Здесь — действующая редакция, публикуемая в сервисе по адресу api.wameup.com/legal/dpa: именно её принимает пользователь при регистрации.

Договор поручения на обработку персональных данных

WameUp

Номер и дата действующей редакции указаны внизу страницы публикации. Договор заключается одновременно с акцептом оферты и является
её неотъемлемой частью.

1. Стороны и роли

1.1. Пользователь — собственник базы, содержащей персональные данные его
Клиентов (ст. 1 Закона РК «О персональных данных и их защите» № 94-V, далее —
Закон).

1.2. Исполнитель — оператор, осуществляющий сбор, обработку и защиту этих
данных по поручению Пользователя. Исполнитель не определяет цели обработки и не
использует данные Клиентов Пользователя в собственных целях.

1.3. Настоящий договор определяет основания и условия поручения Пользователем
Исполнителю обработки персональных данных Клиентов Пользователя и распределяет
обязанности Сторон при такой обработке. Настоящий договор не заменяет согласие
субъекта персональных данных в случаях, когда такое согласие требуется
законодательством Республики Казахстан.

2. Предмет поручения

2.1. Исполнитель обрабатывает персональные данные исключительно в объёме,
необходимом для работы Сервиса, и только в следующих целях:

1) приём и ведение переписки с Клиентами Пользователя в подключённых каналах;
2) оформление заказов, записей и броней;
3) отправка уведомлений и напоминаний Клиентам Пользователя;
4) техническая поддержка Пользователя по его обращению;
5) обеспечение работоспособности и безопасности Сервиса;
6) контроль соблюдения Пользователем подпунктов 6) и 7) пункта 7.1 оферты.

2.2. Любая иная цель требует отдельного письменного поручения Пользователя.

2.3. Контроль по подпункту 6) пункта 2.1. Каталог и переписка Организации
проверяются автоматически на признаки деятельности, запрещённой подпунктами 6)
и 7) пункта 7.1 оферты. Автоматическая проверка только отмечает Организацию
для рассмотрения: решение о блокировке по пункту 7.3 оферты принимает работник
Исполнителя. Сведения, полученные при контроле, используются только для этого
решения и для ответа на законный запрос уполномоченного органа.

3. Категории данных и субъектов

3.1. Субъекты — Клиенты Пользователя, обратившиеся через подключённые каналы.

3.2. Обрабатываемые данные:

3.3. Исполнитель не обрабатывает биометрические данные, сведения о
здоровье, судимости, политических и религиозных убеждениях. Расшифровка
голосового сообщения (п. 3.4) биометрической обработкой не является: из записи
извлекается сказанное, а не признаки голоса, и идентификация по голосу не
выполняется.

3.4. Голосовые сообщения принимаются и распознаются. Запись
преобразуется в текст, чтобы понять обращение; распознавание выполняет
поставщик из перечня п. 6.3а либо сервис автоматического распознавания речи
поставщика облачной инфраструктуры. Из записи извлекается только сказанное.

Исполнитель аудиозапись не сохраняет: она удерживается в памяти на время
обработки хода, после получения расшифровки не хранится и ни в базу, ни в
журналы не попадает — там остаётся только текст. Поставщику запись передаётся
исключительно для распознавания и для иных целей им не используется.

Идентификация по голосу и иная биометрическая обработка не производятся ни при
каких условиях.

3.5. Изображения обрабатываются с единственной целью — распознать предмет
обращения: товар, услугу, надпись, артикул или иной признак, по которому
Клиента можно свести с позицией каталога. Признаки внешности человека из
изображения не извлекаются, идентификация по внешности не выполняется, и
описание внешности не используется ни для какой цели. Изображение
не сохраняется: файл удерживается в памяти в течение хода диалога и после
формирования ответа не хранится.

3.6. Пользователь не вправе использовать Сервис для обработки специальных
категорий и иных чувствительных персональных данных — включая биометрические
данные, изображения документов, удостоверяющих личность, сведения о здоровье,
судимости, — если такая обработка прямо не предусмотрена Сервисом и не
обеспечена законным основанием и мерами защиты. Сервис не предназначен для
такой обработки и не распознаёт человека по внешности или голосу.

4. Действия с данными

4.1. Исполнитель вправе совершать: сбор, накопление, хранение, изменение,
дополнение, использование, блокирование, уничтожение.

4.2. Распространение персональных данных Исполнителем не допускается
(ст. 11 п. 1 Закона), за исключением передачи получателям, перечисленным в
разделе 6, и случаев, прямо предусмотренных законом.

5. Место хранения

5.1. База, содержащая персональные данные Клиентов Пользователя, находится на
территории Республики Казахстан (ст. 12 п. 2 Закона).

5.2. Размещение базы за пределами территории Республики Казахстан не
допускается. Смена поставщика инфраструктуры или места размещения базы в
пределах территории Республики Казахстан допускается при соблюдении требований
законодательства и уведомлении Пользователя в разумный срок, а при плановой
смене — не менее чем за 30 календарных дней.

6. Привлекаемые лица и трансграничная передача

6.1. Для работы Сервиса Исполнитель привлекает следующих лиц:

6.2. Передача за пределы Республики Казахстан осуществляется на основании
согласия субъекта (ст. 16 п. 3 подп. 1 Закона). Получение такого согласия
обеспечивает Пользователь как собственник базы; Исполнитель предоставляет
технические средства и шаблоны документов, позволяющие получить и зафиксировать
согласие, включая фиксацию редакции документа, которую субъект видел.

Исполнитель не вправе обрабатывать персональные данные вне целей и объёма,
предусмотренных настоящим договором и полученным согласием субъекта.

6.3. Данные, переданные поставщикам моделей, используются исключительно для
формирования ответа в текущем диалоге.

6.3а. Перечень поставщиков сервисов автоматизированной обработки.
Исполнитель использует одного из следующих поставщиков:

На дату настоящей редакции для Организаций, работающих на ключе Исполнителя,
используется DeepSeek. Исполнитель вправе перейти на любого другого
поставщика из приведённого перечня — такой переход не расширяет круг получателей
и перечень стран, указанные в согласии субъекта, и потому не требует получения
нового согласия; пункт 6.5 применяется только при выходе за пределы настоящего
перечня.

Если Организация работает на собственном ключе, поставщика из того же перечня
выбирает Пользователь, и он же отвечает за отражение этого выбора в своих
документах для Клиентов.

6.4. Исполнитель уведомляет Пользователя об изменении перечня п. 6.1 не менее
чем за 15 календарных дней публикацией новой редакции.

6.5. Если изменение перечня получателей или характера трансграничной передачи
затрагивает условия согласия субъекта, Пользователь обязан обеспечить получение
нового согласия до начала соответствующей обработки. Исполнитель обеспечивает
техническую возможность повторного получения согласия.

7. Меры защиты

7.1. Исполнитель применяет:

1) шифрование персональных данных при хранении — имя, телефон, адрес,
содержание переписки, примечания и идентификаторы чатов хранятся в
зашифрованном виде;
2) изоляцию данных Организаций друг от друга на уровне каждого запроса к базе;
3) передачу по защищённым каналам (TLS);
4) разграничение доступа сотрудников по ролям;
5) ведение журналов доступа без сохранения полного текста переписки;
6) уничтожение данных по достижении цели обработки.

7.2. Доступ сотрудников Исполнителя к персональным данным Клиентов Пользователя
допускается только для устранения технической неисправности, по обращению
Пользователя либо по требованию уполномоченного органа. Сотрудники, получившие
доступ, обязаны обеспечивать конфиденциальность (ст. 11 п. 2 Закона) на
основании подписанного обязательства о неразглашении.

7.3. Лицо, ответственное за организацию обработки персональных данных со
стороны Исполнителя (ст. 25 п. 2 подп. 10 Закона): Алимбеков А. Р.,
alimbekov.ardak@gmail.com. Общие обращения по-прежнему принимаются на
info@wameup.com.

7.4. Пользователь как собственник базы назначает такое лицо со своей стороны и
указывает его контактные данные в собственной политике, если является
юридическим лицом.

7.5. Исполнитель ведёт регистрацию и учёт сведений, названных в подпунктах 3)–6)
пункта 4 статьи 8 Закона (срок согласия, передача третьим лицам, трансграничная
передача, распространение): по каждому Клиенту сохраняются редакции документов,
действовавшие в момент получения согласия, время уведомления и время согласия, а
состав получателей и территории приведены в разделе 6 настоящего договора.

8. Реагирование на инциденты

8.1. При обнаружении несанкционированного доступа, утраты или изменения
персональных данных Исполнитель:

1) в течение одного рабочего дня с момента обнаружения уведомляет
Пользователя и предоставляет ему сведения, необходимые для исполнения
обязанностей, предусмотренных законодательством;
1-1) с момента обнаружения нарушения безопасности персональных данных уведомляет
уполномоченный орган в сфере защиты персональных данных о нарушении,
произошедшем в инфраструктуре Исполнителя, с указанием контактных данных лица,
названного в пункте 7.3 (ст. 25 п. 2 подп. 8 Закона). Пользователь как
собственник базы уведомляет уполномоченный орган о нарушениях, произошедших на
его стороне;
2) сообщает Пользователю состав затронутых данных, круг субъектов, известную
причину и принятые меры;
3) содействует Пользователю в уведомлении затронутых Клиентов.

8.2. Уведомление Пользователя направляется на адрес электронной почты, указанный
при регистрации.

9. Права субъектов

9.1. Обращения Клиентов Пользователя об изменении, удалении данных или об отзыве
согласия принимает и рассматривает Пользователь.

9.2. По запросу Пользователя Исполнитель в течение 5 рабочих дней предоставляет
выгрузку данных конкретного Клиента либо удаляет их. Обработка прекращается в
срок не более 15 рабочих дней с момента получения отзыва согласия (ст. 8 п. 7
Закона).

9.3. Данные, которые Пользователь обязан хранить в силу закона (налоговый и
бухгалтерский учёт), сохраняются на предусмотренный законом срок с
блокированием прочей обработки.

9.4. Пользователь поддерживает в актуальном состоянии сведения о целях
обработки, перечне персональных данных, получателях и условиях согласия
субъектов. Пользователь не вправе поручать Исполнителю обработку, не
предусмотренную действующей редакцией его политики и (или) согласием
субъекта.

10. Сроки хранения и возврат

10.1. Данные хранятся до достижения целей обработки либо до отзыва согласия
субъектом.

10.2. При расторжении договора и удалении аккаунта Исполнитель удаляет
персональные данные Клиентов Пользователя, которые более не требуются для
исполнения договора или для выполнения требований законодательства: переписку,
заказы, записи, брони, загруженные изображения, производные поисковые индексы,
кэши, очереди, временные файлы и записи журналов, содержащие персональные
данные. Резервные копии уничтожаются в срок не более 30 календарных дней.

10.3. До удаления аккаунта Пользователь вправе получить выгрузку своих данных.

10.4. Данные, подлежащие обязательному хранению в силу законодательства либо
необходимые для исполнения неисполненного обязательства, сохраняются в
соответствующем объёме и используются исключительно для этой цели, прочая
обработка блокируется.

11. Ответственность

11.1. Исполнитель отвечает за нарушение мер защиты (раздел 7) и за обработку за
пределами поручения (раздел 2).

11.2. Пользователь отвечает за наличие законного основания обработки, за
получение согласия своих Клиентов и за достоверность реквизитов, публикуемых в
его документах.

Редакция №13 от 2026-10-19