Политика обработки персональных данных
Политика обработки персональных данных
Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса онлайн-бухгалтерии esepro (далее — «Сервис»), доступного по адресу esepro.kz.
Политика разработана в соответствии с Законом Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V (далее — «Закон о ПДн»).
Используя Сервис и предоставляя свои персональные данные, вы подтверждаете ознакомление с настоящей Политикой. Согласие на обработку персональных данных даётся отдельной отметкой в порядке раздела 3 настоящей Политики и документа «Согласие на обработку персональных данных»; настоящая Политика описывает условия такой обработки.
1. Оператор персональных данных
Оператором персональных данных (лицом, осуществляющим сбор и обработку персональных данных) является:
- Наименование: индивидуальный предприниматель «Solai Solutions» (Алғазы Арманжан Сағатбекұлы)
- ИИН: 890711301780
- Адрес: Республика Казахстан, г. Алматы, мкр. Аккент, д. 5, кв. 55
- Контактный телефон: +7 (747) 835-92-20
- Контактный email для вопросов по обработке персональных данных: info@esepro.kz
1.1. Смена оператора
С 8 октября 2026 года оператором персональных данных пользователей Сервиса является ИП «Solai Solutions»; для пользователей, зарегистрированных до этой даты, — с момента принятия ими новой редакции (абзац ниже).
Пользователь, зарегистрированный до 8 октября 2026 года, при входе в Сервис принимает новую редакцию документов и даёт согласие ИП «Solai Solutions» на обработку своих персональных данных. До принятия новой редакции оператором его персональных данных остаётся оператор, которому он дал согласие ранее (указан в принятой им редакции документов), а ИП «Solai Solutions» обрабатывает их по поручению этого оператора, в пределах ранее данного Пользователем согласия и только в объёме, необходимом для хранения данных, входа в Сервис, принятия новой редакции, выгрузки документов и удаления учётной записи, а также для направления уведомления о новой редакции и напоминаний о сроках по задачам, созданным до смены оператора. Пользователь, не согласный с новой редакцией, вправе потребовать выгрузки своих документов и удаления учётной записи (раздел 7).
2. Перечень обрабатываемых персональных данных и цели обработки
Сервис обрабатывает только те персональные данные, которые необходимы для оказания услуг. Перечень данных и цели их обработки приведены по категориям.
2.1. Данные зарегистрированного пользователя
| Категория данных | Цель обработки |
|---|---|
| Адрес электронной почты (email) | Регистрация и идентификация учётной записи; вход в Сервис; подтверждение email; восстановление пароля; направление транзакционных уведомлений (напоминания о задачах, уведомления по документам, об оплате и о смене редакции документов) |
| Имя, фамилия, отчество; имя для обращения | Персонализация учётной записи и обращений в интерфейсе |
| Номер телефона (если указан) | Связь с пользователем по вопросам учётной записи и поддержки. Телефон указывается по желанию пользователя |
| Пароль (в виде необратимого хеша) | Обеспечение безопасного доступа к учётной записи. Пароль хранится исключительно в виде криптографического хеша и не доступен оператору в открытом виде |
| Идентификатор аккаунта Google, email и имя из Google (при входе через Google) | Вход в Сервис через аккаунт Google: привязка аккаунта Google к учётной записи и её идентификация. Пароль от аккаунта Google оператору не передаётся и не доступен |
| Дата и версия принятых документов (согласия, оферты) | Подтверждение получения согласия (статья 8 пункт 1 Закона о ПДн) |
| IP-адрес и сведения о браузере (User-Agent) в активных сессиях; дата последней активности | Безопасность учётной записи, управление сессиями входа, внутренняя статистика использования Сервиса |
| История действий с документами (кто и когда создал, изменил, подписал, отменил, восстановил документ) | Отображение истории документа пользователю; разбор спорных ситуаций |
| Настройки уведомлений (в том числе согласие на напоминания проверить ИС ЭСФ) | Направление уведомлений по выбору пользователя |
2.2. Данные о компании пользователя, контрагентах и иных лицах, вносимые в документы
При создании документов (счёт на оплату, акт выполненных работ, накладная, коммерческое предложение, акт приёма-передачи, акт сверки, кассовые ордера, доверенность, платёжное поручение, авансовый отчёт, договор и другие) пользователь вносит реквизиты своей компании, контрагентов и иных лиц, которые могут содержать персональные данные физических лиц:
| Категория данных | Цель обработки |
|---|---|
| ФИО и должность руководителя компании или контрагента; ФИО подписантов, главного бухгалтера, кассира и иных работников, указанных в документах | Формирование и хранение документов, их оформление в соответствии с законодательством РК о бухгалтерском учёте |
| БИН / ИИН компании, контрагента, покупателя — физического лица | Идентификация стороны документа; автоматическое заполнение реквизитов по справочным данным; оформление ЭСФ |
| Юридический и (или) фактический адрес, телефон, email контрагента | Оформление реквизитов сторон в документах |
| Банковские реквизиты (ИИК, банк, БИК) компании и контрагентов, в том числе индивидуальных предпринимателей и физических лиц | Оформление платёжных реквизитов в документах |
| Данные документа, удостоверяющего личность (номер, дата выдачи, кем выдан), доверенного лица и получателя денег по расходному кассовому ордеру | Оформление доверенности и кассового ордера по установленной форме |
| ФИО подотчётного лица (авансовый отчёт), получателя платежа (платёжное поручение), сторон и их представителей в договорах, в том числе физических лиц по договорам гражданско-правового характера | Формирование соответствующих документов и договоров |
| Изображения подписи руководителя, оттиска печати и логотип компании | Проставление в формируемые документы по выбору пользователя |
| Фото и сканы подписанных экземпляров документов, файлы договоров, загружаемые пользователем (могут содержать подписи и иные персональные данные) | Хранение копий документов пользователя и их выгрузка |
| Сведения входящих ЭСФ и ЭАВР, полученных из ИС ЭСФ (реквизиты поставщиков, в том числе ФИО и ИИН индивидуальных предпринимателей) | Отображение входящих документов и ответы на них по команде пользователя |
В отношении персональных данных руководителей контрагентов, индивидуальных предпринимателей и иных третьих лиц, самостоятельно вносимых Пользователем в Сервис при формировании документов, оператор (ИП «Solai Solutions») выступает лицом, осуществляющим обработку персональных данных по поручению Пользователя (подпункт 17) статьи 1, пункт 1 статьи 7 Закона о ПДн). Единственным оператором указанных данных контрагентов является Пользователь; обязанность по получению согласий этих субъектов на обработку их персональных данных (или наличие иных законных оснований) в соответствии с законодательством Республики Казахстан возлагается на Пользователя. Это относится и к данным, передаваемым по команде Пользователя в ИС ЭСФ (раздел 2.5).
2.3. Технологическое кэширование справочных данных по БИН/ИИН
Сервис по поручению и инициативе Пользователей осуществляет автоматизированное извлечение открытых справочных данных (ФИО индивидуальных предпринимателей и наименования юридических лиц) из официальных общедоступных реестров Комитета государственных доходов МФ РК (portal.kgd.gov.kz) исключительно в целях автозаполнения реквизитов в формируемых Пользователем первичных документах.
Для оптимизации скорости работы Сервиса и снижения нагрузки на государственные информационные системы, Сервис осуществляет временное технологическое кэширование (буферизацию) транзитных данных (сопоставление ИИН/БИН и ФИО/Наименования) в локальной базе данных на территории Республики Казахстан на срок до 30 (тридцати) дней. Такое кэширование не преследует целей создания самостоятельных баз данных или нецелевого извлечения информации, осуществляется в рамках технического обеспечения процессов Пользователя и автоматически удаляется по истечении установленного TTL-срока.
Помимо реестра Комитета государственных доходов, для юридических лиц используется источник data.egov.kz (Государственная база данных «Юридические лица», gbd_ul): по БИН возвращаются наименование юридического лица, ФИО его руководителя, адрес, статус и даты регистрации. Категории извлекаемых и буферизуемых справочных данных:
| Категория данных | Цель обработки |
|---|---|
| ФИО индивидуального предпринимателя (из реестра налогоплательщиков КГД); ФИО руководителя юридического лица (из ГБД «Юридические лица») | Автозаполнение реквизитов контрагента и (или) исполнителя в формируемых Пользователем первичных документах; снижение нагрузки на государственные источники за счёт исключения повторных одинаковых запросов |
| ИИН индивидуального предпринимателя / БИН юридического лица; адрес юридического лица; статус и даты регистрации налогоплательщика; сведения о применяемом налоговом режиме | Идентификация стороны документа и автозаполнение реквизитов |
Государственные реестры, к которым обращается Сервис, являются открытыми (общедоступными) источниками: сведения соответствующих реестров опубликованы в соответствии с законами Республики Казахстан (подпункт 7) статьи 9 Закона о ПДн во взаимосвязи с Законом Республики Казахстан «О доступе к информации» № 401-V). Публичность и открытость этих источников означают, что Сервис вправе обращаться к ним и извлекать из них справочные данные по запросу Пользователя. При этом сама по себе общедоступность (опубликование) источника не является самостоятельным правовым основанием последующей обработки и временного хранения (буферизации) таких данных Сервисом.
Правовым основанием обработки и временного хранения справочных данных Сервисом является обработка по поручению Пользователя (подпункт 17) статьи 1, пункт 1 статьи 7 Закона о ПДн), как это определено в разделе 2.2 настоящей Политики: единственным оператором данных контрагентов выступает Пользователь, а обязанность по наличию согласий соответствующих субъектов (или иных законных оснований) возлагается на Пользователя. Сервис в отношении таких данных выступает лицом, осуществляющим обработку по поручению Пользователя.
Извлечение и буферизация носят строго целевой характер: данные запрашиваются у государственного источника по поручению и инициативе Пользователя для автозаполнения реквизитов конкретного документа. Сервис не осуществляет фонового или массового извлечения и накопления персональных данных из общедоступных источников для создания или расширения собственных баз данных (статья 7 пункт 11 Закона о ПДн).
Транзитный буфер справочных данных размещается в базе данных на территории Республики Казахстан (статья 12 пункт 2 Закона о ПДн), не передаётся третьим лицам и не публикуется. Срок хранения составляет не более 30 дней (для отрицательного результата — «данные не найдены» — не более 1 дня), после чего записи автоматически удаляются, а данные при необходимости запрашиваются у источника повторно.
Субъект персональных данных (в том числе индивидуальный предприниматель, руководитель юридического лица) вправе запросить сведения о наличии своих персональных данных в кэше Сервиса, их исправление или удаление через единый канал обращения, указанный в разделе 7 настоящей Политики.
2.4. Email посетителя в анонимной форме создания документа
Посетитель, не прошедший регистрацию, может создать документ и указать адрес электронной почты для его получения/сохранения.
| Категория данных | Цель обработки |
|---|---|
| Адрес электронной почты, указанный без регистрации | Направление ссылки на созданный документ; возможность последующего «переноса» анонимного черновика в зарегистрированную учётную запись |
2.5. Работа с ИС ЭСФ (электронные счета-фактуры и электронные акты)
По команде пользователя Сервис взаимодействует с информационной системой электронных счетов-фактур органов государственных доходов РК (ИС ЭСФ): открывает сессию, направляет подписанные пользователем ЭСФ и ЭАВР, получает их статусы, входящие документы и ответы на них.
| Категория данных | Цель обработки |
|---|---|
| ИИН и сведения сертификата ЭЦП (ФИО владельца, ИИН/БИН) | Вход в ИС ЭСФ, сверка полномочий с компанией, указание лица, выписавшего документ |
| Пароль учётной записи ИС ЭСФ | Однократная передача в ИС ЭСФ для открытия сессии. Пароль не сохраняется и не записывается в журналы Сервиса |
| Идентификатор сессии ИС ЭСФ | Работа в открытой сессии до её закрытия |
| Содержание ЭСФ и ЭАВР (реквизиты сторон, в том числе ФИО и ИИН индивидуальных предпринимателей и физических лиц, позиции, суммы), подписанные документы, регистрационные номера и статусы | Выписка, отслеживание, исправление и отзыв документов; хранение истории документа |
| Сведения профиля ИС ЭСФ (наименование, адрес, тип налогоплательщика) | Заполнение реквизитов продавца. Паспортные данные и телефон из профиля ИС ЭСФ не сохраняются |
Закрытый ключ ЭЦП и пароль к нему на сервер Сервиса не передаются: подпись формируется на устройстве пользователя (через NCALayer или файлом ключа в браузере).
2.6. ИИ-консультант EsepAI
| Категория данных | Цель обработки |
|---|---|
| Текст вопросов и ответов после автоматической замены персональных данных метками (метками заменяются ИИН/БИН, номера телефонов, ИИК, номера карт, email и имена) | Подготовка ответа; хранение истории диалогов; контроль и улучшение качества ответов и базы знаний |
| Оценки ответов и комментарии к ним | Контроль качества ответов |
| Профиль активной компании без персональных данных: форма (ИП/ТОО), налоговый режим, ставка налога, признак плательщика НДС, код ОКЭД | Учёт особенностей компании в ответе. Наименование, БИН/ИИН, адрес, телефон, ФИО, банковские реквизиты и суммы не передаются |
| Сведения об использовании (количество вопросов, служебные параметры ответов) | Учёт квоты, контроль расходов и работоспособности |
Текст вопроса после автоматической замены персональных данных метками передаётся на вспомогательный сервер поиска по базе знаний, расположенный на территории Республики Казахстан, и поставщику модели искусственного интеллекта Anthropic, PBC (США) для подготовки ответа — это трансграничная передача (раздел 6). Автоматическая замена может не распознать отдельные данные (например, некоторые имена), поэтому не указывайте в вопросах персональные данные. Диалоги хранятся до 12 месяцев; при их просмотре уполномоченными лицами оператора для контроля и улучшения качества ответов автор диалога не указывается. Удалить диалог можно по обращению на info@esepro.kz.
2.7. Напоминания в Telegram
| Категория данных | Цель обработки |
|---|---|
| Идентификатор чата Telegram, дата подключения | Направление напоминаний о задачах в мессенджер Telegram по выбору пользователя |
Имя и номер телефона из Telegram не запрашиваются и не хранятся. Сообщение содержит наименование компании, задачу, срок и ссылку в Личный кабинет — без сумм, БИН/ИИН и данных контрагентов. Наименование компании индивидуального предпринимателя может содержать его фамилию. Сообщения хранятся у Telegram за пределами Республики Казахстан. Отключить напоминания можно в профиле или командой /stop в Telegram.
2.8. Оплата тарифа
| Категория данных | Цель обработки |
|---|---|
| Email, сведения о тарифе, оплаченном сроке и компаниях; суммы, даты и статусы платежей и возвратов; идентификаторы платежей; ссылка (токен) для автоматических списаний; последние цифры номера карты и платёжная система (при их получении от платёжного провайдера) | Оплата тарифа, автоматическое продление, возвраты, напоминания о списании, учёт доходов оператора и исполнение налоговых обязанностей |
Данные банковской карты (номер карты целиком, срок действия, код CVV/CVC) вводятся на защищённой странице платёжного провайдера и оператору не передаются и не хранятся. Сведения о расчётах передаются оператору фискальных данных и в органы государственных доходов в случаях и объёме, предусмотренных налоговым законодательством РК.
2.9. Технические данные и веб-аналитика
| Категория данных | Цель обработки |
|---|---|
| IP-адрес | Защита от автоматических атак (анти-бот), обеспечение безопасности и ограничение частоты запросов, проверка прохождения капчи |
| Файлы cookie, данные о действиях на сайте и в личном кабинете, поведенческие данные | Веб-аналитика, оценка удобства и эффективности Сервиса (подробнее — раздел 9 «Файлы cookie и веб-аналитика») |
| Технические сведения об ошибках в работе Сервиса | Диагностика и устранение сбоев. В отчёты об ошибках не включаются cookie, IP-адрес, заголовки и содержимое запросов; тексты ошибок маскируются |
2.10. Обращения в службу поддержки и обратная связь
При обращении в Сервис по каналам электронной связи (электронная почта, в том числе info@esepro.kz) и через форму обратной связи в личном кабинете обрабатываются данные, содержащиеся в обращении пользователя.
Цель: Осуществление клиентской поддержки, обработка запросов, обращений и жалоб Пользователей.
Категории ПДн: адрес электронной почты, ФИО, номер телефона, текст обращения, вложенные изображения (снимки экрана), связь обращения с учётной записью и компанией, а также любые иные персональные данные, добровольно предоставленные Пользователем в тексте обращения или во вложениях к нему.
Срок обработки: в течение срока, необходимого для разрешения сути обращения, и 3 (три) года после его разрешения (для целей возможного урегулирования споров).
2.11. Напоминание о запуске тарифа Pro
Посетитель сайта может оставить адрес электронной почты, чтобы получить одно письмо о запуске тарифа Pro. Это не регистрация и не подписка на рассылку: других писем на этот адрес не отправляется.
| Категория данных | Цель обработки |
|---|---|
| Адрес электронной почты; язык страницы, с которой он оставлен; дата согласия и редакция его текста | Отправка одного письма о запуске тарифа Pro на языке страницы; подтверждение полученного согласия |
Письмо отправляется через Resend (США) — это трансграничная передача адреса (раздел 6), она осуществляется на основании согласия субъекта. Адрес удаляется сразу после отправки письма; если письмо не отправлено — через 90 дней с момента согласия (повторное согласие с того же адреса отсчитывает срок заново). В зашифрованных резервных копиях удалённый адрес может сохраняться до 90 дней (раздел 4). Отозвать согласие и потребовать удаления адреса до отправки письма можно, написав на info@esepro.kz с этого адреса.
3. Правовое основание обработки
Правовым основанием обработки персональных данных является согласие субъекта персональных данных (статья 7 пункт 1, статья 8 Закона о ПДн), которое субъект предоставляет:
- при регистрации в Сервисе — путём проставления отметки о согласии с настоящей Политикой и Согласием на обработку персональных данных;
- при принятии новой редакции документов — отдельной отметкой при входе в Сервис;
- при указании email в анонимной форме создания документа — путём информированного согласия на соответствующем шаге.
- при указании email в форме «Напомнить о запуске Pro» на сайте — отметкой о согласии рядом с полем email (раздел 2.11).
В отношении данных контрагентов и иных третьих лиц, вносимых пользователем в документы и направляемых по его команде в ИС ЭСФ (разделы 2.2, 2.3, 2.5), оператор действует по поручению пользователя (подпункт 17) статьи 1, статья 7 пункт 1 Закона о ПДн).
В отдельных случаях обработка может осуществляться на иных основаниях, предусмотренных законодательством Республики Казахстан (статья 9 Закона о ПДн), в том числе при обработке данных из общедоступных источников, при хранении оператором сведений об оплатах и возвратах в силу налогового законодательства (см. раздел 4) и при передаче сведений о расчётах в соответствии с налоговым законодательством.
Форма согласия допускается электронная — «иным способом, позволяющим подтвердить получение согласия» (статья 8 пункт 1 Закона о ПДн). Факт, дата и версия согласия фиксируются оператором.
4. Сроки хранения персональных данных
Срок хранения персональных данных определяется датой достижения целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан (статья 12 Закона о ПДн).
| Категория данных | Срок хранения |
|---|---|
| Данные учётной записи (email, ФИО, телефон, настройки) | В течение срока действия учётной записи. После удаления учётной записи — удаляются, за исключением данных, по которым действует законная обязанность хранения |
| Первичные бухгалтерские документы (и содержащиеся в них ПДн), в том числе ЭСФ и ЭАВР и сведения о них | В течение срока действия учётной записи. Обязанность хранить первичные документы в течение срока, установленного законодательством РК, — для первичных бухгалтерских документов не менее 5 лет (статья 11 Закона РК «О бухгалтерском учёте и финансовой отчётности» № 234-III), для целей налогового контроля — в течение срока исковой давности по налоговому обязательству (статья 65 Налогового кодекса РК), — лежит на Пользователе (см. Договор-оферту, раздел 17) |
| Файлы, загруженные пользователем (изображения подписи, печати и логотипа, фото и сканы подписанных экземпляров, файлы договоров) | В течение срока действия учётной записи. Файл, удалённый пользователем, перестаёт отображаться, но может сохраняться в хранилище как часть истории документа; по запросу субъекта персональных данных уничтожается, если не вошёл в подписанный документ |
| Анонимные черновики документов (без привязки к учётной записи) | До 30 дней с момента создания, после чего удаляются автоматически |
| Адрес электронной почты для напоминания о запуске тарифа Pro (раздел 2.11) | До отправки письма о запуске, после чего удаляется; если письмо не отправлено — 90 дней с момента согласия |
| Черновики документов зарегистрированного пользователя | До 60 дней с момента последнего изменения (с предварительным уведомлением в интерфейсе), после чего удаляются автоматически |
| Документы со статусом «Отменён» | В течение срока действия учётной записи; автоматически не удаляются |
| Кэш справочных данных по БИН/ИИН (см. раздел 2.3) | До 30 дней с момента получения данных (для отрицательного результата «данные не найдены» — до 1 дня), после чего записи автоматически удаляются и данные при необходимости запрашиваются повторно |
| Пароль учётной записи ИС ЭСФ | Не хранится |
| Идентификатор сессии ИС ЭСФ | До закрытия сессии |
| Диалоги EsepAI (после автоматической замены персональных данных метками) и оценки ответов | До 12 месяцев с даты сообщения |
| Идентификатор чата Telegram | До отключения напоминаний или удаления учётной записи |
| Сведения об оплатах и возвратах | В течение сроков, установленных налоговым законодательством и законодательством о бухгалтерском учёте РК |
| IP-адрес и сведения о браузере в сессиях входа | До выхода из учётной записи, смены пароля или удаления учётной записи |
| Архив документов (ZIP), сформированный по запросу пользователя | 24 часа, после чего удаляется |
| Данные обращений в службу поддержки (раздел 2.10) | В течение срока, необходимого для разрешения сути обращения, и 3 (три) года после его разрешения (для целей возможного урегулирования споров) |
| Технические данные веб-аналитики (cookie, поведенческие данные) | В соответствии с настройками сервисов аналитики (см. раздел 9) |
| Резервные копии базы данных | До 90 дней, в зашифрованном виде, на территории Республики Казахстан |
Данные, удалённые из Сервиса, могут сохраняться в зашифрованных резервных копиях до истечения срока их хранения, после чего уничтожаются.
Срок хранения первичных документов определён законодательством РК: статья 11 Закона № 234-III «О бухгалтерском учёте и финансовой отчётности» (не менее 5 лет) и статья 65 НК РК (срок исковой давности для целей налогового контроля). Обязанность надлежащего долгосрочного хранения первичных документов возлагается на Пользователя (см. Договор-оферту, раздел 17).
Документы и данные учётной записи хранятся в Сервисе в течение срока действия учётной записи. Обязанность хранить первичные документы в течение срока, установленного законодательством, лежит на Пользователе (Договор-оферта, раздел 17); у оператора такой обязанности в отношении документов Пользователя нет. При удалении учётной записи по запросу субъекта оператор, предварительно предоставив возможность выгрузить документы, удаляет её данные и документы, за исключением данных, хранить которые обязан сам оператор (сведения об оплатах и возвратах — в течение сроков, установленных налоговым законодательством и законодательством о бухгалтерском учёте), и данных, необходимых для исполнения неисполненного обязательства (статья 8 пункт 2 Закона о ПДн).
5. Передача персональных данных третьим лицам (процессорам)
Для оказания услуг оператор привлекает третьих лиц (процессоров), которым в необходимом объёме передаёт персональные данные. Перечень процессоров и характер обрабатываемых ими данных:
| Процессор | Назначение | Передаваемые данные | Страна размещения |
|---|---|---|---|
| PS Internet Company LLP (ps.kz, хостинг-провайдер, в том числе объектное хранилище PS Cloud) | Размещение основной базы данных Сервиса, файлов пользователей и резервных копий | Все категории ПДн, хранимые в Сервисе | Республика Казахстан (ЦОД в РК) |
| Resend | Отправка транзакционных писем (подтверждение email, восстановление пароля, уведомления, напоминания, ссылки на документы) | Адрес электронной почты получателя, содержание письма | США |
| Zoho Mail (Zoho Corporation) | Корпоративная электронная почта для клиентской поддержки и деловой переписки (info@esepro.kz), в том числе получение уведомлений об обращениях из личного кабинета | Email, ФИО, телефон и иные ПДн, содержащиеся в обращениях Пользователей и вложениях к ним | США |
| Cloudflare (в т.ч. Turnstile) | Защита от автоматических атак (капча), доставка контента | IP-адрес, технический токен проверки | США / распределённая сеть |
| Sentry (Functional Software, Inc.) | Сбор технических отчётов об ошибках в работе Сервиса | Технические сведения об ошибке; cookie, IP-адрес, заголовки и содержимое запросов не передаются, тексты ошибок маскируются | Европейский союз |
| Yandex Metrica | Веб-аналитика | IP-адрес, файлы cookie, поведенческие данные | Российская Федерация |
| Google (Google Analytics 4) | Веб-аналитика | IP-адрес, файлы cookie, поведенческие данные | США |
| Google (вход через аккаунт Google) | Аутентификация пользователя, выбравшего вход через Google: Google подтверждает вход и сообщает оператору идентификатор аккаунта, email и имя | Технический код входа; в ответ оператор получает от Google идентификатор аккаунта, email и имя | США |
| Telegram | Доставка напоминаний о задачах пользователям, подключившим бота Сервиса | Идентификатор чата, текст напоминания (наименование компании, задача, срок, ссылка) | За пределами Республики Казахстан (серверы Telegram) |
| Anthropic, PBC | Подготовка ответов ИИ-консультанта EsepAI | Текст вопросов и диалога после автоматической замены персональных данных метками, фрагменты базы знаний, профиль компании без ПДн (раздел 2.6) | США (и другие страны обработки запросов Anthropic) |
| Платёжный провайдер, указанный на странице оплаты Сервиса | Приём оплаты банковскими картами, автоматические списания, возвраты, фискальные чеки | Email, сумма и назначение платежа, данные карты (вводятся пользователем непосредственно на странице провайдера) | Республика Казахстан |
Государственные источники и системы: Комитет государственных доходов МФ РК (portal.kgd.gov.kz), data.egov.kz (ГБД «Юридические лица»), ИС ЭСФ | Получение справочных реквизитов налогоплательщика по ИИН и БИН (см. раздел 2.3); выписка, получение и отслеживание ЭСФ и ЭАВР по команде пользователя (раздел 2.5) | ИИН / БИН (направляемый запрос); содержание ЭСФ и ЭАВР, сведения сертификата ЭЦП, пароль ИС ЭСФ (однократно, для открытия сессии) | Республика Казахстан |
Формирование файлов документов (PDF), поиск по базе знаний EsepAI, очистка изображений подписи и печати выполняются собственными средствами оператора на инфраструктуре, размещённой на территории Республики Казахстан; передачи персональных данных стороннему лицу для этих целей не происходит.
Основная база данных Сервиса, файлы пользователей и резервные копии размещаются на территории Республики Казахстан (хостинг-провайдер ps.kz; дополнительная зашифрованная копия файлов — на резервном сервере в Республике Казахстан), что соответствует требованию статьи 12 пункта 2 Закона о ПДн о хранении персональных данных в базе, находящейся на территории Республики Казахстан.
Передача адреса электронной почты процессору Resend (США) осуществляется исключительно в технологических целях — для моментальной доставки транзакционных уведомлений. Накопление, постоянное хранение и формирование баз данных персональных данных за пределами Республики Казахстан не осуществляются; мастер-база Сервиса стационарно локализована в Республике Казахстан (ЦОД PS Internet Company LLP, ps.kz), что соответствует требованию статьи 12 пункта 2 Закона о ПДн. Время хранения технологических журналов на стороне Resend минимизируется.
Для организации службы клиентской поддержки и ведения деловой переписки Сервис использует платформу электронной почты Zoho Mail (Zoho Corporation). Передача персональных данных, содержащихся в электронных письмах Пользователей, на серверы Zoho Corporation осуществляется исключительно в целях оперативного взаимодействия и технического обеспечения коммуникации. Первичный сбор и архивация учетных данных Пользователей при этом неизменно производятся на локализованных серверах Сервиса в Республике Казахстан.
Учётная запись Zoho Mail размещена в дата-центре на территории США. Передача персональных данных, содержащихся в обращениях Пользователей, процессору Zoho Mail (США) осуществляется на основании согласия субъекта персональных данных (статья 16 Закона о ПДн) — аналогично передаче через Resend (США). Накопление, постоянное хранение и формирование баз персональных данных за пределами Республики Казахстан не осуществляются; мастер-база Сервиса стационарно локализована в Республике Казахстан (ЦОД PS Internet Company LLP, ps.kz), что соответствует требованию статьи 12 пункта 2 Закона о ПДн.
Передача текста вопросов EsepAI процессору Anthropic, PBC (США) осуществляется на основании согласия субъекта (статья 16 Закона о ПДн), только после автоматической замены персональных данных метками и исключительно для подготовки ответа. Мастер-база Сервиса, включая историю диалогов, хранится в Республике Казахстан.
6. Трансграничная передача персональных данных
В связи с использованием отдельных процессоров часть персональных данных передаётся на территорию иностранных государств (трансграничная передача, статья 16 Закона о ПДн):
- в США — адреса электронной почты и содержание транзакционных писем (через Resend); персональные данные, содержащиеся в обращениях Пользователей в службу поддержки (через Zoho Mail, Zoho Corporation); поведенческие данные веб-аналитики (через Google Analytics 4); данные для входа через аккаунт Google (через Google); технические данные (через Cloudflare); текст вопросов ИИ-консультанта после автоматической замены персональных данных метками (через Anthropic, PBC; обработка запросов может выполняться и в других странах);
- в Российскую Федерацию — поведенческие данные веб-аналитики (через Yandex Metrica);
- в Европейский союз — технические сведения об ошибках (через Sentry);
- за пределы Республики Казахстан на серверы Telegram — идентификатор чата и текст напоминаний для пользователей, подключивших напоминания в Telegram.
Трансграничная передача осуществляется на основании согласия субъекта персональных данных, предоставляемого при регистрации, при принятии новой редакции документов и (или) при использовании соответствующих функций Сервиса (статья 16 Закона о ПДн). Сведения о трансграничной передаче также включены в документ «Согласие на обработку персональных данных».
7. Права субъекта персональных данных
В соответствии со статьёй 24 Закона о ПДн субъект персональных данных имеет право:
- знать о наличии у оператора своих персональных данных, а также получать информацию, содержащую такие данные;
- требовать изменения и дополнения своих персональных данных при наличии оснований, подтверждённых соответствующими документами;
- требовать уничтожения своих персональных данных, обработка которых осуществляется с нарушением законодательства РК либо при отсутствии законных оснований для дальнейшего хранения;
- отозвать ранее данное согласие на сбор и обработку персональных данных, за исключением случаев, когда это противоречит законам РК либо при наличии неисполненного обязательства (статья 8 пункт 2 Закона о ПДн).
Срок реакции оператора. На основании соответствующих документов, подтверждающих достоверность, оператор обязуется в течение одного рабочего дня изменить и (или) дополнить персональные данные либо уничтожить их при невозможности изменения и (или) дополнения (статья 25 пункт 2 Закона о ПДн).
Ограничение права на удаление. Отозвать согласие и потребовать уничтожения персональных данных нельзя, если это противоречит законам Республики Казахстан либо при наличии неисполненного обязательства (статья 8 пункт 2 Закона о ПДн) — например, в отношении сведений об оплатах, которые оператор хранит в силу налогового законодательства. Если персональные данные субъекта внесены в Сервис другим пользователем (например, как данные контрагента в его документах), оператором этих данных является такой пользователь, а Сервис обрабатывает их по его поручению (раздел 2.2): требование об их изменении или уничтожении субъект направляет этому пользователю; поступившее в Сервис обращение оператор передаёт пользователю и содействует его исполнению.
Порядок реализации прав. Для реализации своих прав (в том числе для удаления учётной записи, выгрузки документов, удаления диалогов EsepAI) субъект направляет обращение на контактный email оператора, указанный в разделе 1 настоящей Политики, с адреса электронной почты своей учётной записи либо иным способом, позволяющим подтвердить личность заявителя.
8. Ответственное лицо по обработке персональных данных
Оператором назначено лицо, ответственное за организацию обработки персональных данных. Контактные данные для обращений по вопросам обработки персональных данных:
- Контакт: info@esepro.kz, +7 (747) 835-92-20
Уполномоченным государственным органом в сфере защиты персональных данных является центральный исполнительный орган, осуществляющий руководство в сфере защиты персональных данных (статья 27-1 Закона о ПДн).
Уполномоченным органом является Комитет по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан (ранее — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК). Адрес: 010000, г. Астана, проспект Мәңгілік Ел, 8, Дом министерств. Единый телефон доверия: 1414.
При нарушении безопасности персональных данных оператор уведомляет уполномоченный орган в порядке и сроки, установленные законодательством РК.
9. Файлы cookie и веб-аналитика
9.1. Что такое файлы cookie
Файлы cookie — это небольшие текстовые файлы, которые сайт сохраняет в браузере вашего устройства при посещении. Они позволяют сайту «запоминать» ваши действия и настройки в течение сессии и между визитами. Помимо cookie, мы используем сходные технологии (локальное хранилище браузера localStorage/sessionStorage, идентификаторы сессии) — здесь все они для краткости называются «cookie».
9.2. Строго необходимые (технические) cookie
Нужны для базовой работы сайта и личного кабинета: авторизация, поддержание сессии, безопасность (защита от подделки запросов — CSRF), запоминание факта вашего ответа на cookie-баннер.
| Назначение | Тип / срок | Передача за рубеж |
|---|---|---|
| Сессия авторизации в личном кабинете (HttpOnly cookie) | Сессионная, до 30 дней (rolling) | Нет (хранится на стороне оператора) |
| Защита от CSRF | Сессионная | Нет |
| Запоминание ответа на cookie-баннер (согласие/отказ от аналитики) | До 12 месяцев | Нет |
| Анти-бот проверка форм (Cloudflare Turnstile) | Сессионная / краткосрочная | Да — Cloudflare обрабатывает IP за рубежом (см. раздел 5) |
Строго необходимые cookie не требуют согласия — без них сайт и личный кабинет не работают. Их нельзя отключить через баннер; их можно заблокировать только в настройках браузера, но тогда часть функций станет недоступна.
На странице оплаты платёжного провайдера действуют правила этого провайдера.
9.3. Аналитические cookie (запускаются ТОЛЬКО после вашего согласия)
Помогают нам понять, как используются сайт и личный кабинет, и улучшать сервис. Эти cookie и связанные с ними скрипты не загружаются и не выполняются, пока вы не дали согласие:
- посетитель сайта без учётной записи — через cookie-баннер;
- зарегистрированный пользователь — при регистрации или принятии новой редакции, принимая Согласие на обработку персональных данных: согласие на аналитические cookie входит в его состав, отдельный баннер не показывается.
| Сервис | Что собирает | Куда передаются данные |
|---|---|---|
| Yandex Metrica | Просмотры страниц, источники переходов, карта кликов, прокрутка. Режим записи действий пользователя (Webvisor) отключён — содержимое экрана и ввод в поля форм не записываются | Российская Федерация — серверы Yandex |
| Google Analytics 4 (GA4) | Просмотры страниц, события, источники трафика, обобщённое поведение | США — серверы Google |
При согласии на аналитику ваши данные (включая IP-адрес и поведенческие данные) передаются за пределы Республики Казахстан: в РФ (Yandex) и в США (Google). Это трансграничная передача персональных данных (статья 16 Закона о ПДн, см. раздел 6).
Режим записи действий пользователя (Webvisor) в Yandex Metrica отключён. Запись содержимого экрана и ввода в поля форм (включая БИН, ИИН, email, ФИО, пароли) не производится и третьим лицам не передаётся. Повторное включение Webvisor возможно только после внедрения принудительного маскирования чувствительных полей и отдельного правового подтверждения.
Маркетинговые/рекламные cookie (ретаргетинг, рекламные сети) Сервис не использует.
9.4. Как управлять согласием на cookie и отозвать его
- При первом визите сайт показывает баннер: вы можете «Принять аналитику» или «Только необходимые».
- Посетитель сайта без учётной записи может отозвать согласие на аналитические cookie в любой момент кнопкой «Настройки cookie» в подвале (footer) сайта. После отзыва аналитические скрипты перестают загружаться при следующих визитах.
- Зарегистрированный пользователь не может отдельно отказаться от аналитических cookie, продолжая пользоваться Сервисом: веб-аналитика — условие использования личного кабинета, согласие на неё дано при регистрации или при принятии новой редакции. Выбор «Только необходимые» в cookie-баннере не действует в браузере, в котором выполнен вход в учётную запись. Если вы не согласны с обработкой данных веб-аналитики, не регистрируйтесь в Сервисе либо отзовите согласие на обработку персональных данных и удалите учётную запись (раздел 7).
- Управлять файлами cookie можно и в настройках вашего браузера (просмотр, удаление, блокировка). Отключение строго необходимых cookie может нарушить работу сайта.
10. Меры защиты персональных данных
Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, в том числе:
- хранение паролей учётных записей исключительно в виде криптографического хеша;
- закрытый ключ ЭЦП и пароль к нему не передаются на сервер Сервиса; пароль учётной записи ИС ЭСФ не сохраняется;
- данные банковских карт обрабатываются только платёжным провайдером и оператору не передаются;
- автоматическая замена персональных данных метками в тексте вопросов EsepAI до передачи поставщику модели;
- доступ к файлам пользователей — только через Сервис после проверки прав; хранилище файлов не имеет публичных ссылок;
- шифрование резервных копий;
- ограничение доступа к персональным данным;
- использование защищённого соединения (HTTPS);
- меры защиты от автоматизированных атак.
11. Изменение Политики
Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики всегда доступна на сайте esepro.kz. При существенном изменении условий обработки персональных данных (в том числе при смене оператора, появлении новых целей или получателей) оператор уведомляет субъектов и запрашивает согласие на новую редакцию — отдельной отметкой при входе в Сервис.
Редакция от 8 октября 2026 года.