Политика в отношении сбора, обработки и защиты персональных данных

1Общие положения

1. Настоящая Политика конфиденциальности (далее - Политика) является документом, определяющим политику Оператора в отношении сбора, обработки и защиты персональных данных, и утверждена во исполнение требований Закона Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее - Закон) ст. 25 п. 2 пп. 1-1.
2. Политика распространяется на все персональные данные, получаемые Оператором при эксплуатации платформы QAZQUALITY (qqlab.top, далее - Сервис), в том числе при посещении Сервиса, регистрации, заполнении анкеты участника, аутентификации и использовании его функций (участие в программах внешней оценки качества и внутрилабораторный контроль).
3. Политика разработана в соответствии с Конституцией Республики Казахстан, Законом (с учётом изменений, внесённых Законом Республики Казахстан от 24 июня 2026 года № 326-VIII, вступившим в силу 25 августа 2026 года), Правилами осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных и иными нормативными правовыми актами Республики Казахстан.
4. Термины «персональные данные», «субъект персональных данных» (далее - Субъект), «собственник», «оператор», «третье лицо», «обработка», «распространение», «блокирование», «анонимизация», «удаление», «уничтожение», «обезличивание», «цифровой объект», «идентификатор персональных данных» и «трансграничная передача» применяются в значениях, установленных статьями 1, 6 и 16 Закона.
5. Регистрация в Сервисе и предоставление Согласия на сбор и обработку персональных данных (далее - Согласие) означают, что Субъект ознакомлен с настоящей Политикой. Условия обработки персональных данных конкретного Субъекта определяются Согласием.

2Сведения об Операторе

1. Оператор является физическим лицом и сам является лицом, ответственным за организацию обработки и защиту персональных данных ст. 25 п. 2 пп. 10. Обращения по вопросам обработки направляются на адрес электронной почты, указанный выше.

3Принципы обработки персональных данных

1. Обработка персональных данных осуществляется на принципах законности, конфиденциальности, безопасности и соблюдения прав Субъекта ст. 5.
2. Оператор обеспечивает:
   1. сбор и обработку персональных данных с согласия Субъекта, за исключением случаев, предусмотренных законами Республики Казахстан ст. 7 п. 1;
   2. ограничение сбора и обработки достижением конкретных, заранее определённых и законных целей ст. 7 п. 8;
   3. недопустимость обработки данных, содержание и объём которых избыточны по отношению к заявленным целям ст. 7 п. 9; ст. 12 п. 1;
   4. отказ от сбора и обработки копий документов, удостоверяющих личность ст. 7 п. 10;
   5. недопустимость создания или расширения баз и (или) цифровых объектов посредством нецелевого извлечения персональных данных из общедоступных источников ст. 7 п. 11;
   6. хранение персональных данных не дольше срока, необходимого для достижения целей обработки, с последующим уничтожением, удалением или анонимизацией ст. 12 п. 2; ст. 18;
   7. конфиденциальность персональных данных ограниченного доступа ст. 11.

4Состав обрабатываемых персональных данных

1. В качестве идентификатора персональных данных ст. 6 в отношении пользователей Сервиса применяется фамилия, имя, отчество в совокупности. Индивидуальный идентификационный номер, изображение лица и биометрический вектор лица пользователей Оператором не собираются.
2. Оператор не осуществляет сбор и обработку биометрических данных. При использовании ключей доступа (passkey) сопоставление биометрического признака выполняется исключительно средствами устройства Субъекта; Оператору передаётся только открытый криптографический ключ, не позволяющий восстановить биометрические данные.
3. Оператор не осуществляет сбор сведений о пользователях, относящихся к состоянию здоровья, расовой, национальной и религиозной принадлежности и иным категориям, требующим особой защиты. Результаты исследований контрольных образцов, вносимые пользователями, принадлежат соответствующей лаборатории и не являются персональными данными пользователя; подпись под ними является персональными данными (см. раздел 8).

5Цели и правовые основания обработки

1. Правовым основанием обработки является согласие Субъекта ст. 7 п. 1; ст. 8, а в случаях, установленных законами Республики Казахстан, - соответствующие требования законодательства.
2. Обработка персональных данных в целях рекламы, маркетинга и профилирования, а также их продажа Оператором не осуществляются.

6Способы и порядок обработки

1. Обработка осуществляется с использованием средств автоматизации и включает накопление, хранение, изменение и дополнение, использование, распространение, обезличивание, анонимизацию, блокирование, уничтожение и удаление персональных данных ст. 1 пп. 12.
2. Решения, порождающие юридические последствия для Субъекта, не принимаются исключительно на основании автоматизированной обработки.
3. Фамилия, имя, отчество и сведения о действиях Субъекта в Сервисе предоставляются администраторам Сервиса и участникам лаборатории Субъекта в объёме, необходимом для совместной работы и аудита. Такое предоставление доступа определённому кругу лиц является распространением ст. 1 пп. 15, но не является распространением в общедоступных источниках.
4. Распространение персональных данных в общедоступных источниках, то есть предоставление доступа к ним неограниченному кругу лиц ст. 1 пп. 3-2; ст. 7 п. 3, Оператором не осуществляется.

7Передача третьим лицам и трансграничная передача

1. Для обеспечения функционирования Сервиса Оператор привлекает третьих лиц. Передача персональных данных осуществляется в объёме, необходимом для выполнения конкретной функции; третьи лица не вправе использовать полученные данные в собственных целях.

2. Служебные уведомления администраторам Сервиса дублируются на собственный сервер уведомлений Оператора (Gotify), расположенный на территории Республики Казахстан; он не является третьим лицом, и передачи за пределы Республики Казахстан при этом не происходит.
3. Передача данных получателям, находящимся за пределами Республики Казахстан, является трансграничной передачей ст. 16 и осуществляется с согласия Субъекта ст. 7 п. 6; ст. 16 п. 3 пп. 1, выраженного в Согласии.
4. Резервные копии на сторонние облачные хранилища (в том числе Google Drive) не передаются; соответствующая функция Сервиса отключена.
5. Передача персональных данных иным третьим лицам не осуществляется, за исключением случаев, прямо предусмотренных законами Республики Казахстан (в том числе по запросам уполномоченных государственных органов и суда).
6. Сервисы веб-аналитики и рекламные сети Оператором не используются. Защита форм от автоматизированных запросов выполняется средствами самого Сервиса и данные внешним сервисам не передаёт.

8Место и сроки хранения

1. База и цифровой объект (сервер) Сервиса, а также резервные копии размещаются на территории Республики Казахстан ст. 12 п. 2.
2. Сроки хранения персональных данных определяются достижением целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан:

3. По достижении целей обработки, при прекращении правоотношений либо по требованию Субъекта в случаях, предусмотренных законом, персональные данные подлежат уничтожению, удалению либо анонимизации ст. 18.

9Файлы cookie и локальное хранилище

1. Сервис использует исключительно файлы cookie и данные браузера, необходимые для его функционирования. В связи с этим отдельное согласие на их использование не запрашивается.

2. Рекламные и аналитические файлы cookie не используются. Настройки интерфейса могут сохраняться в локальном хранилище браузера (localStorage) и на сервер не передаются.
3. Субъект вправе удалить файлы cookie средствами браузера; при этом для продолжения работы потребуется повторная аутентификация.

10Меры по защите персональных данных

1. Оператор принимает правовые, организационные и технические меры защиты, предусмотренные Законом ст. 22; ст. 25 п. 2 пп. 2, в том числе:
   1. передача данных исключительно по защищённому протоколу HTTPS;
   2. хранение паролей исключительно в виде результата хеширования (bcrypt) ст. 23 п. 2; поддержка ключей доступа (passkey) и двухфакторной аутентификации;
   3. разграничение доступа по лабораториям и ролям; роль «только просмотр» для наблюдателей;
   4. журналирование значимых действий с маскированием чувствительных значений; ограничение частоты запросов к формам входа и регистрации; защита от автоматизированных запросов;
   5. регулярное резервное копирование с хранением копий на территории Республики Казахстан;
   6. минимизация состава данных, передаваемых внешним сервисам.
2. В случае обнаружения нарушения безопасности персональных данных (несанкционированного доступа, незаконного распространения, изменения, уничтожения или удаления) Оператор в течение одного рабочего дня с момента обнаружения уведомляет уполномоченный орган ст. 25 п. 2 пп. 8, принимает меры по минимизации неблагоприятных последствий и уведомляет затронутых Субъектов.

11Права Субъекта и порядок их реализации

1. Субъект вправе ст. 24 п. 1:

2. Права реализуются Субъектом:
   1. самостоятельно, посредством раздела «Профиль» → «Безопасность» → «Мои персональные данные» (выгрузка данных, изменение фамилии, имени, отчества и контактных данных, отзыв согласия и удаление учётной записи); раздел находится в «Профиль» → «Безопасность»;
   2. путём направления письменного обращения Оператору на адрес stanislav@kharlamov.vip с указанием логина или адреса электронной почты учётной записи и существа требования. Оператор вправе потребовать подтверждения личности заявителя.
3. Оператор исполняет требования Субъекта в следующие сроки:

4. В случае отказа в предоставлении информации Оператор направляет Субъекту мотивированный ответ ст. 25 п. 2 пп. 7. Действия (бездействие) Оператора могут быть обжалованы в уполномоченный орган в сфере защиты персональных данных либо в суд ст. 30.

12Лица, не достигшие совершеннолетия

1. Сервис предназначен для специалистов клинических диагностических лабораторий и не рассчитан на использование лицами, не достигшими 18 лет. Регистрируясь в Сервисе, Субъект подтверждает достижение совершеннолетия.
2. При выявлении регистрации лица, не достигшего 18 лет, без согласия его законного представителя персональные данные такого лица подлежат уничтожению либо удалению.

13Заключительные положения

1. Оператор вправе вносить изменения в Политику. Актуальная редакция размещается по адресу qqlab.top/privacy с указанием даты редакции.
2. При существенном изменении Политики (изменении целей, состава получателей, сроков хранения) Субъекту при следующем входе в Сервис предлагается ознакомиться с новой редакцией и повторно выразить согласие.
3. Отношения, не урегулированные Политикой, регулируются законодательством Республики Казахстан.