Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных физических лиц, использующих платформу Jumix.

1.2. Оператором персональных данных является ТОО «Jumix» (далее — «Оператор», «мы»).

Реквизиты Оператора:

1.3. Политика распространяется на все ресурсы Оператора: сайт jumix.kz, веб-приложение app.jumix.kz, мобильные приложения Jumix для iOS и Android (далее совместно — «Платформа»).

1.4. Обработка персональных данных осуществляется в соответствии с:

• Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите»;
• Гражданским кодексом Республики Казахстан;
• Трудовым кодексом Республики Казахстан;
• Законом Республики Казахстан «О связи»;
• иными нормативными правовыми актами Республики Казахстан.

1.5. Используя Платформу, пользователь подтверждает, что ознакомился с настоящей Политикой. Обработка персональных данных осуществляется только после получения отдельного согласия пользователя.

2. Термины и определения

Персональные данные — сведения, относящиеся к определённому или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.

Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

Обработка персональных данных — действия, направленные на сбор, запись, систематизацию, накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.

Крановщик — физическое лицо, зарегистрированное на Платформе в качестве оператора грузоподъёмной техники и предоставляющее услуги компаниям-заказчикам.

Компания-заказчик — юридическое лицо или индивидуальный предприниматель, зарегистрированный на Платформе в целях привлечения крановщиков.

Смена — учётный период выполнения крановщиком работ на объекте компании-заказчика.

3. Категории субъектов и обрабатываемых данных

3.1. Крановщики (физические лица)

Идентификационные данные:

• фамилия, имя, отчество (при наличии);
• индивидуальный идентификационный номер (ИИН);
• дата рождения;
• номер мобильного телефона;
• адрес электронной почты (при указании);
• фотография профиля (при загрузке).

Данные о профессиональной квалификации:

• реквизиты удостоверения крановщика: номер, дата выдачи, срок действия, выдавший орган, разряд и категория допуска;
• реквизиты водительского удостоверения (при наличии): номер, категории, срок действия;
• фотографии (сканы) указанных удостоверений;
• сведения о прохождении инструктажей и аттестаций по промышленной безопасности;
• сведения о трудовом стаже, указанные пользователем самостоятельно.

Данные, связанные с выполнением работ:

• данные геолокации устройства во время открытой рабочей смены;
• дата, время начала и окончания смены;
• сведения об объекте выполнения работ (адрес, наименование заказчика);
• фотографии и текстовые описания инцидентов, зафиксированных на объекте;
• сведения о начисленных суммах оплаты труда.

Технические данные:

• IP-адрес;
• тип и версия устройства, операционной системы;
• идентификатор устройства;
• журналы действий в Платформе (время входа, совершённые операции).

3.2. Представители компаний-заказчиков

• фамилия, имя, отчество;
• должность;
• номер рабочего телефона;
• адрес корпоративной электронной почты;
• сведения о полномочиях (доверенность, приказ) — при необходимости подтверждения права действовать от имени компании.

3.3. Данные юридических лиц

Реквизиты компании (наименование, БИН, юридический адрес, банковские реквизиты) персональными данными не являются и обрабатываются в рамках договорных отношений.

4. Особая категория данных

4.1. Фотографии удостоверений и ИИН относятся к персональным данным ограниченного доступа. В отношении них применяется усиленный режим защиты:

• доступ предоставляется строго ограниченному кругу сотрудников Оператора, ответственных за верификацию;
• каждый факт доступа фиксируется в журнале аудита с указанием сотрудника, времени и цели доступа;
• файлы хранятся в зашифрованном виде;
• прямые ссылки на файлы не публикуются и не индексируются поисковыми системами.

4.2. Оператор не обрабатывает данные о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, судимости.

5. Цели обработки персональных данных

5.1. Оператор не обрабатывает персональные данные в целях, несовместимых с указанными выше.

5.2. Персональные данные не используются для автоматического принятия решений, порождающих юридические последствия для субъекта, без возможности человеческого вмешательства.

6. Особенности обработки геолокационных данных

6.1. Геолокация собирается исключительно во время открытой рабочей смены. При закрытии смены сбор прекращается.

6.2. Крановщик может в любой момент отключить доступ к геолокации в настройках устройства. При этом функция автоматического подтверждения смены становится недоступна — смена подтверждается вручную представителем компании-заказчика.

6.3. Данные геолокации не используются для отслеживания перемещений пользователя вне рабочего времени.

6.4. Точность собираемых координат ограничена уровнем, необходимым для подтверждения присутствия на объекте.

7. Передача персональных данных третьим лицам

7.1. Оператор не осуществляет продажу, обмен или иную коммерческую передачу персональных данных.

7.2. Передача осуществляется исключительно в следующих случаях:

7.2.1. Компаниям-заказчикам

Компания-заказчик получает доступ к данным крановщика только после того, как крановщик откликнулся на заказ этой компании или был назначен на её объект.

Объём передаваемых данных:

Доступ компании к данным крановщика прекращается через 90 дней после последней совместной смены, за исключением данных, необходимых для бухгалтерского учёта.

7.2.2. Государственным органам

Данные предоставляются уполномоченным государственным органам Республики Казахстан исключительно на основании письменного мотивированного запроса, оформленного в соответствии с законодательством. Оператор проверяет законность каждого запроса и, при отсутствии законных оснований, отказывает в предоставлении данных.

7.2.3. Техническим подрядчикам

Привлекаются подрядчики, обеспечивающие функционирование Платформы:

Со всеми подрядчиками заключены договоры, содержащие обязательства о конфиденциальности и о недопустимости использования данных в собственных целях.

7.3. Оператор ведёт актуальный перечень лиц, имеющих доступ к персональным данным, и предоставляет его субъекту по запросу.

8. Место хранения и трансграничная передача

8.1. Все персональные данные граждан Республики Казахстан хранятся и обрабатываются на серверах, физически расположенных на территории Республики Казахстан.

8.2. Трансграничная передача персональных данных не осуществляется.

8.3. Резервные копии баз данных также размещаются на территории Республики Казахстан.

8.4. В случае возникновения необходимости трансграничной передачи Оператор обязуется предварительно получить отдельное согласие субъекта и обеспечить соблюдение требований статьи 16 Закона «О персональных данных и их защите».

9. Сроки хранения

9.1. По истечении срока хранения данные уничтожаются или обезличиваются безвозвратно.

9.2. Обезличивание означает удаление всех идентификаторов, позволяющих соотнести данные с конкретным лицом. Обезличенные данные могут использоваться для статистики и улучшения Платформы.

10. Права субъекта персональных данных

Субъект вправе:

10.1. Получать информацию о факте обработки своих данных, их составе, источниках получения, целях обработки, сроках хранения и перечне лиц, имеющих к ним доступ.

10.2. Требовать изменения или дополнения данных, если они являются неполными, устаревшими или недостоверными.

10.3. Требовать блокирования данных при наличии сведений о нарушении условий их обработки.

10.4. Требовать уничтожения данных, обработка которых осуществлена с нарушением законодательства.

10.5. Отозвать согласие на обработку в любой момент. Отзыв согласия влечёт удаление учётной записи и прекращение оказания услуг Платформы, за исключением данных, подлежащих хранению в силу требований законодательства.

10.6. Обжаловать действия или бездействие Оператора в уполномоченный орган по защите персональных данных либо в судебном порядке.

Порядок реализации прав

Запрос направляется на info@jumix.kz с указанием:

• фамилии, имени, отчества;
• номера телефона, привязанного к учётной записи;
• сути требования.

Оператор рассматривает запрос и предоставляет ответ в течение 3 (трёх) рабочих дней с момента получения. При необходимости дополнительной проверки срок может быть продлён до 15 календарных дней с уведомлением заявителя.

Удаление учётной записи также доступно самостоятельно в разделе «Настройки» → «Удалить аккаунт».

11. Меры защиты персональных данных

11.1. Технические меры

• шифрование канала передачи данных (TLS 1.2 и выше);
• шифрование хранимых файлов удостоверений;
• хранение паролей исключительно в виде криптографических хэшей с использованием соли;
• двухфакторная аутентификация для учётных записей администраторов;
• сегментация сети и ограничение доступа к базам данных;
• регулярное резервное копирование с шифрованием резервных копий;
• журналирование доступа к данным ограниченного доступа;
• защита от несанкционированного доступа, DDoS-атак и вредоносного программного обеспечения.

11.2. Организационные меры

• назначение лица, ответственного за организацию обработки персональных данных;
• утверждение внутреннего регламента обработки персональных данных;
• предоставление доступа сотрудникам по принципу минимальных привилегий — только к данным, необходимым для выполнения должностных обязанностей;
• подписание всеми сотрудниками соглашений о неразглашении;
• периодическое обучение сотрудников правилам работы с персональными данными;
• контроль и аудит действий сотрудников, имеющих доступ к данным.

11.3. Уведомление об инцидентах

При обнаружении факта несанкционированного доступа к персональным данным Оператор:

1. незамедлительно принимает меры по локализации инцидента;
2. уведомляет затронутых субъектов в течение 72 часов с момента обнаружения;
3. уведомляет уполномоченный орган в порядке, установленном законодательством;
4. проводит расследование и принимает меры по недопущению повторения.

12. Файлы cookie и аналогичные технологии

12.1. Платформа использует файлы cookie для:

• поддержания сессии авторизованного пользователя (обязательные);
• сохранения пользовательских настроек интерфейса (функциональные);
• сбора обезличенной статистики использования (аналитические).

12.2. Обязательные cookie не могут быть отключены, поскольку без них работа Платформы невозможна.

12.3. Функциональные и аналитические cookie могут быть отключены в настройках браузера.

13. Обработка данных несовершеннолетних

13.1. Платформа предназначена для лиц, достигших 18 лет. Регистрация в качестве крановщика возможна только при наличии действующего удостоверения, выдаваемого совершеннолетним лицам.

13.2. Оператор не осуществляет целенаправленный сбор данных несовершеннолетних. При обнаружении факта регистрации несовершеннолетнего учётная запись подлежит удалению.

14. Изменение Политики

14.1. Оператор вправе вносить изменения в настоящую Политику.

14.2. Актуальная редакция публикуется по адресу jumix.kz/privacy с указанием даты вступления в силу.

14.3. О существенных изменениях (расширение целей обработки, изменение состава передаваемых третьим лицам данных, изменение сроков хранения) пользователи уведомляются не менее чем за 10 календарных дней путём:

• направления уведомления на адрес электронной почты или в виде push-уведомления;
• размещения баннера в интерфейсе Платформы.

14.4. Продолжение использования Платформы после вступления изменений в силу означает согласие с новой редакцией. При несогласии пользователь вправе отозвать согласие и удалить учётную запись.

15. Контактная информация

По вопросам, связанным с обработкой персональных данных, обращайтесь по указанным контактам с пометкой «Персональные данные».

Настоящая Политика составлена на русском языке. При наличии версии на казахском языке в случае расхождений преимущественную силу имеет версия на казахском языке.