики Казахстан. Пользователь даёт согласие отметкой в интерфейсе Платформы: при регистрации, а Пользователь, приглашённый владельцем Аккаунта, — при первом входе в Аккаунт. Согласие на маркетинговые сообщения и на трансграничную передачу (пункт 10.2) даётся отдельными отметками. Заказчик обеспечивает ознакомление Пользователей с Политикой до предоставления им доступа.

Согласие содержит: наименование и БИН оператора — ТОО «DIGITAL SOTALABS», БИН 260940001290; фамилию и имя Пользователя, указанные в учётной записи; перечень данных (пункт 4.1); цели (раздел 5); срок — пока существует учётная запись и 12 месяцев после её удаления, а в части данных, которые законы требуют хранить, — в установленные ими сроки (раздел 11); сведения о передаче данных третьим лицам (раздел 9) и о трансграничной передаче (раздел 10). Распространение персональных данных в общедоступных источниках Исполнитель не осуществляет.

Согласие отзывается в порядке пункта 7 статьи 8 Закона: Исполнитель прекращает обработку в течение пятнадцати рабочих дней со дня получения уведомления, если хранение или обработка не требуется по законодательству, либо направляет мотивированный отказ. Отзыв согласия не влияет на законность обработки до отзыва.

6.1. В Платформу встроены функции ИИ: ИИ-ассистент, ИИ-сотрудники (автоматические помощники компании Заказчика, которые отвечают её клиентам в мессенджерах по сценариям и базе знаний, настроенным Заказчиком), генерация документов, отчётов и бизнес-процессов, фоновая обработка входящих сообщений. При их использовании фрагменты данных Аккаунта — текст запроса или диалога, содержимое карточек, к которым обращается запрос, — передаются поставщику моделей ИИ.

6.2. Поставщик моделей — Anthropic PBC (США), модели семейства Claude. Данные передаются в объёме, необходимом для выполнения конкретного запроса. Исполнитель не использует их для обучения моделей и не передаёт поставщику для этой цели, а также принимает меры, чтобы поставщик не использовал передаваемые данные для обучения своих моделей.

6.3. Ответы ИИ носят вспомогательный характер и не являются профессиональной консультацией; решения на их основе принимает человек. Действия ИИ от имени Заказчика выполняются в пределах прав, настроенных Заказчиком, и фиксируются в журналах.

6.4. Заказчик вправе не подключать функции ИИ или отключить их. ИИ-сотрудники работают в каналах только по явной настройке Заказчика. Исполнитель не принимает решений, затрагивающих права и законные интересы субъекта, исключительно на основании автоматизированной обработки. Если Заказчик настраивает ИИ-сотрудника на действия, которые создают, изменяют или прекращают права Контактов, Заказчик обеспечивает основание такой обработки (согласие субъекта, где оно требуется), разъясняет Контактам порядок автоматизированной обработки и её последствия, предоставляет возможность заявить возражение и рассматривает его в течение трёх рабочих дней (статья 19-1 Закона); Исполнитель оказывает Заказчику содействие, а передача диалога сотруднику Заказчика настраивается Заказчиком. Требования Цифрового кодекса Республики Казахстан к полностью автоматизированным решениям (информация о применении алгоритмической системы, объяснение ключевых факторов решения, пересмотр решения с участием специалиста; статья 43) Заказчик соблюдает в отношении Контактов в части, применимой к нему.

7.1. Платформа позволяет подключать каналы переписки — Линии WhatsApp, а по мере запуска также Instagram Direct и Facebook Messenger, — совершать звонки внутри Платформы и размещать публичные лид-формы.

7.2. WhatsApp, Instagram и Facebook Messenger — сервисы компаний группы Meta (Meta Platforms, Inc. (США), Meta Platforms Ireland Limited (Ирландия), WhatsApp LLC (США)). Исполнитель не является их аффилированным лицом или представителем. Каналы Meta по мере запуска подключаются через официальные программные интерфейсы Meta: WhatsApp Business Platform (Cloud API), Instagram и Messenger. Сообщения по ним проходят через инфраструктуру Meta, и на них распространяются также её условия и политики.

Отдельно от Каналов Meta Линия WhatsApp и номер ИИ-ассистента руководителя могут быть подключены по протоколу связанных устройств (пункт 12.5 Оферты). Этот способ не является продуктом или интеграцией Meta и WhatsApp и ими не одобрен; сообщения по нему проходят через инфраструктуру WhatsApp, а пункты 7.5 и 7.7 настоящей Политики к нему не применяются.

7.3. Звонки внутри Платформы проходят через медиасервер Исполнителя; серверная запись звонков не ведётся.

7.4. Посетитель, отправляющий публичную лид-форму, передаёт данные Заказчику, разместившему форму; Заказчик является собственником и оператором этих данных.

7.5. Данные, получаемые от Meta. При подключении канала через официальные программные интерфейсы Meta Исполнитель получает от Meta по поручению Заказчика только те данные, доступ к которым Заказчик предоставил при подключении и которые Meta передаёт по своим правилам:

• WhatsApp: номер телефона собеседника (если Meta его передаёт), имя профиля, имя пользователя и идентификатор собеседника, тексты и вложения сообщений, реакции, статусы доставки и прочтения, отметки времени, сведения об объявлении, из которого начат диалог;
• Instagram Direct: идентификатор собеседника, имя и имя пользователя, ссылку на изображение профиля, тексты и вложения сообщений, ответы на истории и упоминания, статусы прочтения;
• Facebook Messenger: идентификатор собеседника, имя, ссылку на изображение профиля, тексты и вложения сообщений, статусы доставки и прочтения, сведения об объявлении, из которого начат диалог;
• сведения о подключённом аккаунте Заказчика: идентификаторы аккаунта WhatsApp Business и номера, аккаунта Instagram и Страницы Facebook, ключи доступа, выданные Заказчиком приложению Исполнителя.

7.6. Как используются данные, полученные от Meta. Эти данные используются только для оказания услуги Заказчику: отображения переписки в карточках CRM, ответов сотрудников и ИИ-сотрудников Заказчика, автоматизации по настройкам Заказчика. Они хранятся отдельно по каждому Заказчику, не продаются, не используются для рекламы и в собственных целях Исполнителя, не используются Исполнителем для создания, обучения и улучшения моделей искусственного интеллекта и не передаются поставщику моделей для этой цели (пункт 6.2) и раскрываются только Заказчику, получателям, указанным в разделе 9, и по законному требованию государственных органов.

7.7. Обработка данных на стороне Meta. Meta обрабатывает данные каналов на своих условиях: в WhatsApp Business Platform — как обработчик по поручению Заказчика, которому принадлежит аккаунт WhatsApp Business, а также как самостоятельный оператор в целях безопасности своей платформы и в отношении сведений об аккаунте Заказчика, и вправе использовать обезличенные и обобщённые данные для улучшения своих сервисов и аналитики; в Instagram и Facebook Messenger — как самостоятельный оператор на условиях Условий платформы Meta. Данные обрабатываются в центрах обработки данных Meta за пределами Республики Казахстан. Сроки хранения данных у Meta определяются условиями Meta; удаление данных из Платформы не удаляет данные, которые хранит Meta.

Платформа использует локальное хранилище браузера и аналогичные технологии только для работы сервиса: хранение токена сессии, настроек интерфейса (тема, язык, состояние панелей) и служебных отметок. Рекламные и сторонние трекинговые cookies не используются. Очистка хранилища браузера завершает сессию и сбрасывает настройки интерфейса.

Исполнитель раскрывает данные только тем, без кого невозможно оказать услугу, и только в необходимом объёме.

С поставщиками, обрабатывающими данные по поручению Исполнителя, заключаются соглашения с обязательствами конфиденциальности и защиты данных не ниже настоящей Политики. Об изменении перечня получателей Исполнитель уведомляет в порядке Соглашения об обработке. Исполнитель не продаёт персональные данные и не передаёт их для чужой рекламы.

10.1. Базы данных Платформы, содержащие персональные данные, размещаются на территории Республики Казахстан в соответствии со статьёй 12 Закона.

10.2. Трансграничная передача происходит при использовании функций ИИ (Anthropic PBC, США), а также каналов WhatsApp, Instagram Direct и Facebook Messenger и номера ИИ-ассистента руководителя (компании группы Meta; США, Ирландия и иные страны, где расположены центры обработки данных Meta) и осуществляется в соответствии со статьёй 16 Закона. Основанием такой передачи является согласие субъекта персональных данных в соответствии со статьёй 16 Закона. Пользователь даёт такое согласие отдельной отметкой в интерфейсе Платформы до первого использования функций ИИ, каналов WhatsApp, Instagram Direct и Facebook Messenger и номера ИИ-ассистента руководителя и вправе отозвать его в любой момент в интерфейсе Платформы либо уведомив Исполнителя по адресу support@sotacrm.kz; Исполнитель прекращает трансграничную передачу данных этого Пользователя в течение пятнадцати рабочих дней со дня получения уведомления, если её продолжение не требуется законодательством Республики Казахстан, либо направляет мотивированный отказ (пункт 7 статьи 8 Закона). Для данных Контактов основание такой передачи, включая согласие Контактов, обеспечивает Заказчик. Заказчик, не желающий такой передачи, вправе не подключать соответствующие функции. Служебные сообщения Пользователю (коды подтверждения номера телефона, уведомления об окончании Тестового периода, об удалении Аккаунта и об изменении условий) направляются по электронной почте и через операторов связи на территории Республики Казахстан. Доставка служебных сообщений через мессенджер WhatsApp, находящийся за пределами Республики Казахстан, является трансграничной передачей номера телефона и текста сообщения и осуществляется только после согласия Пользователя, которое он даёт отдельной отметкой в порядке настоящего пункта.

По достижении цели обработки персональные данные удаляются или обезличиваются.

Исполнитель принимает в отношении всех данных Аккаунтов правовые, организационные и технические меры защиты, предусмотренные Законом и принятыми в его развитие правилами (те же меры установлены разделом 6 Соглашения об обработке), в том числе:

• шифрование каналов передачи данных (TLS) и шифрование учётных данных интеграций при хранении;
• хэширование паролей необратимыми алгоритмами;
• изоляцию данных Аккаунтов: каждый запрос исполняется в границах Аккаунта, которому принадлежит сессия или ключ;
• ролевую модель доступа и журналы действий;
• резервное копирование и процедуры восстановления;
• доступ персонала к данным по принципу необходимого минимума и обязательства конфиденциальности.

Порядок удаления данных, полученных через WhatsApp, Instagram и Facebook Messenger, изложен в пунктах 13.3–13.5.

13.1. Субъект персональных данных вправе в соответствии со статьёй 24 Закона:

• знать о наличии у Исполнителя своих персональных данных, а также получать сведения о целях, способах и сроках их обработки;
• требовать изменения и дополнения своих персональных данных при наличии оснований;
• требовать блокирования и (или) анонимизации своих персональных данных в случае нарушения условий их сбора и обработки;
• требовать уничтожения или удаления своих персональных данных, а также их анонимизации либо ограничения обработки в случаях, предусмотренных Законом, иными нормативными правовыми актами и статьёй 41 Цифрового кодекса Республики Казахстан, в том числе независимо от основания получения данных, за исключением случаев, предусмотренных законами Республики Казахстан;
• отозвать согласие на обработку, если обработка основана на согласии;
• обжаловать действия Исполнителя в уполномоченный орган или в суд.

13.2. Запросы направляются на support@sotacrm.kz. Исполнитель отвечает в сроки, установленные законодательством Республики Казахстан; на дату настоящей редакции: на запрос о сведениях, относящихся к субъекту, Исполнитель предоставляет сведения или мотивированный отказ в течение трёх рабочих дней со дня получения обращения; на требование об изменении, дополнении, блокировании или удалении данных отвечает в течение одного рабочего дня; на уведомление об отзыве согласия — в течение пятнадцати рабочих дней. Эти сроки относятся к данным, в отношении которых Исполнитель является собственником и оператором. Если запрос касается данных Контакта, которые Исполнитель обрабатывает по поручению Заказчика, Исполнитель без задержки передаёт запрос Заказчику и оказывает ему содействие.

13.3. Как удалить данные, полученные через WhatsApp, Instagram и Facebook Messenger. Если вы писали компании, которая использует SotaCRM, ваши сообщения и данные профиля хранятся в Аккаунте этой компании (Заказчика). Чтобы удалить их:

• обратитесь к этой компании: она удаляет переписку и карточку в своём Аккаунте; либо
• напишите на support@sotacrm.kz с темой «Удаление данных» и укажите канал (WhatsApp, Instagram или Facebook Messenger), номер телефона или имя пользователя, с которого вы писали, и название компании.

Если вы не знаете название компании, укажите дату и примерное время переписки. Исполнитель подтверждает получение запроса ответным письмом, не позднее следующего рабочего дня передаёт его Заказчику и оказывает ему содействие в удалении. О результате Исполнитель сообщает заявителю ответным письмом не позднее 15 рабочих дней со дня получения запроса: данные удалены либо указана причина, по которой удаление невозможно (хранение обязательно по закону либо по запросу нельзя установить переписку). Вместе с перепиской удаляются вложения и данные профиля; копии в резервных хранилищах уничтожаются в срок, указанный в разделе 11.

13.4. Пользователь и Заказчик удаляют данные каналов самостоятельно в Аккаунте: отключение канала прекращает получение данных от Meta и удаляет ключи доступа к нему; переписка и карточки удаляются в интерфейсе Платформы; при удалении Аккаунта данные каналов удаляются в порядке раздела 8 Оферты. Если вы удалили приложение SotaCRM в настройках своего аккаунта Meta (Facebook, Instagram) или не имеете доступа к Аккаунту, напишите на support@sotacrm.kz с темой «Удаление данных» и укажите аккаунт, который вы подключали: Исполнитель удалит ключи доступа к нему и сведения о подключении и сообщит о результате в срок, указанный в пункте 13.2.

13.5. Удаление данных в Платформе не удаляет данные, которые Meta хранит по своим условиям: сообщения WhatsApp хранятся у Meta ограниченный срок, определённый её условиями, данные в Instagram и Facebook Messenger — по правилам этих сервисов. Запрос об удалении таких данных направляется в Meta через настройки и формы обращения соответствующего сервиса (WhatsApp, Instagram, Facebook), указанные в политиках конфиденциальности Meta, либо Заказчику как владельцу аккаунта в Meta.

Платформа предназначена для предпринимательской деятельности и не предназначена для лиц младше 18 лет. Исполнитель сознательно не собирает их данные и удаляет такую учётную запись, узнав о ней.

При инциденте, затрагивающем персональные данные, Исполнитель незамедлительно принимает меры по его локализации и устранению последствий, уведомляет затронутых Заказчиков без неоправданной задержки и не позднее 24 часов с момента, когда ему стало известно об инциденте, и самостоятельно направляет уполномоченному органу уведомление о нарушении безопасности персональных данных в срок, установленный законодательством Республики Казахстан; на дату настоящей редакции — в течение одного рабочего дня с момента обнаружения нарушения (подпункт 8) пункта 2 статьи 25 Закона).

Уполномоченный орган в сфере защиты персональных данных в Республике Казахстан — Министерство искусственного интеллекта и цифрового развития Республики Казахстан. Просим сначала обращаться к Исполнителю на support@sotacrm.kz: большинство вопросов решается быстрее напрямую.

Исполнитель вправе обновлять Политику. Действующая редакция с датой размещается по адресу sotacrm.kz/legal/privacy, предыдущие редакции предоставляются по запросу. О существенных изменениях Заказчики уведомляются через интерфейс Платформы и по электронной почте не менее чем за 10 календарных дней до их вступления в силу.