Политика конфиденциальности

Настоящая Политика описывает, как оператор сервиса Amanah CRM (далее — «Оператор», «мы») обрабатывает персональные данные. Политика составлена в соответствии с главой 11 Цифрового кодекса Кыргызской Республики от 31 июля 2025 года № 178 (далее — «Цифровой кодекс»), который с 5 февраля 2026 года заменил Закон «Об информации персонального характера» № 58, и учитывает принципы Регламента ЕС 2016/679 (GDPR), поскольку данные хранятся в инфраструктуре на территории ЕС.

1. Роли: кто за какие данные отвечает

Сервис — B2B-платформа, поэтому важно различать две роли:

• Оператор — держатель массива данных в отношении: учётных записей пользователей (сотрудников компаний-клиентов), заявок с публичного сайта, технических журналов. Для этих данных обязанности владельца записей по Цифровому кодексу несём мы.
• Компания-клиент — держатель массива данных в отношении контента, который её сотрудники загружают в CRM (данные клиентов агентства, собственников объектов, переписка, документы). Мы обрабатываем такие данные исключительно по поручению и в интересах компании-клиента как технический исполнитель. Законность сбора этих данных (включая согласия субъектов) обеспечивает компания-клиент.

Если вы — клиент агентства недвижимости и хотите реализовать свои права в отношении данных, внесённых агентством в CRM, обращайтесь в первую очередь в само агентство; мы окажем агентству техническое содействие (раздел 8).

Компании-клиенту. Обязанности владельца записей — законное основание обработки, согласия субъектов, безопасность, ответы на обращения — лежат на компании-клиенте в отношении её собственной базы и не переходят к Оператору вместе с использованием Сервиса. Регистрация держателей массивов, которую вело Государственное агентство по защите персональных данных, прекращена 5 февраля 2026 года вместе со вступлением в силу Цифрового кодекса; порядок по новому регулированию следует уточнять у агентства — dpa.gov.kg. При получении согласий имеет смысл учитывать трансграничную передачу (раздел 5): данные Сервиса хранятся в Европейском Союзе.

2. Какие данные мы собираем

2.1. Данные пользователей Сервиса (сотрудников компаний)

• ФИО, email (логин), номер телефона;
• должность и роль в компании, дата рождения (опционально, для внутреннего справочника команды — коллеги видят день и месяц);
• фотография профиля (опционально);
• принадлежность к компании, журнал входов (время, IP, сессия);
• журнал действий (audit log) для контроля прав доступа.

2.2. Заявки с публичного сайта

• имя, телефон/WhatsApp, название компании, размер команды, комментарий — используются только для связи по заявке на демонстрацию.

2.3. Контент компаний-клиентов (обработка по поручению)

• контактные данные клиентов агентства (ФИО, телефон, email);
• сведения об объектах недвижимости и сделках, финансовые параметры сделок;
• переписка в подключённых мессенджерах, записи телефонных звонков (если компания подключила телефонию), документы и файлы.

2.4. Технические данные

• IP-адрес, user agent, браузер и ОС;
• cookies (см. Политику cookies);
• журналы ошибок и производительности, обезличенная продуктовая аналитика.

3. Цели обработки и основания

4. Кому передаются данные (субподрядчики)

Для работы Сервиса мы привлекаем следующих технических субподрядчиков. Передача ограничена минимумом, необходимым для соответствующей функции:

• Supabase (ЕС, регион Франкфурт) — база данных, аутентификация, файловое хранилище — supabase.com/privacy
• Vercel (США/ЕС) — хостинг приложения и CDN — vercel.com/legal/privacy-policy
• Resend (США) — отправка служебных email (приглашения, уведомления)
• Green-API / Wazzup — интеграция WhatsApp/Instagram: используется только если компания-клиент подключила свой аккаунт соответствующего провайдера; переписка проходит через выбранного компанией провайдера
• Провайдер телефонии компании-клиента — события и записи звонков поступают в Сервис от АТС, выбранной и подключённой самой компанией
• PostHog (ЕС) — продуктовая аналитика использования интерфейса
• Sentry (США/ЕС) — мониторинг ошибок приложения
• AI-провайдеры (OpenAI / Anthropic / Google / Groq) — только если компания-клиент включила AI-функции; передаются фрагменты текста, необходимые для конкретной функции (например, резюме переписки); данные не используются провайдерами для обучения моделей согласно их API-условиям

Мы не продаём и не передаём персональные данные третьим лицам в коммерческих целях. Передача государственным органам возможна только по законному, оформленному в установленном порядке требованию.

5. Трансграничная передача

Инфраструктура Сервиса размещена за пределами Кыргызской Республики — преимущественно на территории Европейского Союза (база данных — Франкфурт, Германия). Трансграничная передача осуществляется в соответствии с требованиями Цифрового кодекса к трансграничной передаче: на территории ЕС действует режим защиты персональных данных (GDPR), обеспечивающий уровень защиты не ниже предусмотренного законодательством Кыргызской Республики. Принимая условия Сервиса и/или продолжая его использование, пользователь и компания-клиент выражают согласие на такую передачу. Компании-клиенту следует учитывать это при получении согласий от своих клиентов.

6. Сроки хранения

• Учётные записи — всё время использования Сервиса; после удаления — до 30 дней (плюс ротация резервных копий); audit log — до 12 месяцев.
• Контент компании — пока действует подписка компании; после прекращения договора — 30 дней на экспорт, затем удаление (раздел 14 Условий использования).
• Заявки с сайта — до 12 месяцев с момента обращения.
• Технические журналы — до 12 месяцев.

7. Меры безопасности

• изоляция данных каждой компании на уровне СУБД (row-level security);
• разграничение доступа по ролям внутри компании; журналирование изменений прав;
• шифрование данных при передаче (TLS) и при хранении на стороне инфраструктурного провайдера;
• хранение паролей только в виде необратимых hash;
• регулярное резервное копирование;
• принцип минимально необходимого доступа для персонала Оператора.

При инциденте безопасности, затрагивающем персональные данные, мы уведомляем затронутые компании-клиенты без неоправданной задержки и принимаем меры по локализации и устранению последствий.

8. Права субъектов персональных данных

В соответствии с Цифровым кодексом субъект персональных данных имеет право:

• знать о наличии и составе своих данных у держателя массива;
• на доступ — получить сведения о своих данных и целях обработки;
• на уточнение — требовать исправления неточных данных;
• на блокирование и уничтожение — требовать прекращения обработки и удаления данных, обрабатываемых с нарушением закона;
• отозвать согласие на обработку, если обработка основана на согласии;
• обжаловать действия держателя массива в уполномоченный орган — Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики — или в суд.

Запросы по данным учётных записей и заявок направляйте нам (раздел 12) — ответим в срок, установленный законом. Запросы по данным, внесённым в CRM агентством недвижимости, направляйте в это агентство как держателю массива; по поручению агентства мы выполним техническую часть (выгрузку, исправление, удаление).

9. Cookies

Сервис использует строго необходимые cookies (сессия входа) и аналитические cookies. Подробности и управление — в Политике cookies.

10. Дети

Сервис предназначен для делового использования и не адресован лицам младше 16 лет. Мы сознательно не собираем данные детей.

11. Изменения Политики

При существенных изменениях мы уведомим пользователей через интерфейс Сервиса и/или email не менее чем за 14 дней. Актуальная редакция всегда доступна по адресу /privacy с указанием даты и версии.

12. Контакты Оператора

• Email по вопросам персональных данных: manusora.digital@gmail.com
• Адрес: г. Бишкек, Кыргызская Республика