Политика конфиденциальности

Настоящая Политика обработки персональных данных составлена в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон о персональных данных») и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые ТОО «Paloma365» (далее — «Оператор»). Официальный текст Закона: https://adilet.zan.kz/rus/docs/Z1300000094

Оператор ставит своей важнейшей целью и условием осуществления деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, включая защиту права на неприкосновенность частной жизни.

Настоящая Политика применяется ко всей информации, которую Оператор может получить о посетителях веб-сайта https://paloma365.com, а также при взаимодействии пользователя с формами, заявками и иными каналами связи, размещенными на сайте.

Для пользователей из стран СНГ настоящая Политика применяется в той мере, в какой это допустимо применимым законодательством, при этом базовой (приоритетной) юрисдикцией является Республика Казахстан.

Минимизация: Оператор собирает только те данные, которые необходимы для работы сайта, обработки обращений и предоставления сервиса Paloma365. Оператор не собирает «лишние» данные, не относящиеся к указанным целям.

Ограничение целей: персональные данные обрабатываются только для заранее определенных и законных целей, указанных в настоящей Политике, и не используются для иных целей без законного основания.

Прозрачность: пользователь информируется о видах собираемых данных, целях обработки, категориях файлов cookie и возможности выбора (согласие/отказ) через баннер согласия.

Без скрытых методов идентификации: Оператор не использует скрытые методы идентификации (fingerprinting), не внедряет скрипты, выполняющие непроверенный код из сторонних источников, и не продает персональные данные.

Персональные данные — любая информация, относящаяся к определенному или определяемому пользователю сайта https://paloma365.com.

Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу (предоставление доступа), обезличивание, блокирование, удаление, уничтожение.

Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

Обезличивание — действия, в результате которых невозможно определить принадлежность персональных данных конкретному пользователю без использования дополнительной информации.

Трансграничная передача — передача персональных данных на территорию иностранного государства иностранному физическому или юридическому лицу.

Оператор имеет право обрабатывать персональные данные пользователя при наличии законного основания (согласие, исполнение договора, требования законодательства РК, законный интерес — в пределах допустимого).

Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, уничтожения, блокирования, копирования и иных неправомерных действий.

Оператор обязан предоставлять пользователю по его запросу информацию, касающуюся обработки персональных данных, в пределах требований законодательства Республики Казахстан.

Пользователь имеет право получать информацию об обработке своих персональных данных, требовать уточнения, блокирования или уничтожения персональных данных в случаях и порядке, предусмотренных законодательством Республики Казахстан.

Пользователь имеет право отозвать согласие на обработку персональных данных в случаях, когда обработка основана на согласии.

Пользователь обязан предоставлять достоверные сведения и своевременно сообщать об их изменении (при необходимости корректировки данных).

Данные, предоставляемые пользователем напрямую: имя (если указано), адрес электронной почты, номер телефона (если указан), содержание обращений/сообщений, иные данные, которые пользователь добровольно вводит в формы на сайте или направляет по электронной почте.

Технические и обезличенные данные: IP-адрес, сведения о браузере и устройстве, данные о посещениях страниц, источниках перехода, действиях на сайте; эти данные могут собираться с использованием файлов cookie и инструментов веб-аналитики.

Оператор не обрабатывает специальные (чувствительные) категории персональных данных (например, сведения о расовой/национальной принадлежности, политических взглядах, религиозных убеждениях, интимной жизни), если пользователь сам не предоставит такие сведения по собственной инициативе в тексте обращения. В таком случае Оператор рассматривает такие сведения как избыточные и не требующие обработки для целей сервиса.

Обработка обращений и заявок: уточнение деталей запроса пользователя, связь с пользователем, консультации по продукту и услугам Paloma365.

Оказание услуг и сопровождение пользователей: предоставление доступа к сервисам, поддержка, информирование о статусе обращений.

Улучшение сайта и качества сервиса: анализ обезличенных данных о действиях пользователей на сайте для улучшения интерфейса, качества контента и стабильности работы.

Информационные сообщения: Оператор может направлять пользователю уведомления о новых возможностях и услугах, если пользователь выразил согласие или если это допустимо применимым законодательством. Пользователь может отказаться от таких сообщений, направив письмо на info@paloma365.com с темой «Отказ от уведомлений».

Закон о персональных данных Республики Казахстан (официальный источник: https://adilet.zan.kz/rus/docs/Z1300000094).

Согласие пользователя: Оператор обрабатывает персональные данные, когда пользователь самостоятельно заполняет/отправляет формы на сайте или направляет данные по электронной почте, выражая согласие с настоящей Политикой.

Исполнение договора: обработка персональных данных может быть необходима для заключения и исполнения договора (публичной оферты) на предоставление услуг/сервиса.

Законный интерес: обеспечение безопасности сайта, предотвращение злоупотреблений, корректная работа сервиса — в пределах, допустимых законом и без нарушения прав пользователя.

На сайте используется баннер согласия (cookie-баннер), который позволяет пользователю выбрать категории файлов cookie: необходимые, аналитические и рекламные.

По умолчанию (до выбора пользователя) аналитические и рекламные cookies отключены, а теги аналитики/рекламы работают в режиме, ограниченном настройками согласия (consent). Механизм реализуется через Google Consent Mode (официальная документация: https://developers.google.com/tag-platform/security/guides/consent).

После нажатия пользователем «Согласен/Подтвердить» или выбора категорий cookies настройки обновляются, и соответствующие категории cookies могут быть активированы. При нажатии «Не согласен/Отклонить» аналитические и рекламные cookies остаются отключенными.

Подробный перечень cookies, их назначение, сроки хранения и ссылки на официальные источники приведены в документе Cookie Policy (Политика использования файлов cookie) на сайте Paloma365.

Дополнительно пользователь может управлять cookies через настройки браузера (удаление, блокировка, ограничение третьих сторон). В ЕС и странах, где действуют аналогичные требования, применяются стандарты ePrivacy (официальный текст директивы: https://eur-lex.europa.eu/eli/dir/2002/58/oj/eng).

Использование файлов cookie третьих сторон осуществляется исключительно при наличии согласия Пользователя, выраженного через cookie-баннер на сайте. Обработка данных с использованием таких файлов cookie осуществляется в соответствии с применимым законодательством Республики Казахстан, а также с учетом общепринятых международных стандартов защиты данных, включая принципы Общего регламента по защите данных (GDPR) и Директивы ePrivacy.

Файлы cookie третьих сторон регулируются политиками конфиденциальности соответствующих поставщиков сервисов, и Оператор не контролирует обработку данных такими третьими лицами за пределами целей, указанных в настоящей Политике.

Аналитика: Google Analytics (политика Google: https://policies.google.com/privacy) и/или Яндекс Метрика (политика Яндекса: https://yandex.ru/legal/confidential; информация по GDPR: https://yandex.com/support/metrica/ru/general/gdpr).

Реклама и измерение эффективности (при согласии пользователя): Google Ads, Meta (Facebook), TikTok, LinkedIn — в объеме, необходимом для измерения конверсий и эффективности рекламных кампаний.

Встраиваемый контент (при наличии на страницах): например, видео YouTube, которое может устанавливать функциональные cookies для корректного воспроизведения.

Оператор обеспечивает сохранность персональных данных и принимает меры, исключающие доступ неуполномоченных лиц.

Оператор не передает персональные данные третьим лицам, за исключением: (а) случаев, предусмотренных законодательством Республики Казахстан; (б) случаев, когда пользователь дал согласие; (в) случаев, когда передача необходима для работы сервиса (например, провайдерам инфраструктуры и сервисам аналитики/рекламы при наличии согласия).

Сроки хранения персональных данных определяются целями обработки и требованиями законодательства. Данные хранятся не дольше, чем это необходимо для достижения целей обработки, если иной срок не установлен законом или договором.

Пользователь может отозвать согласие на обработку персональных данных, направив письмо на info@paloma365.com с темой «Отзыв согласия на обработку персональных данных».

При необходимости трансграничной передачи персональных данных Оператор принимает меры, направленные на обеспечение надлежащего уровня защиты персональных данных в соответствии с законодательством Республики Казахстан и общими международными стандартами.

Трансграничная передача может осуществляться при наличии законного основания (согласие, исполнение договора, иные основания, предусмотренные законодательством).

По вопросам обработки персональных данных пользователь может обратиться к Оператору по электронной почте: info@paloma365.com.

В запросе рекомендуется указать: (а) ФИО (при наличии); (б) контактный email; (в) суть обращения; (г) при необходимости — ссылки на страницы сайта или описание ситуации.

Оператор вправе вносить изменения в настоящую Политику. Актуальная версия Политики публикуется на сайте и действует бессрочно до замены новой редакцией.

Настоящая Политика является базовой для Республики Казахстан и применяется к пользователям из стран СНГ в той мере, в какой это допускается применимым законодательством.

Раздел описывает обработку данных, когда пользователь подключает к своему аккаунту Paloma365 AI-ассистента через AI-коннектор Paloma365 (протокол Model Context Protocol, MCP), в том числе приложения (плагины) Paloma365 для ChatGPT компании OpenAI и для Claude компании Anthropic. Оба плагина подключаются к одному и тому же серверу Paloma365 и имеют одинаковые возможности; далее в разделе «плагин» означает любой из них. Подключение необязательно: Paloma365 работает без него, и до подключения данные аккаунта AI-сервису не передаются.

Подключить AI-ассистента может только владелец аккаунта (вход логином аккаунта) или сотрудник, которому в аккаунте назначен интерфейс «Администратор (Управленческий режим)». Логины кассы, рабочего места и учёта рабочего времени для подключения не принимаются. Допуск сотрудника проверяется при каждом обращении ассистента: если сотрудник уволен или удалён, у него снят этот интерфейс или изменён его пароль, его подключение перестаёт работать.

Подключение начинается в ChatGPT, Claude (или другом AI-ассистенте), а вход и подтверждение разрешений выполняются на странице Paloma365 в браузере пользователя (для плагинов ChatGPT и Claude — mcp.paloma365.com). Логин и пароль Paloma365 вводятся на этой странице, проверяются Paloma365 и не передаются ни в ChatGPT (OpenAI), ни в Claude (Anthropic): AI-сервис получает только токены доступа к аккаунту, а не пароль. На экране согласия показано, к какому аккаунту и от чьего имени запрашивается доступ и на какой адрес вернётся подключение.

По умолчанию доступ — только чтение. Дополнительные разрешения пользователь включает галочками, которые изначально не отмечены:

Доступ сотрудника дополнительно ограничен его правами в аккаунте: например, остатки по кассам доступны сотруднику только при наличии права «Отчёт по кассе».

Справочники плагина не включают сотрудников, роли, должности, помещения, столы, типы оплаты, кассы и банковские счета; поля с логинами и номерами телефонов удаляются из всех ответов плагина.

С разрешением на запись плагин может: изменить карточку товара (наименование, цену, артикул, описание); создать товар или группу товаров; создать черновик складского документа — поступление товаров, оприходование, списание, перемещение, возврат от покупателя, возврат поставщику, инвентаризацию.

Каждое изменение выполняется в два шага: сначала ассистент готовит предпросмотр, который ничего не записывает; затем изменение применяется отдельным шагом подтверждения, который ассистент вызывает после того, как пользователь увидел предпросмотр и согласился. Предпросмотр действует около 5 минут и используется один раз; одно подтверждение изменяет или создаёт ровно одну запись. Черновик не меняет остатки и деньги — его проводит человек в кабинете Paloma365.

Плагин не может: проводить документы; создавать и изменять кассовые и банковские документы и документы реализации; создавать поставщиков и калькуляции; настраивать аккаунт (торговые точки, рабочие места, сотрудники, логины, пароли, права); изменять настройки; удалять записи.

Когда ассистент обращается к коннектору, Paloma365 передаёт результат запроса AI-сервису, который подключил пользователь (для плагина ChatGPT — компании OpenAI, для плагина Claude — компании Anthropic), чтобы тот мог ответить пользователю. Результаты могут содержать персональные данные, хранящиеся в аккаунте (например, наименования и имена поставщиков и покупателей), и коммерческие данные — цены, остатки, продажи. Paloma365 не получает переписку пользователя с ассистентом — только запросы, которые ассистент направляет коннектору (например, текст поиска или значения изменения).

Данные, полученные AI-сервисом, обрабатываются его поставщиком по его собственным условиям и политике конфиденциальности (для ChatGPT — политика OpenAI: openai.com/policies/privacy-policy; для Claude — политика Anthropic: anthropic.com/legal/privacy) и могут обрабатываться за пределами Республики Казахстан (раздел 12). Paloma365 не контролирует обработку данных поставщиком AI-сервиса. Решение о подключении AI-сервиса и объёме разрешений принимает пользователь.

Как и при любом обращении к серверам Paloma365, технические данные (в том числе IP-адреса) могут обрабатываться в серверных журналах в целях безопасности и устранения сбоев (раздел 6).

Записи о подключениях, журнал вызовов и подготовленные изменения хранятся не дольше, чем это необходимо для работы коннектора, безопасности, проверки внесённых изменений и урегулирования споров, если более длительный срок не установлен законом или договором (раздел 11). Записи системного журнала аккаунта хранятся вместе с остальными данными аккаунта (п. 11.3 публичной оферты). После отзыва подключения запись о нём и журнал вызовов остаются доступны пользователю в кабинете.

Раздел описывает обработку данных, когда пользователь входит в личный кабинет Paloma365 с помощью своего аккаунта Google (кнопка «Войти через Google»). Этот способ входа необязателен: войти в кабинет можно и без аккаунта Google. Вход через Google не расширяет права пользователя: в кабинете ему доступно ровно то же, что и при входе другим способом.

Вход выполняется на странице Google: пароль от аккаунта Google вводится только там и Paloma365 не передаётся. После того как пользователь даст согласие на экране Google, Paloma365 получает от Google подписанное подтверждение входа, в котором содержатся: уникальный идентификатор аккаунта Google, адрес электронной почты и отметка о том, что Google его подтвердил, имя и ссылка на фото профиля, а для корпоративных аккаунтов Google Workspace — домен организации.

Paloma365 запрашивает только базовые разрешения входа (openid, email, profile) и не получает доступа к письмам Gmail, файлам Google Диска, контактам, календарю и другим данным аккаунта Google. Paloma365 не хранит токены доступа к сервисам Google и не обращается к ним от имени пользователя.

Данные, полученные от Google, используются только для входа: чтобы убедиться, что вход действительно выполнен через аккаунт Google, узнать пользователя по подтверждённому адресу электронной почты и найти его личный вход в Paloma365.

Эти данные не используются для рекламы, не продаются и не передаются третьим лицам, кроме случаев, предусмотренных законодательством (раздел 11). Сотрудники Paloma365 не просматривают их, кроме случаев, когда это нужно для обеспечения безопасности, по обращению самого пользователя или по требованию закона.

Использование и передача Paloma365 информации, полученной через API Google, соответствуют Google API Services User Data Policy, включая требования Limited Use.

Как и при любом обращении к серверам Paloma365, технические данные (в том числе IP-адреса) могут обрабатываться в серверных журналах в целях безопасности и устранения сбоев (раздел 6).

Обработка данных на стороне Google регулируется политикой конфиденциальности Google; такие данные могут обрабатываться за пределами Республики Казахстан (раздел 12).