ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ NEXAXT WECO
Версия: 1.0 Дата вступления в силу: 11 мая 2026 г. Канонический URL: https://weco.nexaxt.com/pages/privacy-policy.html
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика конфиденциальности ("Политика") определяет порядок обработки персональных данных Товариществом с ограниченной ответственностью «НЕКСА ИКС ТИ» (БИН 230940021527), 050013, Республика Казахстан, г. Алматы, Бостандыкский район, проспект Сейфуллина, здание 617 (далее — "Оператор", "Компания", "Мы") в связи с использованием посетителями и Клиентами сайта https://weco.nexaxt.com и сервиса WECO.
1.2. Политика разработана в соответствии с: (а) Законом РК «О персональных данных и их защите» от 21 мая 2013 года № 94-V (далее — "94-V"); (б) Приказом Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 21 октября 2020 года № 395/НҚ «Об утверждении Правил сбора и обработки персональных данных» (далее — "Правила 395"); (в) Законом РК «Об информатизации» от 24 ноября 2015 года № 418-V; (г) Законом РК «О связи» от 5 июля 2004 года № 567-II; (д) Регламентом GDPR (для субъектов из ЕС/ЕЭЗ) и UK GDPR (для субъектов из Великобритании) — в той мере, в какой они применимы.
1.3. Важное разграничение ролей. Когда Клиент использует ПО WECO для публикации SPV-сайтов на собственной инфраструктуре, Клиент является самостоятельным оператором в отношении персональных данных Конечных пользователей этих сайтов. Компания не получает доступ к таким данным и не является ни оператором, ни обработчиком этих данных. Настоящая Политика регулирует только данные, передаваемые непосредственно Компании (см. раздел 4).
1.4. Контакт ответственного за обработку персональных данных (DPO): Email: anton.orlov@nexaxt.com Адрес: 050013, г. Алматы, Бостандыкский район, пр. Сейфуллина, зд. 617 Тема письма: "Запрос субъекта персональных данных" / "DPO request"
2. ОПРЕДЕЛЕНИЯ
2.1. Персональные данные — сведения, относящиеся к определённому или определяемому на их основе субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
2.2. Субъект — физическое лицо, чьи персональные данные обрабатываются.
2.3. Обработка — любое действие или совокупность действий с персональными данными: сбор, запись, хранение, изменение, использование, передача, обезличивание, блокирование, удаление и уничтожение.
2.4. Сегрегированный режим — режим, при котором персональные данные хранятся в форме, не позволяющей определить субъекта без использования дополнительной информации.
2.5. Согласие — свободное, информированное, конкретное и однозначно выраженное волеизъявление субъекта на обработку персональных данных.
2.6. Cookie — небольшой файл, сохраняемый браузером посетителя при посещении Сайта. См. отдельную Cookie Policy.
3. ПРИНЦИПЫ ОБРАБОТКИ
3.1. Компания обрабатывает персональные данные: (а) законно и справедливо; (б) для конкретных, заранее заявленных и законных целей; (в) в объёме, необходимом для достижения цели (минимизация); (г) точно и поддерживая актуальность; (д) на срок, не превышающий необходимого для целей обработки; (е) с применением соответствующих организационных и технических мер защиты.
4. КАКИЕ ДАННЫЕ МЫ СОБИРАЕМ
4.1. Регистрационные / billing-данные (при покупке лицензии): (а) ФИО / название организации; (б) email; (в) номер телефона (опционально); (г) название юридического лица, БИН/ИНН/VAT; (д) платёжные реквизиты (обрабатываются платёжным провайдером, нам передаются ограниченные метаданные транзакции, не полные данные карты).
4.2. Поддержка / коммуникации: (а) содержание обращений в поддержку, включая возможные персональные данные, добровольно предоставленные субъектом; (б) переписка по email.
4.3. Технические данные посетителей Сайта (web logs): (а) IP-адрес; (б) User-Agent; (в) Referer; (г) запрашиваемый URL; (д) UTC-таймстамп; (е) HTTP status code.
4.4. Click-wrap acceptance log (при акцепте оферты):
(а) email;
(б) license_id;
(в) SHA-256-хеш канонического текста принятых документов;
(г) UTC-таймстамп акцепта;
(д) IP-адрес;
(е) User-Agent.
4.5. Маркетинговые данные (при подписке на email-рассылку): (а) email; (б) ФИО (опционально); (в) согласие на маркетинг.
4.6. Cookies — см. Cookie Policy.
4.7. Heartbeat data (телеметрия admin VM)
4.7.1. Установленный admin VM Клиента раз в час выполняет один исходящий HTTPS-запрос на https://nexaxt.com/api/weco/host-heartbeat. Цели — (а) подтверждение активности лицензии, (б) детектирование «параллельного» использования одной лицензии на нескольких VM (явный признак перепродажи или утечки), (в) отслеживание распространённости версий релизов.
4.7.2. Что передаётся в каждом heartbeat:
(а) license_id и customer_id — идентификаторы, выданные Клиенту при покупке;
(б) SHA-256-хеш от /etc/machine-id admin VM (далее «host fingerprint») — стабильный, но необратимый идентификатор Linux-инсталляции; не IP, не имя машины, не серийный номер, восстановить исходное значение невозможно;
(в) количество хостов, зарегистрированных в админке (число, без IP/деталей);
(г) тег релиза (например v0.0.X);
(д) IP-адрес, с которого пришёл запрос (он же видим через DNS A-запись admin-домена Клиента, нового источника данных не создаёт).
4.7.3. Что НЕ передаётся в heartbeat: (а) контент Клиентских SPV-сайтов и связанные с ним данные Конечных пользователей; (б) PDF-файлы, изображения и иные загруженные документы; (в) audit-лог админки, имена и email пользователей админки; (г) конфигурации хостов, SSH-ключи, bearer-токены, MASTER_SECRET; (д) запросы Конечных пользователей к Клиентским сайтам.
4.7.4. Срок хранения heartbeat-записей: 24 месяца с момента приёма (для целей детектирования параллельного использования и юридической доказательной базы по §3(e) Master Services Agreement). После истечения срока — автоматическое удаление; см. также §7.
4.7.5. Опт-аут: Клиент может полностью отключить heartbeat установкой переменной окружения FF_HEARTBEAT_DISABLE=1 в /etc/ff-admin/.env и перезапуском сервиса ff-admin. Heartbeat не открывает входящих портов и в любом случае инициируется только со стороны admin VM Клиента.
4.7.6. Обнаружение утечек. При срабатывании детектирующих правил (одна лицензия на разных host fingerprint, использование отозванной лицензии, поддельная подпись heartbeat) NexaXT формирует evidence bundle — JSON-манифест с подписью Ed25519 — и сохраняет его в течение 24 месяцев. Состав манифеста ограничен полями, перечисленными в §4.7.2; контент Клиентских сайтов в манифесте никогда не присутствует.
4.8. Что мы НЕ собираем: (а) Контент Клиентских SPV-сайтов и связанные с ним данные Конечных пользователей (эти данные находятся исключительно на инфраструктуре Клиента); (б) полные данные платёжных карт (PCI-DSS scope находится у платёжного провайдера); (в) специальные категории персональных данных (расовая принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, биометрия) — не запрашиваются и не обрабатываются.
5. ЦЕЛИ И ПРАВОВЫЕ ОСНОВАНИЯ
5.1. Каждая операция обработки имеет правовое основание в одной из следующих норм 94-V:
| Цель обработки | Категории данных | Правовое основание (94-V) |
|---|---|---|
| Заключение и исполнение Соглашения с Клиентом | Регистрационные, billing | Ст. 9 п. 1 пп. 2): для заключения и исполнения договора |
| Исполнение требований налогового, бухгалтерского законодательства | Billing | Ст. 9 п. 1 пп. 1): на основании закона |
| Техническая поддержка | Поддержка, billing, технические | Ст. 9 п. 1 пп. 2): для исполнения договора |
| Безопасность Сайта (anti-fraud, anti-abuse) | Web logs, IP, User-Agent | Ст. 9 п. 1 пп. 6): защита законных интересов Оператора |
| Click-wrap log (доказательство акцепта) | Click-wrap data | Ст. 9 п. 1 пп. 2): для договора + ст. 9 п. 1 пп. 6) |
| Маркетинговая email-рассылка | Email, ФИО | Ст. 7 п. 1: согласие субъекта (отзываемое в любой момент) |
| Cookies (preferences, analytics, marketing) | Cookie ID | Ст. 7 п. 1: согласие через cookie banner |
| AML/CFT, противодействие санкциям | KYC-данные | Ст. 9 п. 1 пп. 1): на основании Закона 191-IV |
5.2. Согласие. Там, где основание — согласие, оно может быть отозвано в любой момент через email на anton.orlov@nexaxt.com или через настройки аккаунта. Отзыв не имеет обратной силы и не отменяет законность обработки до отзыва. Последствие отзыва согласия для регистрационных данных = блокировка / удаление аккаунта.
6. КОМУ МЫ ПЕРЕДАЁМ ДАННЫЕ. СУБПРОЦЕССОРЫ. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА
6.1. Полный список текущих субпроцессоров — на отдельной странице: https://weco.nexaxt.com/pages/subprocessors.html.
6.2. Краткий обзор:
| Субпроцессор | Цель | Юрисдикция | Категории данных |
|---|---|---|---|
| FirstVDS | Хостинг общедоступной части Сайта | Российская Федерация | Web logs, IP, контактные формы |
| Open-Xchange / NetSol Hosting | Корпоративный email | США / ЕС | Email-переписка, billing уведомления |
| FreedomPay | Платёжный шлюз | Республика Казахстан | Метаданные платежа, billing |
| GitHub (Microsoft) | Хостинг repo, releases, security advisories | США | Public commit data, GitHub-username (не PII Клиентов) |
| Cloudflare (если применяется) | CDN / DNS | США | IP, User-Agent при passthrough |
6.3. Трансграничная передача. Передача персональных данных в иностранные государства допускается: (а) при обеспечении в иностранном государстве адекватного уровня защиты прав субъектов (ст. 16 п. 2 пп. 1) 94-V); (б) при наличии согласия субъекта в письменной форме (ст. 16 п. 2 пп. 2) 94-V); (в) для исполнения договора, стороной которого является субъект (ст. 16 п. 2 пп. 4) 94-V).
6.4. Адекватность. Компания самостоятельно оценила уровень защиты в указанных юрисдикциях: (а) США — нет общего закона об адекватности; передача только при наличии Standard Contractual Clauses (Module 2 — controller-to-processor) с провайдером ИЛИ согласии субъекта ИЛИ необходимости для исполнения договора; (б) Российская Федерация — действуют Стандартные договорные оговорки или согласие субъекта; (в) Республика Казахстан — внутренняя обработка, режим адекватности применим автоматически; (г) ЕС / Великобритания — оба режима признают взаимную адекватность для целей передачи между ЕС и UK.
6.5. Гарантии и SCC. Компания заключила или заключит с каждым субпроцессором, не находящимся в РК, стандартные договорные оговорки (SCC) или эквивалент, обеспечивающие защиту, сопоставимую с 94-V.
6.6. Передачи государственным органам РК. Компания обязана предоставлять данные по требованию уполномоченных госорганов, при наличии законного основания (запрос следственного органа, суда, ГП РК и т. п.).
7. СРОКИ ХРАНЕНИЯ
7.1. Таблица сроков хранения:
| Категория данных | Срок хранения | Основание срока |
|---|---|---|
| Регистрационные / billing (активный аккаунт) | На время активности + 1 год после закрытия | Договор + типичный срок исковой давности |
| Финансовые / налоговые документы | 5 лет с момента сделки | Налоговый кодекс РК, ст. 48 п. 6 |
| Click-wrap acceptance log | 7 лет с акцепта | Доказательство договора + длительный срок исковой давности |
| SMTP-логи (метаданные email) | 90 дней | Технический минимум |
| Audit-логи Сайта | 90 дней | Технический минимум для расследования инцидентов |
| Web logs (общие посещения) | 90 дней | Технический минимум |
| Маркетинговые данные | До отзыва согласия или 3 года без активности | Согласие + LIA |
| Cookies | До 12 месяцев (специфика см. Cookie Policy) | ePrivacy / 94-V |
| KYC-данные (AML) | 5 лет после завершения отношений | Закон 191-IV, ст. 5 п. 4 |
| Поддержка-обращения | 3 года после закрытия тикета | Защита законных интересов |
| Heartbeat-записи admin VM (см. §4.7) | 24 месяца с момента приёма | Детектирование утечек лицензий + доказательная база §3(e) MSA |
| Evidence bundle (срабатывание детектирующих правил) | 24 месяца с момента создания | Юридическая фиксация инцидента + Ed25519-подпись |
7.2. По истечении срока данные удаляются или анонимизируются (обезличиваются) безопасным способом.
7.3. Из правил выше есть исключение: данные могут храниться дольше при наличии юридического hold-а (текущий судебный спор, расследование госоргана, обязательное требование закона).
8. ПРАВА СУБЪЕКТА
8.1. Каждый субъект персональных данных имеет следующие права (ст. 24 и др. 94-V, ст. 15-22 GDPR — если применим):
(а) право на доступ — узнать, какие его данные мы обрабатываем; (б) право на исправление неточных или неполных данных; (в) право на удаление ("право быть забытым"), если нет других правовых оснований для хранения; (г) право на ограничение обработки; (д) право на возражение против обработки на основании законных интересов или прямого маркетинга; (е) право на переносимость данных в структурированном машиночитаемом формате; (ж) право отозвать согласие в любой момент (без обратной силы); (з) право подать жалобу в надзорный орган.
8.2. Порядок реализации прав:
(а) Запрос направляется на anton.orlov@nexaxt.com с указанием темы "Запрос субъекта персональных данных"; (б) Компания обязана верифицировать личность заявителя для предотвращения мошеннического раскрытия. Способы верификации: ответ с email, указанного в аккаунте; предоставление информации, подтверждающей личность; (в) Срок ответа — 30 (тридцать) календарных дней с момента получения и верификации запроса. В сложных случаях срок может быть продлён ещё на 30 дней с письменным уведомлением; (г) Ответ предоставляется бесплатно. Повторные или явно необоснованные запросы могут быть платными или отклонены.
8.3. Основания для отказа: (а) запрос явно необоснован (anonymous, без идентификации); (б) запрос повторный или чрезмерный; (в) удовлетворение запроса нарушит права третьих лиц; (г) данные находятся под юридическим hold; (д) данные необходимы для защиты законных интересов Компании в рамках спора; (е) другие основания, прямо предусмотренные законом.
При отказе Компания указывает мотив.
8.4. Право на жалобу. Субъект вправе обратиться с жалобой в уполномоченный орган РК по защите персональных данных — Комитет по информационной безопасности Министерства цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП РК): (а) Сайт: https://www.gov.kz/memleket/entities/ckis; (б) Адрес: 010000, г. Астана, проспект Мангилик Ел, 8, Дом министерств.
Субъекты ЕС/UK могут обратиться в свой национальный надзорный орган (CNIL, BfDI, ICO и т. п.).
9. БЕЗОПАСНОСТЬ ОБРАБОТКИ
9.1. Компания применяет следующие технические и организационные меры:
(а) Шифрование at-rest — критичные поля (пароли, секреты) хешируются bcrypt; остальные секреты — AES-256-GCM с ротацией ключа через MASTER_KEY_VERSION;
(б) Шифрование in-transit — TLS 1.2+ на всех каналах между клиентами и серверами Компании;
(в) RBAC — доступ к данным по принципу минимально необходимых полномочий;
(г) MFA для admin-доступа;
(д) Audit-логирование (append-only) всех существенных действий;
(е) Регулярный backup с шифрованием носителя;
(ж) Сегментация сетей между admin-VM, host-VM, БД;
(з) Минимизация данных — собираем только необходимое;
(и) Обучение персонала в части защиты данных;
(к) NDA со всеми сотрудниками и контрагентами, имеющими доступ к данным.
9.2. Уведомление о нарушении. При утечке или несанкционированном доступе к персональным данным Компания обязана уведомить: (а) уполномоченный орган РК (МЦРИАП) — не позднее 24 часов с момента обнаружения, в соответствии с обязательствами по ст. 25-1 Закона 94-V; (б) затронутых субъектов — не позднее 72 часов, если нарушение может повлечь риск для их прав и свобод.
Уведомление содержит описание характера нарушения, категории и количество затронутых субъектов и записей, контактное лицо, последствия и принимаемые меры.
10. АВТОМАТИЗИРОВАННОЕ ПРИНЯТИЕ РЕШЕНИЙ. ПРОФИЛИРОВАНИЕ
10.1. Компания не принимает в отношении субъектов решений, основанных исключительно на автоматизированной обработке (включая профилирование), которые порождают для них юридические последствия или иным образом существенно их затрагивают.
10.2. Если в будущем такие механизмы будут введены, субъект будет уведомлён и получит право на возражение и человеческое вмешательство.
11. ДЕТИ
11.1. Сервис WECO не предоставляется лицам моложе 18 лет.
11.2. Если становится известно, что аккаунт принадлежит несовершеннолетнему, аккаунт немедленно блокируется, а связанные с ним данные — удаляются (за исключением финансовых и налоговых данных, обязательных к хранению).
11.3. Родители / опекуны, узнавшие о таком аккаунте своего ребёнка, могут обратиться на anton.orlov@nexaxt.com.
12. ВЫВОД ИЗ СОГЛАСИЯ. ПОСЛЕДСТВИЯ
12.1. Согласие может быть отозвано в любой момент.
12.2. Последствия отзыва: (а) если согласие — единственное основание обработки → обработка прекращается; (б) если есть другие основания (исполнение договора, требование закона) → обработка может продолжаться в этой части; (в) для активного Клиентского аккаунта отзыв согласия на обработку billing-данных делает невозможным предоставление Сервиса → аккаунт приостанавливается.
13. КОНТАКТЫ
Оператор: ТОО «НЕКСА ИКС ТИ» / NEXA IKS TI LLP БИН: 230940021527 Адрес: 050013, г. Алматы, Бостандыкский район, проспект Сейфуллина, здание 617 Email DPO: anton.orlov@nexaxt.com Email общий: info@nexaxt.com
Уполномоченный орган РК по защите персональных данных: Комитет по информационной безопасности МЦРИАП РК Адрес: 010000, г. Астана, проспект Мангилик Ел, 8 Сайт: https://www.gov.kz/memleket/entities/ckis
14. ИЗМЕНЕНИЯ ПОЛИТИКИ
14.1. Компания вправе обновлять Политику. Новая редакция публикуется на этой странице с указанием даты вступления в силу.
14.2. О существенных изменениях, ухудшающих положение субъектов, Компания уведомляет за 30 дней до вступления в силу — по email и/или баннером на Сайте.
14.3. История версий хранится в архиве (запрос — на anton.orlov@nexaxt.com).
Конец Политики конфиденциальности v1.0 от 11 мая 2026 г.