Договор поручения на обработку персональных данных
Редакция от 26 июля 2026 года
Настоящий Договор является приложением к Публичной оферте и её неотъемлемой частью. Он определяет условия, на которых Школа поручает Исполнителю обработку персональных данных своих учеников и сотрудников, и заключается вместе с Офертой в момент её акцепта.
Договор составлен в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите».
Коротко о главном. Данные учеников и сотрудников остаются данными школы. Мы их только храним и обрабатываем в объёме, необходимом для работы системы, и делаем это по указанию школы. Мы не используем их в своих целях, не передаём третьим лицам и держим на сервере в Казахстане.
1. Стороны и роли
- Школа (Собственник) — лицо, принявшее Публичную оферту. Определяет цели и состав обрабатываемых персональных данных, отвечает за законность их сбора.
- Исполнитель (Обработчик) — Рамильев Ислам Рамильевич, физическое лицо, гражданин Республики Казахстан, правообладатель системы oqCRM. Обрабатывает персональные данные исключительно по поручению Школы и в пределах настоящего Договора.
- Субъект — физическое лицо, к которому относятся персональные данные: ученик, его родитель (законный представитель) либо сотрудник Школы.
1.1. Исполнитель не определяет цели обработки поручаемых данных, не собирает их самостоятельно и не использует в собственных целях.
1.2. Собственные данные представителя Школы, оставленные при заявке на сайте oqcrm.kz, под настоящий Договор не подпадают — их Исполнитель обрабатывает как самостоятельный оператор на условиях Политики, пункт 3.3.
2. Предмет поручения
2.1. Школа поручает, а Исполнитель принимает на себя обработку персональных данных Субъектов в объёме, необходимом для функционирования системы oqCRM.
2.2. Обработка ведётся в целях, и только в них:
- ведение учёта учеников, занятий, посещаемости и оплат в интересах Школы;
- предоставление ученикам, родителям и педагогам доступа к расписанию, домашним заданиям и остатку занятий;
- доставка уведомлений о занятиях и изменениях в расписании;
- обеспечение входа в систему и безопасности сессий;
- техническая поддержка Школы и установление причин ошибок;
- резервное копирование и восстановление данных Школы.
2.3. Использование поручаемых данных для рекламы, маркетинга, профилирования, обучения моделей или передачи третьим лицам не допускается.
3. Категории данных и субъектов
3.1. Категории субъектов: ученики Школы (в том числе несовершеннолетние), их родители и законные представители, сотрудники Школы.
3.2. Категории данных:
| Субъект | Состав данных |
|---|---|
| Ученик | ФИО, дата рождения, номер телефона, статус обучения, направления и группа, расписание, посещаемость, домашние задания, комментарии педагога, остаток оплаченных занятий |
| Родитель (законный представитель) | ФИО контактного лица, номер телефона, связь с учеником |
| Сотрудник | ФИО, логин, роль, номер телефона, рабочие часы и дни, сведения о начисленной оплате труда |
| Оплаты | суммы, даты и способы платежей, внесённые Школой |
| Технические | идентификаторы сессий и устройств, токен push-уведомлений, журналы обращений к серверу |
3.3. Школа не поручает Исполнителю обработку персональных данных особой категории (сведений о здоровье, национальной принадлежности, религиозных убеждениях, биометрических данных) и обязуется не вносить их в Систему. Внесение таких данных в свободные текстовые поля производится Школой на её собственный риск и ответственность.
4. Перечень действий с данными
4.1. Исполнитель совершает следующие действия: сбор через интерфейсы Системы, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление и уничтожение.
4.2. Обработка ведётся автоматизированным способом в базе данных Инстанса Школы.
4.3. Исполнитель не осуществляет распространение персональных данных и не принимает на их основе решений, порождающих для Субъектов юридические последствия.
5. Обязанности Исполнителя
5.1. Обрабатывать персональные данные только по поручению Школы, в целях раздела 2 и в объёме раздела 3.
5.2. Обеспечивать конфиденциальность: не раскрывать и не распространять персональные данные без согласия Школы, если иное не предусмотрено законодательством Республики Казахстан.
5.3. Допускать к обработке только лиц, которым это необходимо для исполнения обязанностей, и обеспечивать принятие ими обязательства о конфиденциальности. На дату настоящей редакции доступ к серверной инфраструктуре имеет только Исполнитель лично.
5.4. Применять меры защиты раздела 6 и не снижать их уровень в течение срока действия Договора.
5.5. Хранить персональные данные граждан Республики Казахстан в базе данных, находящейся на территории Республики Казахстан.
5.6. Не привлекать третьих лиц к обработке иначе как на условиях раздела 7.
5.7. Оказывать Школе содействие в исполнении её обязанностей перед Субъектами (раздел 9).
5.8. Уведомлять Школу об инцидентах в порядке раздела 8.
5.9. По прекращении Договора уничтожить или вернуть данные в порядке раздела 10.
6. Меры защиты
Исполнитель применяет следующие технические и организационные меры:
Изоляция данных
- у каждой Школы отдельная база данных и отдельная учётная запись СУБД — доступ к данным другой Школы технически невозможен;
- каждый Инстанс работает отдельным процессом на своём поддомене;
- запрос с чужого или неизвестного адреса отклоняется до бизнес-логики.
Защита доступа
- соединение защищено HTTPS (TLS-сертификат на каждый поддомен);
- пароли хранятся в виде необратимых хеш-значений (bcrypt);
- сессии мобильного приложения работают на коротких токенах доступа с ротацией токенов обновления и обнаружением повторного использования;
- ограничение частоты попыток входа;
- внутри Школы действует ролевая модель доступа: объём видимых данных определяется ролью сотрудника и настраивается Владельцем;
- доступ к серверу — только по SSH-ключу, парольный вход отключён.
Сохранность
- резервное копирование не реже одного раза в 6 часов; копии шифруются;
- копии хранятся по поколениям: недельное, месячное и годовое;
- восстановление из копий проверяется практически, а не только по факту их создания.
Контроль
- журналы обращений к серверу хранятся 7 суток и используются только для поиска ошибок;
- факты входа в Систему фиксируются в базе данных Школы.
7. Привлечение третьих лиц
7.1. Для исполнения поручения Исполнитель привлекает следующих лиц:
| Кто | Для чего | Что получает | Где |
|---|---|---|---|
| Хостинг-провайдер (Hoster.kz) | размещение сервера | предоставляет оборудование и канал связи; к содержимому баз данных не обращается | Астана, Республика Казахстан |
| Expo Push Service, Apple Push Notification service, Firebase Cloud Messaging | доставка push-уведомлений | токен устройства и текст уведомления | за пределами Республики Казахстан |
7.2. Иные лица к обработке не привлекаются. О привлечении нового лица Исполнитель уведомляет Школу не менее чем за 15 календарных дней. Школа вправе возразить; при неустранимом возражении Школа вправе расторгнуть договор с возвратом платы за неиспользованный период.
7.3. Исполнитель отвечает перед Школой за действия привлечённых лиц как за свои собственные.
7.4. Трансграничная передача ограничена доставкой push-уведомлений (строка 2 таблицы) и производится только при включённых уведомлениях. Учебные данные, ФИО, телефоны и сведения об оплатах за пределы Республики Казахстан не передаются. Подробнее — раздел 8 Политики.
8. Инциденты
8.1. Под инцидентом понимается несанкционированный доступ к персональным данным, их утрата, уничтожение или раскрытие.
8.2. Исполнитель уведомляет Школу об инциденте незамедлительно с момента обнаружения, но не позднее 24 часов, по контактам, указанным Школой при регистрации.
8.3. Уведомление содержит: что произошло, какие категории данных и какой примерный объём затронуты, установленные последствия и принятые меры. Если сведения на момент уведомления неполны, они дополняются по мере установления.
8.4. Уведомление Субъектов и уполномоченного органа осуществляет Школа как собственник данных; Исполнитель предоставляет для этого все необходимые сведения.
9. Права субъектов
9.1. Обращения Субъектов рассматривает Школа. Исполнитель предоставляет Школе технические средства для исполнения прав Субъектов: просмотр, изменение, блокирование и удаление данных в интерфейсе Системы.
9.2. Если Субъект обращается напрямую к Исполнителю, тот не отвечает по существу самостоятельно, а передаёт обращение Школе и уведомляет об этом Субъекта, кроме случаев, когда обращение касается данных, обрабатываемых Исполнителем самостоятельно (пункт 1.2).
9.3. Срок ответа на обращение — не более 30 календарных дней, как это предусмотрено Законом № 94-V.
10. Срок действия и судьба данных
10.1. Договор действует с момента акцепта Оферты и до прекращения доступа Школы к Системе.
10.2. По прекращении Договора Исполнитель по выбору Школы возвращает данные в машиночитаемом виде либо уничтожает их. При отсутствии указания Школы данные уничтожаются в сроки пункта 12.3 Оферты (14 календарных дней с момента прекращения доступа).
10.3. Из резервных копий данные исчезают по мере их плановой смены — в срок до 12 месяцев; всё это время копии остаются зашифрованными и используются исключительно для восстановления системы после сбоя.
10.4. Обязанность соблюдать конфиденциальность сохраняется у Исполнителя бессрочно.
11. Ответственность
11.1. Школа отвечает за наличие законных оснований обработки: за получение согласий Субъектов, в том числе согласий родителей (законных представителей) несовершеннолетних учеников, за достоверность данных и за правомерность указаний, даваемых Исполнителю.
11.2. Исполнитель отвечает за соблюдение настоящего Договора: за обработку данных в пределах поручения, за конфиденциальность и за применение мер защиты раздела 6.
11.3. Ответственность Исполнителя ограничена в порядке пункта 10.1 Оферты, за исключением умышленного нарушения конфиденциальности.
11.4. Если к Школе предъявлены требования из-за отсутствия согласия Субъекта на обработку, Исполнитель к ним не привлекается; если требования предъявлены из-за нарушения Исполнителем мер защиты — расходы Школы возмещает Исполнитель в пределах пункта 11.3.
12. Прочие условия
12.1. Настоящий Договор действует совместно с Публичной офертой и Политикой. При противоречии в части обработки персональных данных приоритет имеет настоящий Договор.
12.2. Изменения вносятся в порядке пункта 11.2 Оферты.
12.3. Отношения сторон регулируются законодательством Республики Казахстан.
13. Реквизиты Исполнителя
Исполнитель: Рамильев Ислам Рамильевич, физическое лицо, гражданин Республики Казахстан.
- Электронная почта: oqucrm@gmail.com
- WhatsApp: +7 777 444 48 96
Актуальная редакция доступна по адресу https://oqcrm.kz/dpa.