Политика конфиденциальности

1. Оператор и контакты

Оператор платформы Fitora CRM — ТОО «CODEMASTERSPRO», БИН 240140022429. Обращения субъектов персональных данных: сайт https://fitora.kz, WhatsApp +7 771 685 2561.

Политика применяется к сайту, кабинету, связанным страницам и официальным мобильным приложениям. Она не заменяет политику конкретной школы в отношении её учеников и родителей.

2. Роли по Закону РК о персональных данных

По Закону РК «О персональных данных и их защите» различаются собственник базы персональных данных и оператор (лицо, осуществляющее сбор, обработку и защиту). Ниже — как это соотносится с Fitora.

Маркетинговый сайт и заявки на демонстрацию (имя, телефон, переписка в WhatsApp): Fitora является собственником базы и оператором. Отдельное согласие: https://fitora.kz/ru/consent.

Учётные записи сотрудников для входа в кабинет, технические журналы работы платформы: Fitora обрабатывает их как оператор сервиса в связи с заключением и исполнением договора (оферты) с Организацией.

Данные клиентов, учеников и родителей, которые школа вносит в CRM, договоры, оплаты, посещаемость, переписка школы: собственником базы является школа (Организация). Fitora обрабатывает эти данные по поручению школы как оператор информационной системы (обработчик) и не принимает самостоятельных решений о целях обработки клиентской базы школы.

Данные несовершеннолетних учеников школа вносит только при наличии правовых оснований (включая согласие законного представителя, когда оно требуется законом). Согласие на сайте Fitora к таким данным не относится.

3. Какие данные обрабатываются

Заявки с сайта: имя и номер телефона, которые лицо указывает в форме демонстрации, а также содержание последующей переписки в WhatsApp.

Аккаунты сотрудников: имя, адрес электронной почты, роль, принадлежность к организации, журнал входов и технические идентификаторы сессии.

Контент школы в CRM: контакты учеников и родителей, договоры и документы, сведения об абонементах и оплатах, расписание и посещаемость, сообщения и вложения в подключённых каналах — в объёме, который школа сама вносит или получает.

Технические сведения: IP-адрес, тип браузера или приложения, время запросов, файлы cookie, необходимые для работы сервиса, идентификаторы подключённых каналов (например, WhatsApp Business Account, Instagram professional account).

4. Цели обработки

Для заявок с сайта: связь по запросу на демонстрацию или консультацию, подготовка коммерческого предложения по тарифу.

Для кабинета: предоставление доступа к CRM, исполнение Публичной оферты, поддержка, обеспечение безопасности, предотвращение злоупотреблений, выставление счетов Организации.

Для данных, внесённых школой: исключительно цели, заданные школой как собственником (учёт клиентов, расписание, коммуникации школы и т.п.). Fitora не использует переписку и клиентскую базу школы для собственной рекламы и не продаёт эти данные.

Персональные данные не продаются.

5. Правовые основания (право РК)

Обработка осуществляется при наличии оснований, предусмотренных Законом РК «О персональных данных и их защите»: согласие субъекта (заявки с сайта, рассылки Оператора); заключение и исполнение договора с Организацией (оферта, доступ к кабинету); обработка по поручению собственника (данные клиентов школы); иные случаи, прямо указанные в законе.

6. Cookie и аналоги

Для работы кабинета используется необходимый файл cookie сессии (fitora_session): аутентификация, срок — до 14 суток, признак HttpOnly. Язык интерфейса публичного сайта задаётся путём URL (/ru, /kk), отдельный рекламный cookie локали не применяется.

При включённой защите форм может использоваться Cloudflare Turnstile (проверка, что запрос исходит от человека).

SDK Meta (Facebook) загружается при подключении школой WhatsApp / Instagram в настройках CRM, а не как рекламный пиксель маркетингового сайта.

Сторонние счётчики веб-аналитики (Google Analytics, Яндекс.Метрика и аналоги) на публичном сайте Оператором на дату настоящей редакции не подключались. При их появлении политика будет обновлена.

7. Хранение и инфраструктура

Основные данные Сервиса хранятся в информационных системах Оператора (облачная инфраструктура). Оператор учитывает требования законодательства РК к защите персональных данных, включая требования о хранении электронных баз персональных данных на территории Республики Казахстан в применимой части.

Точное размещение серверов и перечень технических подрядчиков определяются Оператором и могут уточняться. Запрос о месте хранения направляется через https://fitora.kz.

8. Трансграничная передача

Передача персональных данных на территорию иностранных государств осуществляется с учётом Закона РК «О персональных данных и их защите» (в том числе при обеспечении защиты либо при наличии согласия или иного законного основания).

Если школа подключает WhatsApp, Instagram, Messenger или иные зарубежные API, соответствующие сведения (сообщения, идентификаторы аккаунтов) передаются провайдеру канала (в том числе Meta Platforms) по поручению школы. Школа подтверждает наличие оснований на такую передачу.

Платёжные провайдеры получают данные в объёме, необходимом для оплаты тарифа Организацией Оператору, если выбран соответствующий способ оплаты.

9. Сроки хранения

Заявки с сайта хранятся до отзыва согласия либо до истечения необходимости для консультации и исполнения запросов, но не дольше, чем требует закон (в том числе для бухгалтерского и претензионного учёта, если из заявки возник договор).

Данные кабинета Организации хранятся, пока действует доступ, и разумный срок после удаления (резервные копии). По запросу владельца организации данные удаляются или обезличиваются, кроме сведений, которые закон обязывает хранить дольше.

Технические журналы безопасности хранятся ограниченный срок, необходимый для расследования инцидентов.

10. Права субъекта

Субъект персональных данных вправе требовать сведений об обработке, касающейся его данных; доступа к своим данным; исправления неточных данных; блокирования или уничтожения данных, собранных с нарушением закона либо при отсутствии правовых оснований; отзыва согласия, когда обработка основана на согласии.

Родители и ученики по данным в CRM школы обращаются в первую очередь в свою школу — она собственник базы. Fitora по таким обращениям взаимодействует со школой, кроме случаев, когда закон обязывает Оператора действовать иначе.

Сотрудники школы по данным аккаунта обращаются к администратору организации или к Оператору. Лица, оставившие заявку на сайте, обращаются к Оператору (раздел 11).

Субъект вправе обжаловать действия Оператора в уполномоченный орган в сфере персональных данных и (или) в суд Республики Казахстан.

11. Как подать обращение

Письменное или электронное обращение направляется через https://fitora.kz или WhatsApp +7 771 685 2561. Укажите ФИО, контакт, суть требования и сведения, позволяющие идентифицировать обработку (организация, дата заявки, номер телефона).

Оператор рассматривает обращение в сроки, установленные Законом РК «О персональных данных и их защите». Удаление организации целиком выполняется по запросу владельца, как правило в срок до 30 календарных дней, кроме данных, подлежащих более длительному хранению по закону.

12. Интеграция с Meta

Школа сама подключает WhatsApp Business и (или) профессиональный Instagram через Facebook Login for Business. Fitora получает токены доступа и доставляет входящие сообщения в кабинет, чтобы сотрудники отвечали от имени школы.

Отключение канала в настройках школы прекращает приём новых сообщений через Fitora; токены отзываются. Полное удаление данных организации — по запросу владельца Оператору.

13. Меры защиты

Оператор применяет организационные и технические меры: разграничение доступа по ролям, защищённую передачу (HTTPS), хранение сессии в HttpOnly cookie, ограничение прав сотрудников платформы. Абсолютная безопасность в сети Интернет не гарантируется.

Организация обязана обеспечивать сохранность учётных данных своих сотрудников и не запрашивать у Оператора обход мер защиты.

14. Изменение политики

Актуальная редакция: https://fitora.kz/ru/privacy. Существенные изменения сопровождаются обновлением даты. Связанные документы: соглашение https://fitora.kz/ru/terms, оферта https://fitora.kz/ru/offer, согласие https://fitora.kz/ru/consent, cookie https://fitora.kz/ru/cookies.

15. Электронная подпись

Для подписи договоров школа может предложить NCALayer на устройстве подписанта. Закрытый ключ ЭЦП в Fitora не передаётся и не хранится.

eGov Mobile (NITEC Smart Bridge) не подключён, пока нет действующего договора и настроек NITEC. Интерфейс не должен пониматься как уже доступная государственная подпись eGov.

Сервис не заявляет квалифицированную ЭЦП до проверки OCSP/цепочки НУЦ РК. Подпись в кабинете не заменяет согласие законного представителя несовершеннолетнего, когда оно требуется законом.