Политика в отношении персональных данных
Редакция от 13 ноября 2026 года. Документ составлен по Закону Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V и является документом, определяющим политику сбора, обработки и защиты персональных данных (подпункт 1-1 пункта 2 статьи 25 Закона).
1. Кто обрабатывает данные
Собственник и оператор персональных данных — индивидуальный предприниматель, реквизиты в разделе 13 Публичной оферты (/oferta/). Далее — «я». Связь по вопросам персональных данных — через бота @arlan_nocode_bot в Telegram.
2. Что я собираю и зачем
Я собираю только то, без чего не могу продать продукт и выдать к нему доступ.
При посещении сайта — только с вашего разрешения. Сайт arlannocode.com статический: на нём нет форм, личного кабинета и рекламных трекеров. Хостинг Vercel получает технические данные запроса (IP-адрес, тип браузера, время) для доставки страниц и защиты от атак, я к ним не обращаюсь.
При первом посещении сайт спрашивает, можно ли включить Яндекс Метрику. Пока вы не нажали «Разрешить», счётчик не загружается и cookies не ставятся. Если вы разрешили, Метрика собирает:
| Данные | Зачем |
|---|---|
| IP-адрес, сведения об устройстве и браузере, примерное местоположение по IP | Чтобы считать посещения и отличать одного посетителя от другого |
| Откуда вы пришли, включая метку ролика в ссылке | Чтобы понять, какой ролик привёл посетителей |
| Какие страницы и разделы вы открыли, нажатия на кнопки, прокрутка | Чтобы увидеть, на каком шаге люди уходят |
| Запись визита «Вебвизор»: движения курсора, прокрутка и нажатия на странице | Чтобы найти места, где страница неудобна |
Для этого Метрика ставит cookies. Вводить на сайте нечего, поэтому набранный текст в запись не попадает. Передумать можно в любой момент: ссылка «Cookies» внизу любой страницы возвращает вопрос.
Отдельно от Метрики сайт ведёт обезличенные счётчики: сколько раз открыли страницу, докрутили до цены и нажали «Купить», и с какой меткой ролика. В счётчик уходит только название события, метка и адрес страницы. Cookies для этого не ставятся, сведения о вас не записываются, связать счётчик с конкретным человеком нельзя.
Когда вы пишете комментарий с кодовым словом в Instagram — автоответчик присылает вам сообщение в Direct. Чтобы не ответить дважды, он на короткое время запоминает служебные номера:
| Данные | Срок | Зачем |
|---|---|---|
| Номер комментария и номер отправленного сообщения | 7 дней | Чтобы не отправить автоответ повторно |
| Внутренний номер вашего аккаунта, который Instagram выдаёт моему приложению. Это не имя и не username | 24 часа | Чтобы не писать вам несколько раз подряд |
Имя, username, текст комментария и текст сообщения автоответчик не сохраняет: он обрабатывает их в момент ответа.
При покупке через бота — следующие данные:
| Данные | Откуда | Зачем |
|---|---|---|
| Идентификатор аккаунта Telegram, имя, фамилия и имя пользователя (username), как они указаны в вашем профиле | Telegram передаёт боту при каждом сообщении | Чтобы ответить вам, выдать доступ и закрепить чек за вами |
| Файл чека Kaspi в PDF и данные из него: номер чека, сумма, дата, ИИН/БИН продавца | Вы присылаете боту | Чтобы проверить оплату и не выдать доступ по одному чеку дважды |
| Текст ваших сообщений боту | Вы пишете боту | Чтобы ответить на вопрос или сделать возврат |
Чек Kaspi может содержать и другие данные плательщика. Бот из него читает только четыре поля выше.
Я не собираю паспортные данные, адреса, номера карт и телефонов. Платёж вы проводите в приложении Kaspi: данные вашей карты и счёта видит только Kaspi, мне они не передаются.
3. Основание и согласие
3.1. Данные обрабатываются с вашего согласия (статьи 7 и 8 Закона). Согласие вы даёте действием: отправляя боту сообщение, оплачивая продукт и присылая чек. Перед первым сообщением бот показывает ссылку на эту политику, на странице продукта ссылка стоит рядом с кнопкой покупки.
3.2. Вы можете не давать согласие. Тогда я не смогу продать вам продукт, потому что без идентификатора Telegram и чека выдать доступ невозможно.
3.3. Согласие действует до его отзыва или до уничтожения данных по разделу 6.
3.4. Согласие на аналитику сайта — отдельное. Вы даёте его кнопкой «Разрешить» в вопросе о cookies и отзываете кнопкой «Не нужно» там же. От него не зависит ни просмотр сайта, ни покупка.
3.5. Автоответ в Instagram вы получаете потому, что сами оставили комментарий с кодовым словом под роликом, где об этом сказано. Если не хотите получать сообщение, не пишите кодовое слово.
4. Кто ещё видит данные
Я не продаю и не передаю ваши данные для рекламы. Данные обрабатывают только сервисы, без которых бот не работает:
| Сервис | Где находится | Что получает |
|---|---|---|
| Telegram (Telegram FZ-LLC) | ОАЭ, серверы в разных странах | Все сообщения бота, включая файл чека. Хранит по своим правилам: telegram.org/privacy |
| Vercel Inc. | США | Код бота выполняется на серверах Vercel: сообщения проходят через него и не сохраняются после обработки |
| Meta Platforms (Instagram) | США, Ирландия | Ваш комментарий и сообщение в Direct. Meta — самостоятельный оператор и хранит их по своим правилам |
| Upstash Inc. | США, база во Франкфурте (ЕС) | Служебные номера автоответов Instagram из раздела 2 и обезличенные счётчики |
| Яндекс Метрика (ООО «ЯНДЕКС») | Россия | Данные о посещении сайта из раздела 2, только если вы разрешили аналитику. Условия сервиса: yandex.ru/legal/confidential |
| АО «Kaspi Bank» | Казахстан | Ваш платёж. Kaspi — самостоятельный оператор, мне он передаёт только фискальный чек, который вы сами мне пересылаете |
Копию чека и отчёт о покупке бот пересылает в мой личный чат в Telegram.
Государственным органам данные передаются только по законному требованию в случаях, предусмотренных законом.
5. Трансграничная передача и хранение за пределами Казахстана
5.1. Telegram, Vercel, Upstash и Яндекс Метрика находятся за пределами Республики Казахстан. Передача данных им — трансграничная передача по статье 16 Закона. Она осуществляется на основании вашего согласия (подпункт 1 пункта 3 статьи 16): для Telegram, Vercel и Upstash вы даёте его действием по пункту 3.1, для Яндекс Метрики — кнопкой «Разрешить» по пункту 3.4.
5.2. Пункт 2 статьи 12 Закона требует хранить персональные данные в базе на территории Казахстана. Базу покупателей я не веду: бот не сохраняет чеки и ваши данные после проверки. Единственная база, которую веду я, — служебные номера автоответов Instagram из раздела 2 в Upstash, они хранятся от 24 часов до 7 дней. Я честно сообщаю, что эта база находится за пределами Казахстана. Если уполномоченный орган потребует, я перенесу базу в Казахстан и сообщу об этом здесь.
5.3. Переписка в Telegram хранится на серверах Telegram по его правилам. Я не могу на это влиять, но могу удалить сообщения со своей стороны по вашему запросу.
6. Сроки хранения и удаление
| Данные | Срок |
|---|---|
| Служебные номера автоответов Instagram | От 24 часов до 7 дней, подробно в разделе 2 |
| Переписка с ботом, включая файл чека | 3 года с последнего сообщения, затем удаляется мной со своей стороны |
| Данные о возврате | 3 года с даты возврата |
| Данные о посещениях в Яндекс Метрике | Хранятся в сервисе Яндекса по его правилам. Я удалю счётчик вместе с накопленными данными, если перестану пользоваться аналитикой |
По истечении срока данные уничтожаются (статья 13 Закона). Раньше срока — по вашему запросу, если они больше не нужны для исполнения договора и закон не требует их хранить.
7. Ваши права
По статье 24 Закона вы вправе:
- узнать, какие ваши данные у меня есть, откуда они, зачем и как долго хранятся;
- требовать исправить неточные данные;
- требовать блокировать или уничтожить данные, которые собраны или обрабатываются незаконно;
- отозвать согласие на обработку и на трансграничную передачу;
- обратиться за защитой прав в уполномоченный орган или в суд.
Чтобы воспользоваться правом, напишите боту. Я отвечу в течение 3 рабочих дней; исправление, блокирование или уничтожение данных выполню в течение 1 рабочего дня с момента, когда убедился, что требование обосновано (статья 25 Закона).
Отзыв согласия прекращает обработку в течение 15 рабочих дней (пункт 7 статьи 8 Закона). Исключение — данные, которые я обязан хранить по закону или которые нужны для завершения уже оплаченного договора: возврата денег или подтверждения покупки. После отзыва согласия доступ к продукту сохраняется, но писать вам через бота я больше не смогу.
Проверить, что запрос пришёл от вас, я могу по идентификатору Telegram: запрос должен быть отправлен с того же аккаунта, с которого была покупка.
8. Как я защищаю данные
- Ключи бота и базы хранятся в переменных окружения Vercel, а не в коде. Код сайта и бота открыт и не содержит секретов.
- Бот принимает сообщения только от Telegram по защищённому соединению HTTPS и работает в режиме веб-хука без собственного сервера.
- Доступ к Upstash и Vercel защищён ключами и двухфакторной аутентификацией.
- Мой аккаунт Telegram, куда пересылаются чеки, защищён облачным паролем и двухфакторной аутентификацией.
- Бот не хранит файлы чеков: он читает PDF в памяти во время проверки и не сохраняет его.
- Об утечке данных я сообщу уполномоченному органу и пострадавшим покупателям через бота с момента обнаружения, как требует статья 25 Закона.
9. Дети
Продукт предназначен для лиц от 18 лет. Если вам от 14 до 18 лет, покупку совершает законный представитель, и его согласие на обработку данных считается данным при оплате. Если я узнаю, что данные получены от ребёнка без согласия родителей, я удалю их.
10. Изменения
Новая редакция публикуется на этой странице с датой. Если изменение расширяет перечень данных, цели или получателей, я попрошу новое согласие у действующих покупателей через бота. Предыдущие редакции пришлю по запросу.
11. Уполномоченный орган
Защиту прав субъектов персональных данных в Казахстане осуществляет уполномоченный орган в сфере защиты персональных данных при Министерстве искусственного интеллекта и цифрового развития Республики Казахстан. Жалобу также можно подать через портал eGov.kz.