ПРИЛОЖЕНИЕ 1

Поручение на обработку персональных данных

к Публичной оферте KeruenHub

Дата: 01.11.2026

1. Стороны и назначение поручения

1.1. Настоящее Поручение является частью договора между индивидуальным предпринимателем «SAM» (Арыстанғали Серік), ИИН 000820500158, адрес: г. Астана, улица Габидена Мустафина, дом 15, кв/офис 24, далее — «Правообладатель», и юридическим лицом или индивидуальным предпринимателем, принявшим Оферту, далее — «Клиент».

До размещения персональных данных третьих лиц Клиент предоставляет Правообладателю своё полное наименование, БИН/ИИН, адрес и контактные данные уполномоченного представителя. До внедрения соответствующих полей в Платформе эти сведения оформляются отдельной карточкой реквизитов, подтверждённой уполномоченным представителем Клиента и связанной с идентификатором компании в Платформе. При наличии сомнений Правообладатель запрашивает подтверждение полномочий. Карточка реквизитов дополняет сведения о стороне договора и не заменяет акцепт Оферты и настоящего Поручения.

1.2. Цель поручения — определить условия, на которых Правообладатель осуществляет операции с персональными данными, размещёнными Клиентом в Платформе, для предоставления согласованной функциональности.

1.3. Роли сторон определяются применимым законодательством и фактической моделью обработки. В рамках настоящего Поручения Клиент определяет деловые цели обработки данных, а Правообладатель выполняет технические операции по указанию Клиента в пределах настоящего Поручения, кроме самостоятельных обязанностей Правообладателя, установленных законом.

1.4. Термины «Клиент», «Правообладатель», «Пользователь», «Платформа» и «Приложение» употребляются в значениях Оферты. Настоящее Поручение именуется «Приложение 1». При обработке данных обязательные требования закона имеют приоритет; специальные условия настоящего Поручения применяются совместно с Офертой, а исключения ответственности определяются п. 9.6 Оферты.

2. Цели обработки

2.1. Обработка допускается исключительно в целях:

• регистрации и ведения карточек клиентов Клиента;
• учёта и идентификации отправлений;
• управления складскими операциями и пунктами выдачи;
• организации доступа сотрудников и разграничения их полномочий;
• идентификации пользователей и входа в личный кабинет по данным, внесённым Клиентом (вход через Google и Apple и фиксация акцепта Оферты в поручение не входят — п. 4.3);
• формирования отчётов и истории операций;
• отправки предусмотренных функциональностью уведомлений;
• обеспечения безопасности, предотвращения мошенничества и расследования инцидентов;
• создания резервных копий и восстановления работоспособности;
• выполнения иных функций, прямо предусмотренных тарифом и согласованных сторонами.

2.2. Использование данных для рекламы, продажи баз, самостоятельного профилирования клиентов, обучения сторонних моделей искусственного интеллекта или других несовместимых целей не допускается без отдельного законного основания и, где требуется, отдельного согласия.

3. Категории субъектов и состав данных

3.1. В зависимости от функций, включённых Клиентом, могут обрабатываться данные следующих субъектов:

• клиенты и получатели отправлений;
• сотрудники и представители Клиента;
• пользователи личного кабинета;
• контактные лица поставщиков, перевозчиков и партнёров.

3.2. Возможный состав данных:

• фамилия, имя и отчество, если указано;
• номер телефона;
• идентификатор клиента или внутренний код;
• сведения об отправлении, заказе, статусе и истории операций;
• сведения о пункте выдачи и получении отправления;
• данные учётной записи, роль пользователя и журнал действий;
• QR-код получения, сведения о пропуске и имя доверенного лица, которого пользователь указал для получения;
• описания заказов и заметки сотрудников Клиента о заказах;
• суммы и способы оплат, чеки выдачи и идентификаторы платёжных операций;
• токен устройства для push-уведомлений (только если пользователь разрешил уведомления);
• контактные данные сотрудников и представителей.

3.2.1. Данные, которые Правообладатель обрабатывает самостоятельно как оператор Платформы и которые в поручение не входят (п. 4.3): адрес электронной почты, имя, изображение профиля и идентификатор учётной записи Google или Apple для выбравших такой вход; дата, версия Оферты, IP-адрес и User-Agent при акцепте; технические журналы соединений на обратном прокси (IP-адрес, время, запрашиваемый адрес; хранятся 14 суток). 3.3. Не следует размещать в Платформе специальные категории данных, копии удостоверений личности, банковские реквизиты, платёжные секреты или иные избыточные данные, если их обработка не предусмотрена функциональностью и не имеет подтверждённого законного основания.

3.4. Фактический перечень полей, которые Платформа собирает и хранит, фиксируется во внутреннем техническом описании, которое предоставляется Клиенту по запросу. Данные, которые не нужны для заявленных целей, не должны собираться по умолчанию.

4. Операции с данными

4.1. В пределах функциональности Платформы Правообладатель может выполнять следующие операции:

• получение данных от Клиента;
• запись и систематизацию;
• хранение;
• поиск и отображение уполномоченным пользователям;
• изменение и дополнение по указанию Клиента;
• формирование отчётов и выгрузок;
• резервное копирование;
• блокирование доступа;
• удаление или уничтожение в предусмотренных случаях;
• иные технические операции, необходимые для исполнения договора.

4.2. Правообладатель не определяет самостоятельно дополнительные деловые цели обработки данных Клиента.

4.3. Данные, получаемые при входе пользователя через Google или Apple (п. 7.15 Оферты), данные фиксации акцепта Оферты (п. 1.7) и технические журналы безопасности (п. 3.2.1) Правообладатель обрабатывает самостоятельно, как оператор Платформы, в целях идентификации пользователя, создания и защиты учётной записи, обеспечения безопасности и подтверждения заключения договора. На такую обработку пункт 4.2 и положения настоящего Поручения о поручении обработки не распространяются; к ней применяются разделы 8–10 в части подрядчиков, трансграничной передачи, инцидентов и сроков хранения.

5. Правовые основания и согласия

5.1. Клиент обеспечивает наличие правовых оснований для сбора, обработки, передачи и хранения персональных данных, включая согласия субъектов, если такие согласия требуются законодательством.

5.2. Клиент отвечает за содержание уведомлений субъектам и корректность предоставленной им информации о целях обработки, составе данных, сроках, получателях и иных сведениях, обязательных по закону.

5.3. По обоснованному запросу Клиент предоставляет подтверждение наличия соответствующих правовых оснований в объёме, необходимом для проверки соблюдения договора и закона.

5.4. Правообладатель оказывает Клиенту содействие в поиске, предоставлении, исправлении, ограничении обработки и удалении персональных данных, находящихся под его контролем. Необходимые сведения и результат технических действий предоставляются без неоправданной задержки, как правило, не позднее 5 рабочих дней после получения достаточных сведений для исполнения запроса; если для соблюдения обязательного срока требуется более раннее действие, стороны взаимодействуют в пределах этого срока. Техническая невозможность отдельного способа исполнения не освобождает от обязательной по закону меры: Правообладатель сообщает причину и предлагает допустимый способ исполнения.

6. Обязанности Правообладателя

6.1. Правообладатель обязуется:

• обрабатывать данные только для целей и в пределах настоящего Поручения;
• обеспечивать конфиденциальность данных;
• ограничивать доступ к данным кругом уполномоченных лиц;
• применять необходимые правовые, организационные и технические меры защиты;
• вести учёт предоставленных доступов и значимых действий в той мере, в какой это предусмотрено системой;
• не использовать данные Клиента для несовместимых целей;
• информировать Клиента о выявленных инцидентах безопасности в порядке, установленном договором;
• содействовать исполнению законных запросов субъектов в пределах своих полномочий;
• возвращать, удалять или уничтожать данные в предусмотренных договором и законом случаях;
• обеспечивать соблюдение требований законодательства, непосредственно возложенных на Правообладателя.

6.2. Правообладатель обеспечивает хранение персональных данных в базе, расположенной на территории Республики Казахстан, в случаях и объёме, требуемых законодательством.

6.3. Фактические меры защиты описываются в разделе 7 Публичной оферты (версия 1.0).

6.4. Каждая сторона определяет применимые к ней требования к защите данных исходя из фактической роли, категорий и объёма обработки. При наличии предусмотренной законом обязанности сторона до начала соответствующей обработки выполняет необходимые уведомления и организационные мероприятия. Правообладатель обеспечивает применимые к нему внутренние документы и меры защиты и по обоснованному запросу сообщает Клиенту сведения, необходимые для оценки исполнения настоящего Поручения, без раскрытия данных других клиентов и секретов безопасности. Настоящее Поручение не заменяет исполнение обязательных требований законодательства.

7. Обязанности Клиента

7.1. Клиент обязуется:

• самостоятельно определить законные цели и основания обработки;
• собирать только необходимые и достаточные данные;
• предоставлять субъектам обязательную информацию;
• получать и фиксировать согласия, когда они требуются;
• назначать и своевременно отзывать права доступа своих сотрудников;
• не размещать данные, не предусмотренные функциональностью Платформы или не имеющие законного основания;
• своевременно сообщать Правообладателю об ошибочной загрузке данных, запросах субъектов и обстоятельствах, требующих ограничения обработки;
• обеспечивать достоверность и актуальность вносимых сведений.

7.2. Свободные поля и заметки используются только для сведений, необходимых для доставки, оплаты и выдачи отправления. Клиент не размещает в них пароли, коды подтверждения, платёжные секреты, копии документов и избыточные сведения о частной жизни. При выявлении избыточных данных стороны обеспечивают их ограничение и удаление на применимом законном основании. Сохранение заметки после закрытия аккаунта требует самостоятельного обоснования необходимости её содержания и срока хранения.

8. Подрядчики и передача данных

8.1. Доступ подрядчиков Правообладателя к персональным данным допускается только при наличии законного основания и в объёме, необходимом для оказания услуги, поддержки, обеспечения безопасности или размещения Платформы.

8.2. Подрядчики, которые используются сейчас и которым доступна обработка персональных данных:

Приложение и основная база данных размещены на собственном сервере Правообладателя в Астане, Республика Казахстан. Let's Encrypt (ISRG, США) при выпуске сертификатов TLS получает только доменное имя и персональных данных не получает.

8.3. До подключения каждого поставщика необходимо проверить местонахождение систем, условия доступа, договорные гарантии и требования законодательства к передаче данных.

8.4. Действующие трансграничные потоки описаны в таблице п. 8.2 и в разделе 4 Политики: вход через Google или Apple, доставка push-уведомлений, загрузка встроенных видео YouTube и переписка через Omucloud. Для каждой передачи обеспечиваются необходимые уведомления и применимое законное основание. Если требуется согласие субъекта, оно получается до соответствующей передачи способом, позволяющим подтвердить его получение и содержание. Согласие Клиента с настоящим Поручением не заменяет согласия субъектов. Планируемые резервные копии Google не относятся к действующим потокам до их фактического подключения по п. 8.5–8.6.

8.5. Планируемые подрядчики, которые сейчас не используются: Google LLC (США) — хранение зашифрованных резервных копий базы данных. До подключения такого подрядчика данные ему не передаются.

8.6. О планируемом подключении нового подрядчика, которому будут доступны персональные данные, Правообладатель уведомляет Клиента не менее чем за 30 календарных дней через кабинет и/или по указанным контактным данным. Уведомление содержит получателя, функцию, состав данных, территорию обработки и дату подключения. Одной публикации обновлённого перечня без направления уведомления недостаточно. Клиент вправе заявить возражение и прекратить договор с возвратом за неиспользованный период. Подключение допускается после обеспечения необходимых законных оснований; истечение срока уведомления не заменяет согласия субъектов, когда оно требуется.

8.7. Условия обработки данных Клиента техническим подрядчиком PS.kz определяются п. 7.9.1 Оферты и договором Правообладателя с подрядчиком. Правообладатель до предоставления доступа обеспечивает ограничения целей, конфиденциальность, меры защиты и условия привлечения иных лиц. Самостоятельная обработка провайдером реквизитов и контактов Правообладателя как заказчика его услуги регулируется отдельно и не предоставляет права использовать содержимое данных карго и их клиентов для собственных коммерческих целей.

9. Инциденты безопасности

9.1. При выявлении инцидента, способного привести к неправомерному доступу, раскрытию, изменению, потере или уничтожению персональных данных, Правообладатель без неоправданной задержки уведомляет Клиента по контактным данным, указанным Клиентом в личном кабинете, включая адрес электронной почты уполномоченного представителя, и по иным согласованным каналам связи. Клиент обязан поддерживать эти контактные данные актуальными (п. 12.5 Оферты).

9.2. Первичное уведомление по возможности содержит:

• дату и время обнаружения;
• описание известного характера инцидента;
• категории и примерный объём затронутых данных;
• принятые меры;
• контакт ответственного лица;
• известные рекомендации по снижению последствий.

9.3. Стороны взаимодействуют при расследовании, локализации последствий, восстановлении данных и исполнении обязательных уведомлений государственным органам или субъектам, если такие уведомления требуются законом.

9.4. Первичное уведомление Клиенту — в течение 24 часов с момента обнаружения инцидента; уточнённое — в течение 72 часов, далее обновления по мере расследования. Обязательные уведомления уполномоченному органу и субъектам направляются в сроки и порядке, установленные законодательством, отдельно от договорных сообщений Клиенту.

9.5. Обязанность стороны направить обязательное уведомление уполномоченному органу или субъекту определяется законом и её фактической ролью. Направление сообщения другой стороне не считается исполнением обязанности уведомить уполномоченный орган или субъекта. Ожидание результатов расследования, окончания рабочего времени поддержки или уточняющего сообщения не приостанавливает обязательные сроки. Стороны сохраняют сведения о времени обнаружения инцидента, принятых мерах и отправленных уведомлениях.

10. Сроки хранения, возврат и удаление

10.1. Данные обрабатываются в течение срока, необходимого для достижения согласованных целей, исполнения договора и соблюдения обязательных требований законодательства.

10.2. После прекращения договора Клиенту предоставляется срок для экспорта данных, установленный Офертой, — 30 календарных дней, если иное не согласовано сторонами.

10.3. По окончании срока экспорта данные удаляются или обезличиваются в рабочей базе не позднее 30 календарных дней. Более короткие обязательные сроки по закону и правомерным запросам субъектов имеют приоритет. Исключения допускаются только в отношении конкретных сведений при наличии сохраняющегося законного основания; для них определяются цель, состав, срок или событие окончания хранения и круг лиц с доступом. Если запрос на выгрузку направлен до окончания срока экспорта и его исполнение правомерно продолжается после этого срока, сохраняются только необходимые для запроса данные. Они удаляются без неоправданной задержки после предоставления выгрузки, но не позднее 30 календарных дней после её предоставления, если иной срок не требуется законом. Это исключение не продлевает хранение остальных данных и не допускает просрочки исполнения самого запроса.

10.4. Сведения, удалённые из рабочей базы, перезаписываются в резервных копиях не позднее 30 календарных дней после удаления. До перезаписывания копии не используются для обычной работы с удалёнными сведениями; доступ допускается только для восстановления и иных законных целей. Восстановление из копии не создаёт нового правового основания обработки удалённых данных.

10.5. По запросу Клиента Правообладатель направляет подтверждение выполненных действий: дату, категории удалённых или обезличенных сведений, сведения об исключениях и ожидаемом окончании хранения резервных копий. Подтверждение не должно раскрывать персональные данные других клиентов либо секреты безопасности.

10.6. Удаление не должно препятствовать обязательному хранению документов и сведений, которое прямо предусмотрено законодательством.

10.7. Сроки удаления распространяются на плановые, ручные, предрелизные и архивные резервные копии, а также на отдельно сохранённые выгрузки, содержащие соответствующие данные. Название каталога, назначение копии и её исключение из автоматической ротации не продлевают срок хранения. Повторное копирование не начинает срок заново.

При наличии конкретной законной обязанности сохранить отдельные сведения Правообладатель документирует их состав, основание, срок или событие окончания хранения, ограничивает доступ и по возможности отделяет необходимые сведения от остальной копии. Хранение всей базы требует обоснования необходимости именно такого объёма. Обычная потребность в резервировании сама по себе не является основанием бессрочно хранить удалённые сведения.

11. Ответственность

11.1. Каждая сторона отвечает за соблюдение своих обязанностей в пределах своей роли, фактического контроля над обработкой и требований законодательства.

11.2. Клиент отвечает за законность сбора данных, наличие правовых оснований, корректность целей обработки и предоставление обязательной информации субъектам.

11.3. Правообладатель отвечает за соблюдение договорных обязательств по обработке и защите данных в пределах своей роли и ответственности, установленной законом.

11.4. Условия ответственности Оферты применяются с учётом исключений п. 9.6. Ограничение размера ответственности и исключение видов убытков не распространяются на предусмотренные этим пунктом нарушения конфиденциальности и обязанностей по обработке и защите персональных данных. Настоящее Поручение не освобождает стороны от обязательных требований закона.

12. Контакты и заключительные положения

Реквизиты Клиента и контакты его уполномоченного представителя указаны в подтверждённой карточке реквизитов, связанной с идентификатором компании в Платформе. Об изменении контактов и реквизитов Клиент сообщает Правообладателю без неоправданной задержки. Изменение реквизитов не считается заменой стороны договора.

Правообладатель: ИП «SAM» (Арыстанғали Серік), ИИН 000820500158, адрес: г. Астана, улица Габидена Мустафина, дом 15, кв/офис 24, e-mail ответственного лица: support@keruenhub.kz.

Дата принятия Оферты и настоящего Поручения: фиксируется в системе.

Версия Поручения: 1.0.