ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ BASPEN Редакция от 11 сентября 2026 года. Настоящая Политика определяет порядок обработки персональных данных ИП «Zenmart» (БИН 920208351532), оператора сервиса Baspen, в соответствии с Законом Республики Казахстан №94-V «О персональных данных и их защите». 1. КАКИЕ ДАННЫЕ МЫ ОБРАБАТЫВАЕМ 1.1. От Пользователей Сервиса (зарегистрированные аккаунты): — email-адрес; — имя (опционально); — зашифрованный пароль; — IP-адрес, User-Agent (для безопасности); — метаданные использования Сервиса; — сведения о скачивании файлов из корпоративного облака, если владелец облака включил отметку скачиваний: кто, когда, с какого IP-адреса и устройства скачал файл, и обезличенный код копии. См. п. 2.6 и 5.5. 1.2. От Субъектов (людей на загруженных фото): — изображения лиц (биометрические данные); — метаданные фотографий (время съёмки, геолокация, если присутствуют в EXIF); — математические шаблоны лиц, которые формирует и хранит Amazon Rekognition (AWS, регион eu-central-1, Франкфурт). Сам шаблон остаётся на стороне AWS; в Сервисе хранится только его идентификатор. 1.3. От пользователей, выполняющих поиск (искатели): — селфи, загружаемое для поиска; — IP-адрес сессии поиска. 1.4. От Пользователей, подключивших внешнее хранилище (Google Drive, Яндекс.Диск): — адрес электронной почты того аккаунта внешнего хранилища, который был подключён; — маркеры доступа и обновления, выданные внешним сервисом (хранятся в зашифрованном виде, см. п. 7.7); — перечень выданных разрешений и срок их действия; — сведения о ходе синхронизаций: кто из Пользователей выполнил подключение, время, результат и текст ошибки; — файлы из папок, выбранных Пользователем, и их метаданные. Такие файлы попадают в облако Пользователя и обрабатываются так же, как загруженные вручную, включая распознавание лиц и извлечение текста, если эти функции включены владельцем облака. 2. ЦЕЛИ ОБРАБОТКИ 2.1. Регистрация и аутентификация Пользователей. 2.2. Хранение и отображение фотографий мероприятий. 2.3. Распознавание лиц для поиска фотографий по селфи. 2.4. Обеспечение безопасности Сервиса (предотвращение злоупотреблений, защита от атак). 2.5. Коммуникация с Пользователями (email-уведомления по подписке, смене пароля, запросам Субъектов). 2.6. Отметка скачиваний в корпоративном облаке (атрибуция утечки). Если владелец корпоративного облака включил эту функцию, в файл при скачивании встраивается ОБЕЗЛИЧЕННЫЙ код копии. Ни имени, ни email-адреса, ни иных персональных данных в сам файл не попадает. Соответствие «код копии → кто и когда скачал» хранится в Сервисе и раскрывается только владельцу этого облака и оператору Сервиса, при расследовании утечки. Каждое такое раскрытие фиксируется в журнале безопасности облака. Функция выключена по умолчанию; уведомить своих работников о её включении обязан владелец облака как оператор их персональных данных. 2.7. Импорт файлов из внешнего хранилища, подключённого Пользователем (Google Drive, Яндекс.Диск). Подключение выполняет сам Пользователь и в любой момент сам же его отключает. Доступ запрашивается ТОЛЬКО НА ЧТЕНИЕ: у Google Drive — разрешение drive.readonly, у Яндекс.Диска — cloud_api:disk.read. Сервис не создаёт, не изменяет и не удаляет файлы во внешнем хранилище: синхронизация односторонняя, из внешнего хранилища в Baspen. Удаление файла во внешнем хранилище не удаляет его копию, уже импортированную в Baspen. Чтение выполняется при запуске синхронизации Пользователем, а если для подключения включена регулярная синхронизация — периодически, без отдельного действия Пользователя. 3. ПРАВОВОЕ ОСНОВАНИЕ ОБРАБОТКИ 3.1. В отношении Пользователей — согласие, данное при регистрации (принятие Оферты и данной Политики). 3.2. В отношении Субъектов — правовое основание предоставляется Пользователем, загрузившим данные (согласие Субъекта, договор, участие в публичном мероприятии). Baspen действует как процессор. 3.3. Селфи при поиске обрабатывается только на время выполнения поискового запроса и не сохраняется. 4. КОМУ И КУДА ПЕРЕДАЮТСЯ ДАННЫЕ 4.1. Сервис использует следующих партнёров (обработчиков): — Hetzner Online GmbH — вычислительные серверы (Германия) и объектное хранилище (Хельсинки, Финляндия) — размещение Сервиса и хранение загруженных файлов; — Amazon Web Services, регион eu-central-1 (Франкфурт, Германия) — распознавание лиц (Amazon Rekognition). Биометрические шаблоны, по которым выполняется поиск, ХРАНЯТСЯ на стороне AWS; — Google LLC (США) — Gemini API: краткое описание и теги к изображению, перевод описаний. Изображение передаётся без метаданных EXIF и обрабатывается для выполнения запроса, а не для хранения; — Resend, Inc. (США) — доставка email-уведомлений: адрес получателя, имя, ссылка приглашения. Распознавание речи в видео, распознавание текста на изображениях и извлечение текста из документов выполняются на серверах Сервиса и третьим лицам не передаются. 4.2. Все партнёры обеспечивают адекватный уровень защиты ПД (GDPR для ЕС, DPA для США). 4.3. Принимая настоящую Политику, Пользователь/Субъект даёт согласие на трансграничную передачу данных указанным партнёрам в указанные страны. 4.4. Внешние хранилища, подключённые Пользователем (п. 2.7), являются ИСТОЧНИКАМИ данных, а не получателями: Сервис не передаёт в них персональные данные и ничего в них не записывает. 4.5. Использование и передача Сервисом сведений, полученных через Google API, соответствует Политике Google API Services User Data, включая требования Limited Use. Сведения, полученные из Google Drive, используются исключительно для предоставления функций, запрошенных Пользователем; передаются только обработчикам, указанным в п. 4.1, и только в объёме, необходимом для этих функций; не используются для рекламы и не продаются. Доступ сотрудников Baspen к таким сведениям ограничен правилами п. 7.4 и допускается лишь для обеспечения безопасности, исполнения требований закона или с прямого согласия Пользователя. 5. СРОКИ ХРАНЕНИЯ 5.1. Данные аккаунта Пользователя — до удаления аккаунта Пользователем или расторжения договора. 5.2. Фотографии и биометрические шаблоны — согласно настройкам конкретного мероприятия, но не более срока действия подписки Пользователя + 30 дней. 5.3. Селфи для поиска — не сохраняется (обрабатывается транзитно, удаляется сразу после поиска). 5.4. Технические логи доступа — 30 дней, после чего автоматически удаляются. 5.5. Журнал безопасности корпоративного облака и записи об отметке скачиваний (п. 2.6) — 2 года с момента события, после чего записи о скачиваниях удаляются автоматически. Такой срок необходим для расследования утечек: утёкшая копия обычно обнаруживается спустя месяцы после скачивания. 5.6. Маркеры доступа к внешнему хранилищу — до отключения подключения Пользователем. При отключении Сервис отзывает маркер на стороне внешнего сервиса и удаляет запись о подключении. Файлы, уже импортированные в облако, отключение не удаляет: к ним применяются сроки хранения содержимого облака. 6. ПРАВА СУБЪЕКТОВ Субъект имеет право: — получить информацию об обработке своих ПД; — требовать исправления недостоверных данных; — требовать удаления данных («право на забвение»); — отозвать согласие на обработку; — обжаловать действия оператора в уполномоченный орган РК. Обращения направлять на: islamuxui@gmail.com Срок ответа: 10 рабочих дней. 7. МЕРЫ БЕЗОПАСНОСТИ 7.1. Шифрование соединений: TLS 1.2+ для всех каналов связи. 7.2. Шифрование at-rest: AES-256 для хранилища фото. 7.3. Хэширование паролей: bcrypt с индивидуальной солью. 7.4. Ограничение доступа: только авторизованным Пользователям к своим данным; сотрудникам Baspen — по минимальным необходимым правам. 7.5. Резервное копирование: ежедневно, хранение 30 дней. 7.6. Отметка скачиваний (п. 2.6): в файл встраивается только непрозрачный код, не содержащий персональных данных; ключ отметки хранится на стороне Сервиса. 7.7. Маркеры доступа к внешним хранилищам хранятся в зашифрованном виде (AES-256-GCM) и привязаны к конкретному подключению: перенесённая в другую запись копия не расшифровывается. Ключ шифрования хранится на стороне Сервиса. В интерфейс и журналы маркеры не выводятся. 8. COOKIES И ТРЕКИНГ 8.1. Сервис использует технические cookies, необходимые для работы сайта (сессия, настройки). Отказаться от них невозможно без потери функциональности. 8.2. Аналитические cookies не используются на текущий момент. 9. ИЗМЕНЕНИЯ ПОЛИТИКИ 9.1. Действующая редакция Политики публикуется по адресу /privacy с указанием даты редакции в заголовке. Изменения вступают в силу с даты публикации новой редакции. 9.2. Дата последней редакции указана в начале документа. 10. КОНТАКТЫ По всем вопросам обработки персональных данных: Email: islamuxui@gmail.com Тел.: +7 (775) 880 38 66 Сайт: https://baspen.kz ИП «Zenmart» БИН: 920208351532 ИИК: KZ98722S000001406809 БИК: CASPKZKA Банк: Филиал АО «KASPI BANK» в г. Астана КБЕ: 19 Адрес: г. Астана, Республика Казахстан