Договор поручения на обработку персональных данных

WameUp

Номер и дата действующей редакции указаны внизу страницы публикации. Договор заключается одновременно с акцептом оферты и является
её неотъемлемой частью.

1. Стороны и роли

1.1. Пользователь — собственник базы, содержащей персональные данные его
Клиентов (ст. 1 Закона РК «О персональных данных и их защите» № 94-V, далее —
Закон).

1.2. Исполнитель — оператор, осуществляющий сбор, обработку и защиту этих
данных по поручению Пользователя. Исполнитель не определяет цели обработки и не
использует данные Клиентов Пользователя в собственных целях.

1.3. Настоящий договор определяет основания и условия поручения Пользователем
Исполнителю обработки персональных данных Клиентов Пользователя и распределяет
обязанности Сторон при такой обработке. Настоящий договор не заменяет согласие
субъекта персональных данных в случаях, когда такое согласие требуется
законодательством Республики Казахстан.

2. Предмет поручения

2.1. Исполнитель обрабатывает персональные данные исключительно в объёме,
необходимом для работы Сервиса, и только в следующих целях:

1) приём и ведение переписки с Клиентами Пользователя в подключённых каналах;
2) оформление заказов, записей и броней;
3) отправка уведомлений и напоминаний Клиентам Пользователя;
4) техническая поддержка Пользователя по его обращению;
5) обеспечение работоспособности и безопасности Сервиса;
6) контроль соблюдения Пользователем подпунктов 6) и 7) пункта 7.1 оферты.

2.2. Любая иная цель требует отдельного письменного поручения Пользователя.

2.3. Контроль по подпункту 6) пункта 2.1. Каталог и переписка Организации
проверяются автоматически на признаки деятельности, запрещённой подпунктами 6)
и 7) пункта 7.1 оферты. Автоматическая проверка только отмечает Организацию
для рассмотрения: решение о блокировке по пункту 7.3 оферты принимает работник
Исполнителя. Сведения, полученные при контроле, используются только для этого
решения и для ответа на законный запрос уполномоченного органа.

3. Категории данных и субъектов

3.1. Субъекты — Клиенты Пользователя, обратившиеся через подключённые каналы.

3.2. Обрабатываемые данные:

3.3. Исполнитель не обрабатывает биометрические данные, сведения о
здоровье, судимости, политических и религиозных убеждениях. Расшифровка
голосового сообщения (п. 3.4) биометрической обработкой не является: из записи
извлекается сказанное, а не признаки голоса, и идентификация по голосу не
выполняется.

3.4. Голосовые сообщения принимаются и распознаются. Запись
преобразуется в текст, чтобы понять обращение; распознавание выполняет
поставщик из перечня п. 6.3а либо сервис автоматического распознавания речи
поставщика облачной инфраструктуры. Из записи извлекается только сказанное.

Исполнитель аудиозапись не сохраняет: она удерживается в памяти на время
обработки хода, после получения расшифровки не хранится и ни в базу, ни в
журналы не попадает — там остаётся только текст. Поставщику запись передаётся
исключительно для распознавания и для иных целей им не используется.

Идентификация по голосу и иная биометрическая обработка не производятся ни при
каких условиях.

3.5. Изображения обрабатываются с единственной целью — распознать предмет
обращения: товар, услугу, надпись, артикул или иной признак, по которому
Клиента можно свести с позицией каталога. Признаки внешности человека из
изображения не извлекаются, идентификация по внешности не выполняется, и
описание внешности не используется ни для какой цели. Изображение
не сохраняется: файл удерживается в памяти в течение хода диалога и после
формирования ответа не хранится.

3.6. Пользователь не вправе использовать Сервис для обработки специальных
категорий и иных чувствительных персональных данных — включая биометрические
данные, изображения документов, удостоверяющих личность, сведения о здоровье,
судимости, — если такая обработка прямо не предусмотрена Сервисом и не
обеспечена законным основанием и мерами защиты. Сервис не предназначен для
такой обработки и не распознаёт человека по внешности или голосу.

4. Действия с данными

4.1. Исполнитель вправе совершать: сбор, накопление, хранение, изменение,
дополнение, использование, блокирование, уничтожение.

4.2. Распространение персональных данных Исполнителем не допускается
(ст. 11 п. 1 Закона), за исключением передачи получателям, перечисленным в
разделе 6, и случаев, прямо предусмотренных законом.

5. Место хранения

5.1. База, содержащая персональные данные Клиентов Пользователя, находится на
территории Республики Казахстан (ст. 12 п. 2 Закона).

5.2. Размещение базы за пределами территории Республики Казахстан не
допускается. Смена поставщика инфраструктуры или места размещения базы в
пределах территории Республики Казахстан допускается при соблюдении требований
законодательства и уведомлении Пользователя в разумный срок, а при плановой
смене — не менее чем за 30 календарных дней.

6. Привлекаемые лица и трансграничная передача

6.1. Для работы Сервиса Исполнитель привлекает следующих лиц:

6.2. Передача за пределы Республики Казахстан осуществляется на основании
согласия субъекта (ст. 16 п. 3 подп. 1 Закона). Получение такого согласия
обеспечивает Пользователь как собственник базы; Исполнитель предоставляет
технические средства и шаблоны документов, позволяющие получить и зафиксировать
согласие, включая фиксацию редакции документа, которую субъект видел.

Исполнитель не вправе обрабатывать персональные данные вне целей и объёма,
предусмотренных настоящим договором и полученным согласием субъекта.

6.3. Данные, переданные поставщикам моделей, используются исключительно для
формирования ответа в текущем диалоге.

6.3а. Перечень поставщиков сервисов автоматизированной обработки.
Исполнитель использует одного из следующих поставщиков:

На дату настоящей редакции для Организаций, работающих на ключе Исполнителя,
используется DeepSeek. Исполнитель вправе перейти на любого другого
поставщика из приведённого перечня — такой переход не расширяет круг получателей
и перечень стран, указанные в согласии субъекта, и потому не требует получения
нового согласия; пункт 6.5 применяется только при выходе за пределы настоящего
перечня.

Если Организация работает на собственном ключе, поставщика из того же перечня
выбирает Пользователь, и он же отвечает за отражение этого выбора в своих
документах для Клиентов.

6.4. Исполнитель уведомляет Пользователя об изменении перечня п. 6.1 не менее
чем за 15 календарных дней публикацией новой редакции.

6.5. Если изменение перечня получателей или характера трансграничной передачи
затрагивает условия согласия субъекта, Пользователь обязан обеспечить получение
нового согласия до начала соответствующей обработки. Исполнитель обеспечивает
техническую возможность повторного получения согласия.

7. Меры защиты

7.1. Исполнитель применяет:

1) шифрование персональных данных при хранении — имя, телефон, адрес,
содержание переписки, примечания и идентификаторы чатов хранятся в
зашифрованном виде;
2) изоляцию данных Организаций друг от друга на уровне каждого запроса к базе;
3) передачу по защищённым каналам (TLS);
4) разграничение доступа сотрудников по ролям;
5) ведение журналов доступа без сохранения полного текста переписки;
6) уничтожение данных по достижении цели обработки.

7.2. Доступ сотрудников Исполнителя к персональным данным Клиентов Пользователя
допускается только для устранения технической неисправности, по обращению
Пользователя либо по требованию уполномоченного органа. Сотрудники, получившие
доступ, обязаны обеспечивать конфиденциальность (ст. 11 п. 2 Закона) на
основании подписанного обязательства о неразглашении.

7.3. Лицо, ответственное за организацию обработки персональных данных со
стороны Исполнителя (ст. 25 п. 2 подп. 10 Закона): Алимбеков А. Р.,
alimbekov.ardak@gmail.com. Общие обращения по-прежнему принимаются на
info@wameup.com.

7.4. Пользователь как собственник базы назначает такое лицо со своей стороны и
указывает его контактные данные в собственной политике, если является
юридическим лицом.

7.5. Исполнитель ведёт регистрацию и учёт сведений, названных в подпунктах 3)–6)
пункта 4 статьи 8 Закона (срок согласия, передача третьим лицам, трансграничная
передача, распространение): по каждому Клиенту сохраняются редакции документов,
действовавшие в момент получения согласия, время уведомления и время согласия, а
состав получателей и территории приведены в разделе 6 настоящего договора.

8. Реагирование на инциденты

8.1. При обнаружении несанкционированного доступа, утраты или изменения
персональных данных Исполнитель:

1) в течение одного рабочего дня с момента обнаружения уведомляет
Пользователя и предоставляет ему сведения, необходимые для исполнения
обязанностей, предусмотренных законодательством;
1-1) с момента обнаружения нарушения безопасности персональных данных уведомляет
уполномоченный орган в сфере защиты персональных данных о нарушении,
произошедшем в инфраструктуре Исполнителя, с указанием контактных данных лица,
названного в пункте 7.3 (ст. 25 п. 2 подп. 8 Закона). Пользователь как
собственник базы уведомляет уполномоченный орган о нарушениях, произошедших на
его стороне;
2) сообщает Пользователю состав затронутых данных, круг субъектов, известную
причину и принятые меры;
3) содействует Пользователю в уведомлении затронутых Клиентов.

8.2. Уведомление Пользователя направляется на адрес электронной почты, указанный
при регистрации.

9. Права субъектов

9.1. Обращения Клиентов Пользователя об изменении, удалении данных или об отзыве
согласия принимает и рассматривает Пользователь.

9.2. По запросу Пользователя Исполнитель в течение 5 рабочих дней предоставляет
выгрузку данных конкретного Клиента либо удаляет их. Обработка прекращается в
срок не более 15 рабочих дней с момента получения отзыва согласия (ст. 8 п. 7
Закона).

9.3. Данные, которые Пользователь обязан хранить в силу закона (налоговый и
бухгалтерский учёт), сохраняются на предусмотренный законом срок с
блокированием прочей обработки.

9.4. Пользователь поддерживает в актуальном состоянии сведения о целях
обработки, перечне персональных данных, получателях и условиях согласия
субъектов. Пользователь не вправе поручать Исполнителю обработку, не
предусмотренную действующей редакцией его политики и (или) согласием
субъекта.

10. Сроки хранения и возврат

10.1. Данные хранятся до достижения целей обработки либо до отзыва согласия
субъектом.

10.2. При расторжении договора и удалении аккаунта Исполнитель удаляет
персональные данные Клиентов Пользователя, которые более не требуются для
исполнения договора или для выполнения требований законодательства: переписку,
заказы, записи, брони, загруженные изображения, производные поисковые индексы,
кэши, очереди, временные файлы и записи журналов, содержащие персональные
данные. Резервные копии уничтожаются в срок не более 30 календарных дней.

10.3. До удаления аккаунта Пользователь вправе получить выгрузку своих данных.

10.4. Данные, подлежащие обязательному хранению в силу законодательства либо
необходимые для исполнения неисполненного обязательства, сохраняются в
соответствующем объёме и используются исключительно для этой цели, прочая
обработка блокируется.

11. Ответственность

11.1. Исполнитель отвечает за нарушение мер защиты (раздел 7) и за обработку за
пределами поручения (раздел 2).

11.2. Пользователь отвечает за наличие законного основания обработки, за
получение согласия своих Клиентов и за достоверность реквизитов, публикуемых в
его документах.

Офертаға № 1 қосымша

Дербес деректерді өңдеуге тапсырма шарты

Аударма туралы. Төменде осы құжаттың қазақ тіліндегі аудармасы берілген.
Аударма ақпараттық сипатта: орыс және қазақ мәтіндерінің арасында алшақтық
болған жағдайда, жоғарыда келтірілген орыс тіліндегі мәтін басым күшке ие.

Күшіндегі редакцияның нөмірі мен күні жарияланым бетінің төменгі жағында
көрсетілген. Шарт офертаны акцептеумен бір мезгілде жасалады және оның
ажырамас бөлігі болып табылады.

1. Тараптар және рөлдер

1.1. Пайдаланушы — өз Клиенттерінің дербес деректері бар базаның меншік
иесі (ҚР «Дербес деректер және оларды қорғау туралы» № 94-V Заңының 1-бабы,
бұдан әрі — Заң).

1.2. Орындаушы — осы деректерді Пайдаланушының тапсырмасы бойынша
жинауды, өңдеуді және қорғауды жүзеге асыратын оператор. Орындаушы өңдеу
мақсаттарын айқындамайды және Пайдаланушы Клиенттерінің деректерін өз
мақсаттарында пайдаланбайды.

1.3. Осы шарт Пайдаланушының Орындаушыға өз Клиенттерінің дербес деректерін
өңдеуді тапсыруының негіздері мен шарттарын айқындайды және осындай өңдеу
кезіндегі Тараптардың міндеттерін бөледі. Осы шарт дербес деректер
субъектісінің келісімін алмастырмайды — мұндай келісім Қазақстан
Республикасының заңнамасында талап етілетін жағдайларда.

2. Тапсырманың мәні

2.1. Орындаушы дербес деректерді тек қана Сервистің жұмысы үшін қажетті
көлемде және тек мынадай мақсаттарда өңдейді:

1) қосылған арналарда Пайдаланушының Клиенттерімен хат-хабар қабылдау және жүргізу;
2) тапсырыстарды, жазбаларды және брондарды рәсімдеу;
3) Пайдаланушының Клиенттеріне хабарламалар мен еске салулар жіберу;
4) Пайдаланушының өтініші бойынша оған техникалық қолдау көрсету;
5) Сервистің жұмысқа қабілеттілігі мен қауіпсіздігін қамтамасыз ету;
6) Пайдаланушының офертаның 7.1-тармағының 6) және 7) тармақшаларын сақтауын
бақылау.

2.2. Кез келген өзге мақсат Пайдаланушының жеке жазбаша тапсырмасын талап етеді.

2.3. 2.1-тармақтың 6) тармақшасы бойынша бақылау. Ұйымның каталогы мен
хат-хабары офертаның 7.1-тармағының 6) және 7) тармақшаларымен тыйым салынған
қызмет белгілеріне автоматты түрде тексеріледі. Автоматты тексеру Ұйымды тек
қарауға белгілейді: офертаның 7.3-тармағы бойынша бұғаттау туралы шешімді
Орындаушының қызметкері қабылдайды. Бақылау кезінде алынған мәліметтер тек осы
шешім үшін және уәкілетті органның заңды сұрау салуына жауап беру үшін
пайдаланылады.

3. Деректер мен субъектілердің санаттары

3.1. Субъектілер — қосылған арналар арқылы жүгінген Пайдаланушының Клиенттері.

3.2. Өңделетін деректер:

3.3. Орындаушы биометриялық деректерді, денсаулық, соттылық, саяси және діни
нанымдар туралы мәліметтерді өңдемейді. Дауыстық хабарламаны мәтінге түсіру
(3.4-т.) биометриялық өңдеу болып табылмайды: жазбадан айтылған сөз алынады,
дауыстың белгілері емес, және дауыс бойынша сәйкестендіру жүргізілмейді.

3.4. Дауыстық хабарламалар қабылданады және танылады. Өтінішті түсіну
үшін жазба мәтінге түрлендіріледі; тануды 6.3а-тармағының тізбесіндегі
жеткізуші не бұлттық инфрақұрылым жеткізушісінің автоматты сөйлеуді тану
сервисі орындайды. Жазбадан тек айтылған сөз алынады.

Орындаушы аудиожазбаны сақтамайды: ол хабарлама өңделіп жатқанда ғана жадта
ұсталады, мәтіні алынғаннан кейін сақталмайды және базаға да, журналдарға да
түспейді — онда тек мәтін қалады. Жеткізушіге жазба тек тану үшін беріледі және
ол оны өзге мақсаттарда пайдаланбайды.

Дауыс бойынша сәйкестендіру және өзге де биометриялық өңдеу ешқандай жағдайда
жүргізілмейді.

3.5. Суреттер жалғыз мақсатпен — өтініш нысанын тану үшін өңделеді: тауар,
қызмет, жазу, артикул немесе Клиентті каталог позициясымен сәйкестендіруге
мүмкіндік беретін өзге белгі. Суреттен адамның сыртқы келбетінің белгілері
алынбайды, сыртқы келбет бойынша сәйкестендіру жүргізілмейді және келбеттің
сипаттамасы ешқандай мақсатта пайдаланылмайды. Сурет сақталмайды: файл
диалог барысында жадта ұсталады және жауап қалыптастырылғаннан кейін
сақталмайды.

3.6. Пайдаланушы Сервисті арнайы санаттағы және өзге де сезімтал дербес
деректерді — оның ішінде биометриялық деректерді, жеке басты куәландыратын
құжаттардың суреттерін, денсаулық, соттылық туралы мәліметтерді — өңдеу үшін
пайдалануға құқылы емес, егер мұндай өңдеу Сервисте тікелей көзделмесе және
заңды негізбен әрі қорғау шараларымен қамтамасыз етілмесе. Сервис мұндай
өңдеуге арналмаған және адамды сыртқы келбеті немесе дауысы бойынша танымайды.

4. Деректермен жасалатын әрекеттер

4.1. Орындаушы мыналарды жасауға құқылы: жинау, жинақтау, сақтау, өзгерту,
толықтыру, пайдалану, бұғаттау, жою.

4.2. Орындаушының дербес деректерді таратуына жол берілмейді (Заңның
11-бабы 1-тармағы), 6-бөлімде санамаланған алушыларға беруді және заңда тікелей
көзделген жағдайларды қоспағанда.

5. Сақтау орны

5.1. Пайдаланушы Клиенттерінің дербес деректері бар база Қазақстан
Республикасының аумағында орналасқан (Заңның 12-бабы 2-тармағы).

5.2. Базаны Қазақстан Республикасының аумағынан тыс жерде орналастыруға жол
берілмейді. Инфрақұрылым жеткізушісін немесе базаның орналасу орнын Қазақстан
Республикасының аумағы шегінде ауыстыруға заңнама талаптары сақталған және
Пайдаланушы ақылға қонымды мерзімде хабардар етілген жағдайда, ал жоспарлы
ауыстыру кезінде — кемінде 30 күнтізбелік күн бұрын хабардар етілген жағдайда
жол беріледі.

6. Тартылатын тұлғалар және трансшекаралық беру

6.1. Сервистің жұмысы үшін Орындаушы мынадай тұлғаларды тартады:

6.2. Қазақстан Республикасынан тыс жерге беру субъектінің келісімі негізінде
жүзеге асырылады (Заңның 16-бабы 3-тармағының 1-тармақшасы). Мұндай келісімді
алуды базаның меншік иесі ретінде Пайдаланушы қамтамасыз етеді; Орындаушы
келісімді алуға және тіркеуге мүмкіндік беретін техникалық құралдар мен құжат
үлгілерін, оның ішінде субъект көрген құжат редакциясын тіркеуді ұсынады.

Орындаушы дербес деректерді осы шартта және субъектінің алынған келісімінде
көзделген мақсаттар мен көлемнен тыс өңдеуге құқылы емес.

6.3. Модель жеткізушілеріне берілген деректер тек ағымдағы диалогта жауап
қалыптастыру үшін ғана пайдаланылады.

6.3а. Автоматтандырылған өңдеу сервистері жеткізушілерінің тізбесі.
Орындаушы мынадай жеткізушілердің бірін пайдаланады:

Осы редакция күніне Орындаушының кілтінде жұмыс істейтін Ұйымдар үшін
DeepSeek пайдаланылады. Орындаушы келтірілген тізбедегі кез келген басқа
жеткізушіге көшуге құқылы — мұндай көшу субъектінің келісімінде көрсетілген
алушылар шеңберін және елдер тізбесін кеңейтпейді, сондықтан жаңа келісім алуды
талап етпейді; 6.5-тармақ осы тізбеден шыққан жағдайда ғана қолданылады.

Егер Ұйым өз кілтінде жұмыс істесе, сол тізбеден жеткізушіні Пайдаланушы
таңдайды және Клиенттерге арналған өз құжаттарында осы таңдауды көрсетуге де
сол жауапты.

6.4. Орындаушы 6.1-тармақтың тізбесінің өзгергені туралы Пайдаланушыны жаңа
редакцияны жариялау арқылы кемінде 15 күнтізбелік күн бұрын хабардар етеді.

6.5. Егер алушылар тізбесінің немесе трансшекаралық берудің сипатының өзгеруі
субъект келісімінің шарттарын қозғаса, Пайдаланушы тиісті өңдеу басталғанға
дейін жаңа келісім алуды қамтамасыз етуге міндетті. Орындаушы келісімді қайта
алудың техникалық мүмкіндігін қамтамасыз етеді.

7. Қорғау шаралары

7.1. Орындаушы мыналарды қолданады:

1) сақтау кезінде дербес деректерді шифрлау — аты, телефоны, мекенжайы,
хат-хабар мазмұны, ескертпелер мен чат идентификаторлары шифрланған түрде
сақталады;
2) Ұйымдардың деректерін базаға әрбір сұрау деңгейінде бір-бірінен оқшаулау;
3) қорғалған арналар арқылы беру (TLS);
4) қызметкерлердің қолжетімділігін рөлдер бойынша шектеу;
5) хат-хабардың толық мәтінін сақтамай, қолжетімділік журналдарын жүргізу;
6) өңдеу мақсатына қол жеткізілгенде деректерді жою.

7.2. Орындаушы қызметкерлерінің Пайдаланушы Клиенттерінің дербес деректеріне
қолжетімділігіне тек техникалық ақаулықты жою үшін, Пайдаланушының өтініші
бойынша не уәкілетті органның талабы бойынша ғана жол беріледі. Қолжетімділік
алған қызметкерлер қол қойылған жария етпеу міндеттемесі негізінде
құпиялылықты қамтамасыз етуге міндетті (Заңның 11-бабы 2-тармағы).

7.3. Орындаушы тарапынан дербес деректерді қорғауға жауапты тұлға:
Әлімбеков А. Р., alimbekov.ardak@gmail.com (Заңның 25-бабы 2-тармағының 10)
тармақшасы). Жалпы өтініштер бұрынғысынша info@wameup.com мекенжайына
қабылданады.

7.4. Пайдаланушы дерекқор иесі ретінде өз тарапынан осындай тұлғаны тағайындайды
және заңды тұлға болып табылса, оның байланыс деректерін өз саясатында
көрсетеді.

7.5. Орындаушы Заңның 8-бабы 4-тармағының 3)–6) тармақшаларында аталған
мәліметтерді тіркеуді және есепке алуды жүргізеді (келісім мерзімі, үшінші
тұлғаларға беру, трансшекаралық беру, тарату): әрбір Клиент бойынша келісім
алынған сәтте қолданыста болған құжаттардың редакциялары, хабарлау уақыты және
келісім уақыты сақталады, ал алушылар құрамы мен аумақтар осы шарттың 6-бөлімінде
келтірілген.

8. Оқыс оқиғаларға ден қою

8.1. Дербес деректерге рұқсатсыз кіру, олардың жоғалуы немесе өзгеруі
анықталған кезде Орындаушы:

1) анықталған сәттен бастап бір жұмыс күні ішінде Пайдаланушыны хабардар
етеді және оған заңнамада көзделген міндеттерді орындау үшін қажетті
мәліметтерді ұсынады. Дербес деректерді қорғау саласындағы уәкілетті органды
хабардар етуді Орындаушы және (немесе) Пайдаланушы заңнамаға және олар
белгілеген міндеттерді бөлуге сәйкес жүзеге асырады;
2) Пайдаланушыға қозғалған деректердің құрамын, субъектілер шеңберін, белгілі
себебін және қабылданған шараларды хабарлайды;
3) зардап шеккен Клиенттерді хабардар етуде Пайдаланушыға жәрдемдеседі.

8.2. Пайдаланушыны хабардар ету тіркеу кезінде көрсетілген электрондық пошта
мекенжайына жіберіледі.

9. Субъектілердің құқықтары

9.1. Пайдаланушы Клиенттерінің деректерді өзгерту, жою немесе келісімді кері
қайтарып алу туралы өтініштерін Пайдаланушы қабылдайды және қарайды.

9.2. Пайдаланушының сұрауы бойынша Орындаушы 5 жұмыс күні ішінде нақты
Клиенттің деректерін түсіріп береді не оларды жояды. Өңдеу келісімді кері
қайтарып алу алынған сәттен бастап 15 жұмыс күнінен аспайтын мерзімде
тоқтатылады (Заңның 8-бабы 7-тармағы).

9.3. Пайдаланушы заң күшіне орай сақтауға міндетті деректер (салық және
бухгалтерлік есеп) заңда көзделген мерзімге өзге өңдеуді бұғаттай отырып
сақталады.

9.4. Пайдаланушы өңдеу мақсаттары, дербес деректер тізбесі, алушылар және
субъектілердің келісім шарттары туралы мәліметтерді өзекті күйде ұстайды.
Пайдаланушы Орындаушыға өз саясатының күшіндегі редакциясында және (немесе)
субъектінің келісімінде көзделмеген өңдеуді тапсыруға құқылы емес.

10. Сақтау мерзімдері және қайтару

10.1. Деректер өңдеу мақсаттарына қол жеткізілгенге дейін не субъект келісімді
кері қайтарып алғанға дейін сақталады.

10.2. Шарт бұзылып, аккаунт жойылған кезде Орындаушы Пайдаланушы
Клиенттерінің шартты орындау үшін немесе заңнама талаптарын орындау үшін бұдан
былай қажет емес дербес деректерін жояды: хат-хабарды, тапсырыстарды,
жазбаларды, брондарды, жүктелген суреттерді, туынды іздеу индекстерін,
кэштерді, кезектерді, уақытша файлдарды және дербес деректері бар журнал
жазбаларын. Сақтық көшірмелер 30 күнтізбелік күннен аспайтын мерзімде жойылады.

10.3. Аккаунт жойылғанға дейін Пайдаланушы өз деректерін түсіріп алуға құқылы.

10.4. Заңнама күшіне орай міндетті түрде сақталуға жататын не орындалмаған
міндеттемені орындау үшін қажетті деректер тиісті көлемде сақталады және тек
осы мақсат үшін ғана пайдаланылады, өзге өңдеу бұғатталады.

11. Жауапкершілік

11.1. Орындаушы қорғау шараларының бұзылғаны үшін (7-бөлім) және тапсырмадан
тыс өңдеу үшін (2-бөлім) жауап береді.

11.2. Пайдаланушы өңдеудің заңды негізінің болуы үшін, өз Клиенттерінің
келісімін алу үшін және өз құжаттарында жарияланатын деректемелердің
дұрыстығы үшін жауап береді.
---

Annex No. 1 to the Public Offer

Personal Data Processing Agreement

About this translation. This is an English translation of the document
above, provided for information. If the Russian and English texts differ,
the Russian text above prevails.

The number and date of the current edition are shown at the bottom of the
publication page. This agreement is concluded at the same time as the offer is
accepted and forms an integral part of it.

1. Parties and roles

1.1. The User is the owner of the database containing the personal data of
its Customers (Art. 1 of the Law of the Republic of Kazakhstan "On Personal
Data and Their Protection" No. 94-V, the "Law").

1.2. The Contractor is the operator that collects, processes and protects
this data on the User's instructions. The Contractor does not determine the
purposes of processing and does not use the data of the User's Customers for
its own purposes.

1.3. This agreement sets out the grounds and conditions on which the User
instructs the Contractor to process the personal data of the User's Customers
and allocates the Parties' obligations in such processing. This agreement
does not replace the data subject's consent where such consent is required
by the law of the Republic of Kazakhstan.

2. Subject of the instruction

2.1. The Contractor processes personal data only to the extent necessary
for the Service to work and only for the following purposes:

1) receiving and conducting correspondence with the User's Customers in the
connected channels;
2) placing orders, appointments and bookings;
3) sending notifications and reminders to the User's Customers;
4) technical support of the User at the User's request;
5) keeping the Service working and secure;
6) monitoring the User's compliance with subclauses 6) and 7) of clause 7.1 of
the offer.

2.2. Any other purpose requires a separate written instruction from the User.

2.3. Monitoring under subclause 6) of clause 2.1. The Organisation's
catalogue and correspondence are checked automatically for signs of activity
prohibited by subclauses 6) and 7) of clause 7.1 of the offer. The automatic
check only flags the Organisation for review: the decision to block it under
clause 7.3 of the offer is taken by an employee of the Contractor. Information
obtained during monitoring is used only for that decision and to respond to a
lawful request of an authorised body.

3. Categories of data and data subjects

3.1. Data subjects are the User's Customers who contact the User through the
connected channels.

3.2. Data processed:

3.3. The Contractor does not process biometric data, health data, data on
criminal records, or political and religious beliefs. Transcribing a voice
message (clause 3.4) is not biometric processing: what is said is extracted
from the recording, not features of the voice, and no voice identification is
performed.

3.4. Voice messages are accepted and transcribed. The recording is
converted to text in order to understand the request; transcription is
performed by a provider from the list in clause 6.3a or by the automatic
speech recognition service of the cloud infrastructure provider. Only what
is said is extracted from the recording.

The Contractor does not store the audio recording: it is held in memory
while the turn is processed, is not kept after the transcript is obtained, and
never reaches the database or the logs; only the text remains there. The
recording is passed to the provider solely for transcription and is not used
by it for any other purpose.

Voice identification and other biometric processing are not performed under
any circumstances.

3.5. Images are processed for the sole purpose of recognising the subject of
the request: a product, service, label, article number or other feature by
which the Customer can be matched with a catalogue item. Features of a
person's appearance are not extracted from the image, identification by
appearance is not performed, and a description of appearance is not used for
any purpose. The image is not stored: the file is held in memory during
the dialogue turn and is not kept after the reply is formed.

3.6. The User may not use the Service to process special categories and other
sensitive personal data, including biometric data, images of identity
documents, health data and data on criminal records, unless such processing is
expressly provided for by the Service and backed by a lawful basis and
protective measures. The Service is not designed for such processing and does
not recognise a person by appearance or voice.

4. Operations with the data

4.1. The Contractor may perform: collection, accumulation, storage, alteration,
supplementation, use, blocking and destruction.

4.2. Disclosure of personal data by the Contractor is not permitted
(Art. 11(1) of the Law), except transfer to the recipients listed in section 6
and cases expressly provided by law.

5. Place of storage

5.1. The database containing the personal data of the User's Customers is
located in the territory of the Republic of Kazakhstan (Art. 12(2) of the
Law).

5.2. Placing the database outside the territory of the Republic of Kazakhstan
is not permitted. Changing the infrastructure provider or the location of the
database within the territory of the Republic of Kazakhstan is permitted
subject to the requirements of law and notice to the User within a reasonable
time, and for a planned change at least 30 calendar days in advance.

6. Engaged parties and cross-border transfer

6.1. To operate the Service, the Contractor engages the following parties:

6.2. Transfer outside the Republic of Kazakhstan is made on the basis of the
data subject's consent (Art. 16(3)(1) of the Law). Obtaining such consent is
the responsibility of the User as the database owner; the Contractor provides
the technical means and document templates that allow consent to be obtained
and recorded, including recording the edition of the document the data
subject saw.

The Contractor may not process personal data beyond the purposes and scope
provided by this agreement and the data subject's consent.

6.3. Data passed to model providers is used solely to form a reply in the
current dialogue.

6.3a. List of providers of automated processing services. The Contractor
uses one of the following providers:

As of the date of this edition, DeepSeek is used for Organisations working on
the Contractor's key. The Contractor may switch to any other provider from
the list above: such a switch does not widen the range of recipients or the
list of countries stated in the data subject's consent and therefore does not
require new consent; clause 6.5 applies only when going beyond this list.

If an Organisation works on its own key, the User chooses the provider from
the same list and is responsible for reflecting that choice in its documents
for Customers.

6.4. The Contractor notifies the User of a change to the list in clause 6.1 at
least 15 calendar days in advance by publishing a new edition.

6.5. If a change in the list of recipients or in the nature of the cross-border
transfer affects the terms of the data subject's consent, the User must obtain
new consent before the corresponding processing begins. The Contractor
provides the technical means to obtain consent again.

7. Protective measures

7.1. The Contractor applies:

1) encryption of personal data at rest: name, phone number, address, message
content, notes and chat identifiers are stored encrypted;
2) isolation of Organisations' data from each other on every database query;
3) transmission over secure channels (TLS);
4) role-based access for employees;
5) access logs kept without the full text of correspondence;
6) destruction of data once the purpose of processing is achieved.

7.2. Employees of the Contractor may access the personal data of the User's
Customers only to fix a technical fault, at the User's request, or at the
request of an authorised body. Employees who obtain access must keep it
confidential (Art. 11(2) of the Law) under a signed non-disclosure
undertaking.

7.3. Person responsible for organising the processing of personal data on the
Contractor's side (Art. 25(2)(10) of the Law): Alimbekov A. R.,
alimbekov.ardak@gmail.com. General requests are still accepted at
info@wameup.com.

7.4. The User, as the database owner, appoints such a person on its side and
states their contact details in its own policy, if it is a legal entity.

7.5. The Contractor registers and keeps records of the information named in
subclauses 3)–6) of clause 4 of Article 8 of the Law (term of consent,
transfer to third parties, cross-border transfer, disclosure): for each
Customer, the editions of the documents in force at the time consent was
obtained, the time of notice and the time of consent are kept, and the
recipients and territories are set out in section 6 of this agreement.

8. Incident response

8.1. On detecting unauthorised access to, loss of or alteration of personal
data, the Contractor:

1) within one working day of detection notifies the User and provides the
information it needs to perform its obligations under law;
1-1) from the moment a personal data security breach is detected, notifies the
authorised body for personal data protection of a breach in the
Contractor's infrastructure, stating the contact details of the person
named in clause 7.3 (Art. 25(2)(8) of the Law). The User, as the database
owner, notifies the authorised body of breaches on its side;
2) informs the User of the data affected, the range of data subjects, the
known cause and the measures taken;
3) assists the User in notifying the affected Customers.

8.2. The notice to the User is sent to the email address given at
registration.

9. Rights of data subjects

9.1. Requests from the User's Customers to change or delete data or to
withdraw consent are received and handled by the User.

9.2. At the User's request, the Contractor provides an export of a specific
Customer's data or deletes it within 5 working days. Processing stops no later
than 15 working days after receipt of the withdrawal of consent (Art. 8(7) of
the Law).

9.3. Data that the User must keep by law (tax and accounting records) is kept
for the period required by law, with other processing blocked.

9.4. The User keeps up to date the information on the purposes of processing,
the list of personal data, the recipients and the terms of data subjects'
consent. The User may not instruct the Contractor to perform processing not
provided for by the current edition of its policy and/or the data subject's
consent.

10. Retention and return

10.1. Data is kept until the purposes of processing are achieved or until the
data subject withdraws consent.

10.2. On termination of the agreement and deletion of the account, the
Contractor deletes the personal data of the User's Customers that is no longer
needed to perform the agreement or to meet legal requirements: correspondence,
orders, appointments, bookings, uploaded images, derived search indexes,
caches, queues, temporary files and log entries containing personal data.
Backup copies are destroyed within no more than 30 calendar days.

10.3. Before the account is deleted, the User may obtain an export of its
data.

10.4. Data subject to mandatory retention by law or needed to perform an
outstanding obligation is kept to the corresponding extent and used solely for
that purpose; other processing is blocked.

11. Liability

11.1. The Contractor is liable for breach of the protective measures
(section 7) and for processing beyond the instruction (section 2).

11.2. The User is liable for having a lawful basis for processing, for
obtaining its Customers' consent and for the accuracy of the details published
in its documents.

Редакция №13 от 2026-10-19