Политика конфиденциальности QRuqsat

Политика сбора, обработки и защиты персональных данных · Дербес деректерді жинау, өңдеу және қорғау саясаты

Редакция 1.0 от 6 сентября 2026 года. Действует с даты публикации по адресу https://qruqsat.kz/privacy/.

QRuqsat — система пропускного режима по QR-коду для предприятий и охраняемых объектов. Правообладатель и разработчик — ТОО «Stream Technologies» (далее — «ТОО», «мы»). Настоящая Политика принята в соответствии с подпунктом 1-1) пункта 2 статьи 25 Закона Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — Закон) и описывает, какие персональные данные и на каких условиях обрабатываются в связи с:

сайтом qruqsat.kz;
Системой QRuqsat — серверной частью и веб-порталом, которые устанавливаются для организации, ведущей пропускной режим;
мобильным приложением «QRuqsat» для Android (идентификатор пакета kz.qruqsat.guard), которым пользуются сотрудники охраны такой организации.

1. Термины

Организация: Юридическое лицо, которое использует QRuqsat для пропускного режима на своих объектах. В отношении данных своих сотрудников, работников подрядчиков и посетителей Организация является собственником базы и оператором персональных данных в значении статьи 1 Закона.
Система: Серверная часть и веб-портал QRuqsat, развёрнутые для конкретной Организации. У каждой Организации своя отдельная база данных.
Приложение: Мобильное приложение «QRuqsat» для Android. Оно работает только с сервером той Организации, к которой подключено; учётные записи в нём выдаёт Организация.
Субъект: Физическое лицо, к которому относятся персональные данные: сотрудник Организации, работник подрядной организации, посетитель, водитель транспортного средства, пользователь портала или Приложения.
Обработка: Действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных (статья 1 Закона).

2. Кто отвечает за данные

QRuqsat устроен так, что персональные данные людей, проходящих на объект, обрабатывает сама Организация на своём сервере. ТОО поставляет программное обеспечение и по умолчанию доступа к этим данным не имеет.

Где обрабатываются данные	Оператор	Роль ТОО
Сайт qruqsat.kz	ТОО «Stream Technologies»	Владелец сайта. Персональные данные посетителей сайт не собирает (раздел 5).
Система на площадке Организации	Организация	Разработчик. Доступа к данным нет. При наличии договора технической поддержки ТОО получает доступ по поручению Организации, только для устранения неисправностей и без собственных целей обработки.
Система на площадке ТОО (облачное размещение по договору с Организацией)	Организация — собственник базы; ТОО — оператор, действующий по поручению Организации	Отдельная база на каждую Организацию, серверы на территории Республики Казахстан, условия обработки закреплены договором.
Приложение на телефоне сотрудника охраны	Организация	Данные из Приложения передаются только на сервер Организации. ТОО их не получает.

Обращения по данным, которые обрабатываются Системой (пропуска, заявки, журнал проходов), направляются Организации, выдавшей пропуск или принимающей заявку. Если Вам неизвестны её контакты, напишите нам (раздел 13) — мы передадим обращение Организации.

3. Какие данные обрабатывает Система

Состав данных ограничен задачей пропускного режима. Ниже перечислено всё, что Система способна хранить; конкретный набор для своей площадки определяет Организация.

3.1. Сотрудники Организации

фамилия, имя, отчество;
номер документа, удостоверяющего личность — по решению Организации, для сверки на проходной;
основание доступа: тип (сотрудник), срок действия, статус, профиль доступа (перечень объектов).

3.2. Работники подрядных организаций

фамилия, имя, отчество, номер документа, удостоверяющего личность;
подрядная организация, номер и срок её договора с Организацией;
данные заявки координатора подрядчика: срок доступа, состав работников, транспорт и документы на него.

3.3. Посетители

фамилия, имя, отчество, адрес электронной почты, номер телефона, наименование компании, должность или вид работ;
период доступа, государственный номер транспортного средства;
копии документов, загруженные при подаче заявки: удостоверение личности, договор, документ на транспортное средство, иные документы по требованию Организации;
решение по заявке и его причина.

3.4. Транспортные средства

государственный регистрационный номер, марка;
документ на транспортное средство;
привязка к водителю или к подрядной организации, срок и статус транспортного пропуска.

3.5. Журнал проходов и проездов

дата и время, объект, намерение (вход, выход, проверка), результат и причина решения;
идентификатор пропуска и человека, которому он выдан;
учётная запись сотрудника охраны, выполнившего сканирование, и IP-адрес его устройства;
при сверке транспорта — распознанный номер и фотография государственного номера, сделанная в момент сканирования как подтверждение факта проезда.

3.6. Пользователи портала и Приложения

фамилия, имя, отчество, адрес электронной почты, роль (администратор, сотрудник службы безопасности, охранник, координатор подрядчика), организация;
пароль — хранится только в виде криптографического хэша, восстановить его нельзя;
сведения о сеансах входа: время, IP-адрес, тип браузера или приложения, открытый ключ устройства, к которому привязан доступ из Приложения.

3.7. Электронные письма

На адрес, указанный в заявке, Система отправляет письмо о решении по заявке и, при одобрении, пропуск в виде QR-кода. Письмо содержит фамилию, имя, отчество, должность, компанию, период доступа и номер заявки.

Чего Система не делает. Не хранит фотографии людей, не использует биометрию и распознавание лиц — личность на проходной сверяется по QR-коду и государственному удостоверению. Не отслеживает местоположение сотрудников и посетителей. Не собирает данные для рекламы или маркетинга. Сам QR-код содержит только идентификаторы пропуска и подпись сервера, без фамилии и других сведений о человеке.

4. Цели и правовые основания

Персональные данные обрабатываются для конкретных, заранее определённых и законных целей (статья 7 Закона):

учёт и контроль доступа людей и транспорта на территорию и объекты Организации;
обеспечение безопасности объектов, охраны труда и антитеррористической защищённости, в том числе формирование списка находящихся на объекте на случай эвакуации;
рассмотрение заявок на пропуск и уведомление заявителей о решении;
исполнение договоров Организации с подрядными организациями;
разбор инцидентов и подтверждение фактов прохода и проезда;
обеспечение безопасности самой Системы: аутентификация пользователей, защита учётных записей, журнал действий;
исполнение требований законодательства Республики Казахстан.

Правовым основанием является согласие субъекта либо случаи, когда Закон допускает обработку без согласия (статья 9 Закона). Посетители и работники подрядных организаций дают согласие при подаче заявки на пропуск; форму согласия предоставляет Организация с учётом требований пункта 4 статьи 8 Закона. В отношении собственных сотрудников Организация определяет основание в порядке, установленном трудовым законодательством и её внутренними документами.

5. Сайт qruqsat.kz

На сайте нет форм, личных кабинетов и регистрации. Сайт не запрашивает и не собирает персональные данные посетителей.
Сайт не использует файлы cookie, счётчики, системы аналитики, рекламные сети и сторонние скрипты.
Для доставки страниц сервер обрабатывает технические сведения соединения (IP-адрес, запрошенный адрес). Журнал посещений не ведётся; при ошибках соединения IP-адрес может попасть в технический журнал сервера, который хранится ограниченное время, ротируется автоматически и не используется для идентификации посетителей.
Сервер сайта расположен на территории Республики Казахстан.

6. Мобильное приложение QRuqsat

Приложение предназначено для сотрудников охраны Организации. Самостоятельной регистрации в нём нет: учётную запись создаёт Организация, при первом запуске сотрудник подключает Приложение к серверу своей Организации.

6.1. Что Приложение передаёт на сервер Организации

при входе — адрес электронной почты и пароль учётной записи (по защищённому соединению HTTPS);
при сканировании пропуска — содержимое QR-кода (идентификаторы пропуска) и намерение: вход, выход или проверка;
при сверке транспорта — распознанный государственный номер и фотография номера;
служебные данные: версия Приложения, открытый ключ устройства для привязки доступа.

В ответ сервер показывает охраннику сведения о пропуске (фамилия, имя, отчество, должность, компания, срок действия). Эти сведения отображаются на экране и в Приложении не сохраняются.

6.2. Разрешения Android

Камера — для чтения QR-кода и съёмки государственного номера. Распознавание QR-кода и текста номера выполняется на самом устройстве. Кадры с камеры никуда не передаются, за исключением фотографии номера, которая при сверке транспорта отправляется на сервер Организации.
Интернет — для связи с сервером Организации.

Других разрешений Приложение не запрашивает.

6.3. Что хранится на устройстве

адрес сервера и название Организации;
токен сеанса — в защищённом хранилище Android;
криптографический ключ устройства — в хранилище ключей Android, закрытая часть устройство не покидает;
проверочное значение ПИН-кода (сам ПИН-код не хранится) и счётчик неверных попыток.

Все эти данные удаляются при отключении Приложения от Организации и при удалении Приложения с устройства. Учётную запись сотрудника на сервере удаляет Организация по обращению сотрудника.

6.4. Чего Приложение не делает

не определяет местоположение устройства;
не читает контакты, сообщения, список установленных приложений, файлы;
не собирает идентификаторы устройства и рекламные идентификаторы;
не содержит рекламы, систем аналитики, отчётов о сбоях и иных сторонних компонентов, передающих данные;
не передаёт данные ТОО или кому-либо, кроме сервера Организации.

При установке и обновлении через Google Play компания Google обрабатывает данные об установке в соответствии со своей политикой конфиденциальности; ТОО видит только обезличенную статистику магазина приложений.

7. Передача третьим лицам и место хранения

ТОО не продаёт и не передаёт персональные данные третьим лицам и не распространяет их в общедоступных источниках.
Организация может передавать данные государственным органам в случаях, прямо предусмотренных законами Республики Казахстан, а также привлекать ТОО к технической поддержке по договору (раздел 2).
Трансграничная передача персональных данных (статья 16 Закона) не осуществляется.
Персональные данные хранятся в базах, находящихся на территории Республики Казахстан (пункт 2 статьи 12 Закона): при размещении Системы у Организации — на её серверах в Республике Казахстан, что является условием договора; при облачном размещении — на серверах ТОО в Республике Казахстан.

8. Сроки хранения и уничтожение

Срок хранения определяется датой достижения целей сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан (статья 12 Закона). По достижении целей данные уничтожаются или обезличиваются (подпункт 4) пункта 2 статьи 25 Закона).
Сроки хранения заявок, журнала проходов и проездов и фотографий номеров устанавливает Организация в своих документах о пропускном режиме, исходя из требований безопасности объектов и законодательства.
Сеансы входа в портал и Приложение ограничены по времени и завершаются автоматически.
Данные на устройстве сотрудника охраны хранятся до отключения Приложения от Организации или его удаления.
При прекращении договора об облачном размещении база Организации передаётся Организации, а её копия у ТОО уничтожается, о чём составляется акт.
Сайт qruqsat.kz персональные данные не хранит.

9. Меры защиты

ТОО и Организация принимают правовые, организационные и технические меры для предотвращения несанкционированного доступа к персональным данным, обнаружения такого доступа и минимизации его последствий (статья 22 Закона). В Системе и Приложении реализованы, в частности:

шифрование всех соединений (HTTPS/TLS) между Приложением, порталом и сервером;
хранение паролей только в виде криптографического хэша; хранение токенов обновления сеанса в виде хэша;
привязка доступа из Приложения к криптографическому ключу конкретного устройства: перехваченный токен на другом устройстве не работает;
короткий срок жизни токенов доступа и автоматическое завершение сеансов;
разграничение прав по ролям: охранник видит только результат сканирования, координатор подрядчика — только свои заявки, отчёты доступны службе безопасности;
журнал действий с указанием учётной записи, времени и адреса устройства;
база данных и хранилище файлов недоступны из сети напрямую — только через серверную часть;
защита от перебора паролей и ограничение частоты запросов;
регулярное обновление компонентов и аудит безопасности исходного кода.

Работники ТОО, имеющие доступ к Системе в рамках технической поддержки, обязаны соблюдать конфиденциальность. О нарушении безопасности персональных данных, за которые отвечает ТОО, уполномоченный орган уведомляется в течение одного рабочего дня (подпункт 8) пункта 2 статьи 25 Закона).

10. Права субъекта персональных данных

В соответствии со статьёй 24 Закона Вы имеете право:

знать о наличии у оператора своих персональных данных и получать информацию о факте, целях, источниках и способах их сбора и обработки, перечне данных и сроках обработки;
требовать изменения и дополнения своих персональных данных при наличии оснований;
требовать блокирования своих персональных данных при наличии информации о нарушении условий их сбора и обработки;
требовать уничтожения персональных данных, сбор и обработка которых произведены с нарушением законодательства;
отозвать согласие на сбор и обработку персональных данных, кроме случаев, когда это противоречит законам Республики Казахстан или имеется неисполненное обязательство (пункт 2 статьи 8 Закона);
дать согласие или отказать в распространении своих данных в общедоступных источниках (QRuqsat такого распространения не производит);
на защиту своих прав и законных интересов, включая возмещение морального и материального вреда;
на осуществление иных прав, предусмотренных Законом и иными законами Республики Казахстан.

Как воспользоваться правами. По данным Системы обращайтесь к Организации, выдавшей пропуск или принявшей заявку; по сайту и Приложению — к ТОО по контактам из раздела 13. Ознакомление со своими данными бесплатно. Изменение, дополнение, блокирование или уничтожение данных при наличии оснований выполняется в течение одного рабочего дня (подпункт 8) пункта 2 статьи 25 Закона). После отзыва согласия обработка прекращается в течение пятнадцати рабочих дней, если хранение или обработка не требуются в соответствии с законодательством (пункт 7 статьи 8 Закона). В случае отказа Вы получите мотивированный ответ. Вы также вправе обратиться в уполномоченный орган в сфере защиты персональных данных и в суд.

11. Несовершеннолетние

Сайт и Приложение предназначены для лиц, достигших 18 лет. Персональные данные несовершеннолетнего посетителя могут быть внесены в Систему только Организацией и только с согласия его законного представителя.

12. Изменения Политики

Действующая редакция Политики всегда опубликована по адресу https://qruqsat.kz/privacy/ с указанием номера редакции и даты. О существенных изменениях ТОО уведомляет Организации в порядке, предусмотренном договором. Изменения не имеют обратной силы и не расширяют состав обрабатываемых данных без нового правового основания.

13. Контакты

ТОО «Stream Technologies»
БИН 260840017530
050007, Республика Казахстан, г. Алматы, Медеуский район, ул. Есенберлина, д. 91
Телефон: +7 771 788 99 99

Обращения по вопросам персональных данных направляйте письменно по почтовому адресу с пометкой «Персональные данные» или по телефону. Обращение рассматривается в сроки, установленные законодательством Республики Казахстан.

Уполномоченный орган в сфере защиты персональных данных — Министерство цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан.