Согласие на сбор и обработку персональных данных

Настоящее согласие дано в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон») и содержит сведения, предусмотренные пунктом 4 статьи 8 Закона.

Согласие предоставляется в электронной форме — проставлением отметки при создании учётной записи, что допускается пунктом 1 статьи 8 Закона как способ, позволяющий подтвердить получение согласия. Оператор фиксирует дату и время предоставления согласия, редакцию настоящего документа и язык, на котором он был показан.

1. Оператор

Собственником и оператором базы, содержащей персональные данные, является индивидуальный предприниматель «SB Consulting», ИИН 901015300647, адрес: Республика Казахстан, 050000, г. Алматы, ул. Айтеке би, 83 (далее — «Оператор»).

2. Субъект персональных данных

Субъектом (далее — «Субъект») является физическое лицо, создавшее учётную запись Altyn ID.

Сервис не требует при регистрации фамилии, имени и отчества и не собирает документы, удостоверяющие личность. Субъект идентифицируется по адресу электронной почты, имени пользователя и внутреннему идентификатору учётной записи.

3. Перечень собираемых персональных данных

Оператор обрабатывает только те сведения, которые технически необходимы для работы Altyn ID и для целей, указанных в разделе 4. Ниже они перечислены по категориям; конкретный состав сведений внутри категории может уточняться по мере развития сервиса в пределах этих категорий и целей.

• учётные данные: имя пользователя, адрес электронной почты, пароль — только в виде необратимого криптографического хеша, а также сведения, необходимые для входа и защиты учётной записи, в том числе для двухфакторной аутентификации, если Субъект её включил;
• сведения профиля, которые Субъект указывает по желанию, — например, имя и фамилия, номер телефона, страна и адрес, язык интерфейса;
• сведения о внешних аккаунтах (например, Google, Telegram, Steam), если Субъект сам привязал их или вошёл через них: идентификатор и имя или адрес в соответствующем сервисе;
• технические сведения, собираемые автоматически при использовании сервиса: IP-адрес и определённые по нему страна и город, сведения о браузере и устройстве, файлы cookie, история входов, сессии и связанные с ними события безопасности;
• сведения о согласиях (дата, редакция и язык документа, согласие на рассылки) и служебные записи: даты подтверждения контактных данных, журналы безопасности и действий администраторов.

Документы, удостоверяющие личность, ИИН Субъекта, биометрические и медицинские данные, сведения о судимости и данные геолокации устройства не собираются. Сервис не использует рекламные и аналитические трекеры; файлы cookie используются только для работы сервиса.

4. Цели сбора и обработки

• создание и ведение учётной записи Altyn ID;
• аутентификация Субъекта и предоставление единого входа в сервисы Altyn;
• обеспечение безопасности учётной записи и сервиса, выявление несанкционированного доступа и злоупотреблений;
• направление служебных сообщений и кодов подтверждения;
• исполнение обязательств перед Субъектом и требований законодательства Республики Казахстан;
• направление информационных и рекламных сообщений — исключительно при наличии отдельного согласия.

Персональные данные не используются для автоматизированного принятия решений, порождающих юридические последствия для Субъекта, и не используются для профилирования в рекламных целях.

5. Срок действия согласия

Согласие действует до достижения целей обработки, указанных в разделе 4, то есть в течение срока существования учётной записи, а в отношении сведений, названных в разделе 9, — в течение указанных там сроков. Согласие может быть отозвано в порядке раздела 11.

6. Место хранения

В соответствии с пунктом 2 статьи 12 Закона база, содержащая персональные данные, находится на территории Республики Казахстан (г. Астана). Зашифрованные резервные копии, ключ к которым есть только у Оператора, могут дополнительно храниться у поставщиков, указанных в разделе 8.

Оператор вправе изменять состав используемой инфраструктуры при сохранении требования о нахождении базы на территории Республики Казахстан.

7. Передача третьим лицам

Оператор не продаёт персональные данные и не передаёт их третьим лицам для самостоятельного использования в рекламных или иных собственных целях этих лиц. Передача осуществляется только следующим категориям получателей и только в объёме, необходимом для указанных целей:

• Сервисам Altyn (например, panel.altyn.games, play.altyn.games) — сведения учётной записи, необходимые для входа Субъекта в эти сервисы и их работы: идентификатор, имя пользователя, адрес электронной почты, сведения о согласиях и привязанных аккаунтах;
• Поставщикам, действующим по поручению Оператора — размещение и защита сервиса, доставка электронных писем и кодов подтверждения, хранение резервных копий. Такие поставщики обрабатывают данные только по указанию Оператора и не вправе использовать их в собственных целях;
• Администраторам Оператора — работникам и привлечённым лицам, которым доступ необходим для сопровождения сервиса; их действия в отношении учётных записей фиксируются в журнале;
• Государственным органам и суду — по требованию, оформленному в соответствии с законодательством Республики Казахстан;
• Правопреемнику — при реорганизации или передаче прав на сервис, с сохранением условий обработки, не менее защищающих Субъекта, чем установленные настоящим документом.

8. Трансграничная передача

Трансграничная передача персональных данных осуществляется. Давая настоящее согласие, Субъект соглашается на передачу своих персональных данных на территорию иностранных государств в объёме и для целей, указанных ниже, включая государства, в отношении которых обеспечение защиты персональных данных не подтверждено, — что допускается подпунктом 1 пункта 3 статьи 16 Закона.

• Поставщикам инфраструктуры — IP-адрес и технические параметры запросов, зашифрованные резервные копии: для доставки трафика, защиты сервиса от атак и хранения резервных копий;
• Поставщикам доставки сообщений (электронная почта, SMS, мессенджеры) — адрес электронной почты или номер телефона и текст служебного сообщения либо кода подтверждения: для их доставки Субъекту;
• Внешним сервисам входа и привязки аккаунтов (например, Google, Telegram, Valve/Steam) — идентификатор и сведения, необходимые для входа или привязки: только если Субъект сам воспользовался такой функцией. Субъект вправе ими не пользоваться; на создание и работу учётной записи это не влияет.

Получатели могут находиться, в частности, в США и Объединённых Арабских Эмиратах. Актуальный перечень получателей и государств их нахождения Оператор сообщает по запросу Субъекта, направленному в порядке раздела 16.

9. Сроки хранения

10. Удаление учётной записи

При удалении учётной записи по требованию Субъекта:

• Удаляются — сведения профиля, учётные данные и секреты, привязки внешних аккаунтов, сессии и иные сведения, нужные только для работы учётной записи;
• Обезличиваются — история входов и журналы безопасности и действий администратора: сведения, позволяющие соотнести запись с Субъектом, заменяются так, что восстановить их невозможно, а сама запись о событии сохраняется;
• Сохраняются — сведения о данных согласиях и записи, хранение которых предписано законодательством Республики Казахстан, на сроки, указанные в разделе 9. Основание — необходимость подтвердить правомерность прошлой обработки и исполнить требования закона;
• резервные копии, созданные до удаления, и сохранённые сведения уничтожаются по истечении сроков, указанных в разделе 9.

11. Отзыв согласия

Согласие может быть отозвано в любой момент направлением обращения на адрес [email protected] с адреса электронной почты, указанного в учётной записи, либо удалением учётной записи.

В течение пятнадцати рабочих дней с момента получения отзыва Оператор прекращает обработку персональных данных либо представляет мотивированный отказ, если их хранение или обработка требуются в соответствии с законодательством Республики Казахстан, — в порядке пункта 7 статьи 8 Закона.

Обрабатываемые сведения необходимы для самого существования учётной записи и аутентификации Субъекта, поэтому отзыв согласия влечёт прекращение оказания услуг и удаление учётной записи в порядке раздела 10. Согласие на получение рассылок отзывается отдельно и на работу учётной записи не влияет.

12. Распространение в общедоступных источниках

Оператор не осуществляет распространение персональных данных Субъекта в общедоступных источниках персональных данных и не предоставляет такой возможности третьим лицам.

13. Права Субъекта

В соответствии со статьёй 24 Закона Субъект имеет право:

• знать о наличии у Оператора своих персональных данных и получать сведения, подтверждающие факт, цели, источники и способы их сбора и обработки, перечень персональных данных и сроки их обработки, включая сроки хранения;
• требовать изменения и дополнения своих персональных данных при наличии оснований, подтверждённых соответствующими документами;
• требовать блокирования и (или) анонимизации своих персональных данных при наличии сведений о нарушении условий их сбора и обработки;
• требовать уничтожения или удаления персональных данных, сбор и обработка которых произведены с нарушением законодательства, а также в иных установленных Законом случаях;
• отозвать согласие на сбор, обработку, передачу третьим лицам и трансграничную передачу, кроме случаев, предусмотренных пунктом 2 статьи 8 Закона;
• дать согласие либо отказать в распространении своих персональных данных в общедоступных источниках;
• на защиту своих прав и законных интересов, в том числе на возмещение морального и материального вреда.

Часть прав Субъект реализует самостоятельно в разделе «Аккаунт»: изменить или удалить сведения профиля, управлять сессиями, привязанными аккаунтами и согласием на рассылки, удалить учётную запись.

Обращение рассматривается в срок, установленный законодательством. Оператор вправе удостовериться, что обращение исходит от Субъекта: исполнение запроса, поданного неустановленным лицом, само по себе нарушило бы права Субъекта. Субъект отвечает за достоверность сообщённых им сведений.

14. Защита персональных данных

Оператор принимает правовые, организационные и технические меры, предусмотренные статьёй 22 Закона, в том числе: соединение с сервисом защищено, пароли хранятся в виде необратимых хешей, секреты — в зашифрованном виде, доступ к базе данных ограничен и не предоставляется из внешней сети, действия администраторов фиксируются в журнале.

15. Изменение настоящего документа

Актуальная редакция размещается по постоянному адресу https://id.altyn.games/privacy с указанием даты.

Настоящий документ описывает обрабатываемые сведения, получателей и сроки по категориям. Уточнение конкретных сведений, поставщиков или технических средств в пределах описанных категорий, целей и условий не изменяет сведений, предусмотренных пунктом 4 статьи 8 Закона, не требует нового согласия и вступает в силу с момента размещения.

Если изменение добавляет новую категорию персональных данных или цель обработки либо изменяет срок действия согласия, условия передачи третьим лицам, трансграничной передачи или распространения, Оператор запрашивает новое согласие отдельно и не считает молчание Субъекта согласием. До получения нового согласия обработка продолжается на условиях прежней редакции.

16. Контакты

Обращения по вопросам обработки персональных данных направляются на адрес [email protected] с адреса электронной почты, указанного в учётной записи. Электронная почта является единственным каналом для таких обращений.