Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных физических лиц, обращающихся к сервису RentBox через сайт rentbox.kz, его поддомены, а также пользующихся CRM-системой RentBox.

1.2. Оператором персональных данных (далее — «Оператор») является владелец сервиса RentBox, контактные данные которого приведены в разделе 13 настоящей Политики.

1.3. Использование сервиса RentBox означает безоговорочное согласие Пользователя с настоящей Политикой и условиями обработки его персональных данных. В случае несогласия с любым положением Политики Пользователь обязан прекратить использование сервиса.

1.4. Политика применяется ко всем персональным данным, которые Оператор может получить о Пользователе во время использования сайта rentbox.kz, поддоменов вида *.rentbox.kz и связанных с ними сервисов.

2. Термины и определения

• Персональные данные (ПДн) — сведения, относящиеся к определённому или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
• Субъект персональных данных — физическое лицо, к которому относятся персональные данные.
• Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, использование, обезличивание, блокирование, удаление и уничтожение.
• Оператор — государственный орган, физическое или юридическое лицо, осуществляющее сбор, обработку и защиту персональных данных.
• Согласие субъекта — выраженное в письменной, электронной или иной форме разрешение субъекта на сбор и обработку его персональных данных.
• Тенант (Клиент) — юридическое лицо или индивидуальный предприниматель, заключивший с Оператором договор на использование CRM-системы RentBox.
• Пользователь — физическое лицо, использующее сайт rentbox.kz или CRM-систему RentBox в качестве сотрудника Тенанта.
• Cookies — небольшие текстовые файлы, хранящиеся в браузере Пользователя, которые сайт использует для работы и улучшения сервиса.

3. Категории субъектов и обрабатываемых данных

3.1. Посетители сайта rentbox.kz

При оставлении заявки на демонстрацию или связь с менеджером Оператор обрабатывает:

• фамилия, имя;
• номер телефона;
• наименование компании (при наличии);
• электронный адрес (при добровольном указании);
• технические данные: IP-адрес, тип браузера, страницы посещения, дата и время визита.

3.2. Пользователи CRM-системы (сотрудники Тенантов)

Для обеспечения работы учётной записи Оператор обрабатывает:

• фамилия, имя, отчество (при наличии);
• логин, хешированный пароль (bcrypt);
• должность и роль в системе;
• контактный телефон, e-mail;
• журналы действий (audit log) с привязкой к учётной записи и времени;
• IP-адрес, идентификатор сессии, push-токены.

3.3. Конечные клиенты Тенантов

В рамках оказания услуг Тенантам Оператор как поставщик инфраструктуры может обрабатывать персональные данные конечных клиентов автопрокатных компаний, в том числе:

• ФИО, дата рождения, ИИН;
• паспортные данные / удостоверение личности;
• сведения водительского удостоверения;
• контактный телефон, e-mail, адрес проживания;
• фотографии документов и состояния автомобиля;
• сведения о заказах, платежах, штрафах, ДТП;
• история переписки в подключённых каналах (Telegram, WhatsApp);
• данные о геолокации арендованного транспорта (через GPS-интеграцию).

В отношении этих данных Тенант выступает Оператором, а RentBox — лицом, осуществляющим обработку по поручению Оператора. Состав и условия обработки определяются договором между Тенантом и его клиентом.

4. Цели обработки персональных данных

4.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

• обработка обращений и заявок, поступающих с сайта rentbox.kz;
• заключение и исполнение договора об использовании CRM-системы;
• предоставление доступа к сервису, аутентификация и авторизация Пользователей;
• оказание технической поддержки и информирование об изменениях сервиса;
• выставление счетов и проведение взаиморасчётов;
• обеспечение безопасности и предотвращение несанкционированного доступа;
• выполнение требований законодательства Республики Казахстан;
• проведение анонимной статистики и улучшение пользовательского опыта.

4.2. Оператор не использует персональные данные для целей, не предусмотренных настоящей Политикой, без получения дополнительного согласия субъекта.

5. Правовые основания обработки

Обработка персональных данных осуществляется Оператором на следующих основаниях:

• согласие субъекта, полученное при регистрации, оставлении заявки или принятии оферты;
• заключённый договор, стороной которого является субъект, либо его исполнение;
• требования законодательства Республики Казахстан, включая Налоговый кодекс и Закон РК «О бухгалтерском учёте и финансовой отчётности»;
• защита законных интересов Оператора, не нарушающих прав субъекта.

6. Сроки обработки и хранения

Категория данных	Срок хранения
Заявки с сайта (лиды)	До 12 месяцев с момента последнего обращения, далее обезличивание
Учётные записи Пользователей CRM	В течение действия договора с Тенантом + 30 дней
Финансовая и налоговая документация	Не менее 5 лет согласно Налоговому кодексу РК
Журналы доступа (audit log)	До 12 месяцев
Данные конечных клиентов Тенантов	В соответствии с инструкциями Тенанта
Cookies технического характера	До 12 месяцев или до удаления Пользователем

По истечении сроков обработки персональные данные подлежат уничтожению или обезличиванию.

7. Передача персональных данных третьим лицам

7.1. Оператор не передаёт персональные данные третьим лицам, кроме случаев, прямо предусмотренных настоящей Политикой и законодательством Республики Казахстан.

7.2. Для обеспечения работы сервиса Оператор использует технологические партнёрства со следующими категориями обработчиков:

• Хостинг и инфраструктура — для размещения серверной инфраструктуры и реверс-проксирования (включая Cloudflare для защиты от DDoS и DNS).
• Telegram Messenger Inc. — для обмена сообщениями с клиентами через Telegram Bot API и MTProto.
• Wazzup24 — для интеграции с WhatsApp Business и Instagram Direct.
• Binotel — для виртуальной телефонии и записи звонков (при подключении тенантом).
• Wialon (Gurtam) — для GPS-мониторинга автотранспорта (при подключении тенантом).
• OnlyOffice — для онлайн-редактирования документов.
• Государственные органы Республики Казахстан — по официальному запросу в порядке, установленном законом.

7.3. Со всеми обработчиками заключены соглашения, обязывающие соблюдать конфиденциальность и применять меры защиты, не уступающие требованиям настоящей Политики.

8. Трансграничная передача данных

8.1. Часть инфраструктурных партнёров Оператора (например, Telegram, Cloudflare) расположена за пределами Республики Казахстан. Передача данных таким партнёрам осуществляется на основании согласия субъекта и договоров, обеспечивающих защиту данных.

8.2. Оператор передаёт персональные данные только на территории государств, обеспечивающих надлежащий уровень защиты прав субъектов персональных данных.

9. Cookies и веб-аналитика

9.1. Сайт rentbox.kz использует cookies технического и функционального назначения — для аутентификации Пользователя, сохранения настроек интерфейса, обеспечения корректной работы веб-форм.

9.2. CRM-система использует cookies для хранения JWT-токена авторизации в безопасном режиме (HttpOnly, Secure, SameSite=Strict).

9.3. Пользователь может настроить браузер на блокировку cookies — это может привести к недоступности отдельных функций сервиса.

10. Меры защиты персональных данных

Оператор применяет правовые, организационные и технические меры для обеспечения сохранности и защиты персональных данных:

• передача всех данных по протоколу HTTPS (TLS 1.2+), обязательный HSTS;
• хранение паролей в виде хешей bcrypt, без возможности восстановления;
• аутентификация через JWT-токены с ограниченным сроком действия;
• изоляция данных тенантов на уровне приложения (Global Scope multi-tenancy);
• разграничение доступа на основе ролей и гранулярных прав (RBAC);
• защита API от перебора паролей и брутфорса (rate limiting);
• регулярное резервное копирование баз данных;
• журналирование действий пользователей и автоматический мониторинг 5xx-ошибок;
• регулярные аудиты кода на соответствие OWASP Top 10;
• обучение сотрудников Оператора правилам обращения с персональными данными.

11. Права субъекта персональных данных

В соответствии с Законом РК «О персональных данных и их защите» субъект имеет право:

• знать о наличии у Оператора своих персональных данных, источниках, целях, сроках обработки;
• требовать изменения и дополнения своих персональных данных при наличии оснований;
• требовать блокирования персональных данных в случае их незаконной обработки;
• требовать уничтожения данных, обработка которых осуществляется с нарушением закона;
• отозвать ранее данное согласие на обработку персональных данных;
• обжаловать действия Оператора в уполномоченном органе по защите персональных данных или в суде.

Запросы направляются по адресу support@rentbox.kz с приложением документа, подтверждающего личность субъекта. Срок рассмотрения — не более 15 рабочих дней с момента получения запроса.

12. Изменения Политики

12.1. Оператор оставляет за собой право вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу rentbox.kz/privacy.html.

12.2. О существенных изменениях Оператор уведомляет Пользователей не позднее чем за 14 календарных дней до их вступления в силу — путём публикации на сайте и/или рассылкой уведомлений на e-mail.

12.3. Дата последней редакции указана в начале документа.

13. Контакты Оператора

По всем вопросам, связанным с обработкой персональных данных, Пользователь может обратиться:

• E-mail: support@rentbox.kz
• Сайт: rentbox.kz
• Адрес: Республика Казахстан, г. Астана