Как NewsMonitor собирает, использует и защищает персональные данные пользователей платформы.

Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок сбора, обработки, хранения, использования, передачи и защиты персональных данных при использовании сервиса NewsMonitor — программно-аппаратной платформы для мониторинга новостей и государственных закупок Республики Казахстан с AI-анализом и B2B-лидогенерацией, доступной по адресам newsmonitor.kz и app.newsmonitor.kz (далее — «Сервис»).

Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон о ПДн») и иными нормативными правовыми актами Республики Казахстан.

Используя Сервис (проходя регистрацию, авторизуясь, оформляя подписку или иным образом взаимодействуя с Сервисом), Пользователь подтверждает, что ознакомился с настоящей Политикой и согласен с порядком обработки своих персональных данных, изложенным в ней. Если Пользователь не согласен с условиями Политики, он обязан прекратить использование Сервиса.

1. Термины и определения

Сервис — платформа NewsMonitor (домены newsmonitor.kz, app.newsmonitor.kz), включая веб-приложение, личный кабинет, программные интерфейсы, средства уведомлений и сопутствующие компоненты.
Оператор (он же «Исполнитель», «мы») — лицо, которое определяет цели и осуществляет сбор и обработку персональных данных при использовании Сервиса, а также является собственником баз данных, формируемых Сервисом: ИП Наурузбаев, 961223350744, Астана, УЛИЦА АЛЕКСЕЙ ПЕТРОВ, дом 14/2, кв/офис 69.
Пользователь (он же «Заказчик», «вы») — физическое лицо, которое прошло регистрацию и использует Сервис, в том числе от имени организации.
Персональные данные (ПДн) — сведения, относящиеся к определённому или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
Субъект персональных данных (далее — «Субъект») — физическое лицо, к которому относятся соответствующие персональные данные.
Персональные данные третьих лиц — персональные данные физических лиц, которые не являются Пользователями Сервиса (в частности, лиц, принимающих решения, и иных представителей компаний), извлекаемые Сервисом из открытых источников. Им посвящён отдельный Раздел 4 настоящей Политики.
Обработка персональных данных — действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.
Личный кабинет — защищённый персональный раздел Пользователя в Сервисе.
Тарифный план — набор условий и объёма услуг, предоставляемых Пользователю в рамках выбранной подписки.
Cookie — небольшие файлы, сохраняемые в браузере Пользователя при использовании Сервиса.

2. Оператор и контакты

Оператором персональных данных является:

Наименование: ИП Наурузбаев
БИН/ИИН: 961223350744
Юридический адрес: Астана, УЛИЦА АЛЕКСЕЙ ПЕТРОВ, дом 14/2, кв/офис 69
Адрес для общих обращений: hello@newsmonitor.kz
Адрес для обращений по вопросам персональных данных: hello@newsmonitor.kz

Ответственное лицо за организацию обработки персональных данных: ИП НАУРУЗБАЕВ, контакт: hello@newsmonitor.kz.

По любым вопросам, связанным с обработкой персональных данных, реализацией прав субъектов, отзывом согласия и иным предметом настоящей Политики, Пользователь и иные субъекты вправе обратиться к Оператору по указанным контактам.

3. Персональные данные Пользователей, которые мы собираем

В зависимости от используемых функций Сервиса и типа аккаунта (personal — физическое лицо; business — ИП/ТОО/АО) Оператор обрабатывает следующие категории персональных данных Пользователей:

Категория данных	Состав	Источник
Идентификационные и учётные	Адрес электронной почты (email), имя, статус аккаунта, факт и дата подтверждения email	предоставляются Пользователем при регистрации
Аутентификационные	Хеш пароля (вычисляется по алгоритму bcrypt, 12 раундов; пароль в открытом виде не хранится), идентификатор Google (`googleId`) при входе через Google	предоставляются Пользователем
Реквизиты организации (для аккаунтов `business`)	Наименование юридического лица/ИП, БИН/ИИН, юридический (платёжный) адрес, снимок платёжных реквизитов в счетах	предоставляются Пользователем
Платёжные и биллинговые	Тарифный план, история счетов, реквизиты счёта-фактуры, период подписки	формируются при оформлении подписки
Идентификаторы интеграции с Telegram	Идентификатор чата (`chatId`), имя пользователя Telegram (`username`)	при добровольной привязке Telegram
Технические данные	IP-адрес (в том числе IP инициатора пробного периода), сведения об устройстве и браузере, данные журналов событий (идентификаторы пользователя/организации, идентификатор запроса, события безопасности), файлы cookie	собираются автоматически

Сервисные токены (токены обновления сессии, подтверждения email, восстановления пароля) хранятся в виде хешей (SHA-256) и не раскрывают содержания.

Оператор намеренно не записывает в журналы события открытые пароли, токены и содержимое электронных писем. Журналируются служебные идентификаторы (идентификатор пользователя/организации, IP-адрес, идентификатор запроса), события безопасности и действия администраторов платформы — в целях обеспечения безопасности и работоспособности Сервиса.

Оператор не обрабатывает специальные категории персональных данных (о расовой принадлежности, политических, религиозных и иных убеждениях, состоянии здоровья и т. п.) и не запрашивает их у Пользователей.

4. Персональные данные третьих лиц

Настоящий Раздел является существенной частью Политики и раскрывает порядок обработки персональных данных физических лиц, которые не являются Пользователями Сервиса и не вступали с Оператором в договорные отношения.

4.1. Какие данные третьих лиц обрабатываются

Функциональность Сервиса по выявлению «сигналов о потребностях» и формированию лидов предполагает обработку следующих сведений:

Наименования компаний, упоминаемых в новостях, и сведения о деловых событиях — основной результат AI-анализа, не являющийся персональными данными.
ФИО и должности представителей компаний (лиц, принимающих решения, далее — «ЛПР»), вносимые Пользователями (Заказчиком) вручную (поля «контактное лицо», «должность», «контактная информация», в т. ч. телефон/email — в карточках сигналов и лидов). В отношении этих данных применяется ролевая модель Раздела 4.3.
БИН и наименования заказчиков из портала государственных закупок (БИН/ИИН и наименование), получаемые из публичного интерфейса государственного оператора закупок. Обращаем внимание, что БИН/ИИН может относиться к физическому лицу — индивидуальному предпринимателю, а для отдельных типов сигналов (истекающие договоры) в поле наименования заказчика может присутствовать ФИО представителя заказчика из открытого реестра.

Имя и должность представителей компаний, упомянутые в текстах новостных публикаций, могут технически извлекаться системой автоматического анализа (AI) в составе её ответа. Оператор внедряет минимизацию таких данных: до завершения технической реализации полный ответ AI-системы (включая возможно упомянутые имя/должность) сохраняется в служебном поле результата анализа и не отображается Пользователям в составе карточки; такие данные удаляются по запросу субъекта в порядке Раздела 10 и Процедуры реагирования на запросы субъектов персональных данных.

4.2. Источники данных

Источниками персональных данных третьих лиц являются исключительно открытые источники:

открытые новостные публикации средств массовой информации и официальные публикации государственных органов (RSS-каналы), всегда со ссылкой на оригинальный источник;
открытые государственные реестры и публичные данные портала государственных закупок Республики Казахстан.

Оператор не приобретает базы персональных данных у третьих лиц и не собирает данные из закрытых или непубличных источников.

4.3. Правовое основание обработки и минимизация

Оператор внедряет минимизацию обработки персональных данных третьих лиц: системно (с помощью AI) извлечённые из открытых публикаций имя и должность представителей компаний подлежат исключению из хранения и отображения — до завершения технической реализации они сохраняются в служебном поле результата анализа, не выводятся в основной карточке и удаляются по запросу субъекта; обрабатываются сведения о компании и событии, не являющиеся персональными данными. Контактные данные конкретных лиц вносятся Заказчиком самостоятельно — в отношении таких данных Заказчик выступает собственником/оператором, а Оператор — обработчиком на условиях DPA. Оператор не использует «законный интерес» в качестве самостоятельного основания обработки, поскольку Закон №94-V такого основания не предусматривает.

Распределение ролей в отношении персональных данных: (а) в отношении персональных данных, внесённых Заказчиком в Сервис (контактные данные лидов), Заказчик является собственником/оператором, а Оператор — обработчиком на условиях DPA; (б) в отношении персональных данных Пользователей Оператор является оператором; (в) системно извлечённые персональные данные третьих лиц подлежат минимизации (исключению из хранения и отображения); до завершения технической реализации применяется ручное удаление по запросу субъекта.

Применительно к обрабатываемым сведениям о компаниях и событиях (деловой B2B-контекст), а также к данным, ставшим общедоступными в открытых источниках (распространённым самим субъектом, либо ставшим общедоступными в соответствии с законом или по решению субъекта, либо опубликованным в открытых источниках), Оператор опирается на основание обработки общедоступных персональных данных в пределах, допускаемых Законом о ПДн.

Оператор информирует, что вопрос о достаточности указанного основания для целей коммерческой лидогенерации является предметом правовой оценки и может уточняться по результатам проверки юристом [юр-проверка]. Оператор обрабатывает только сведения делового (профессионального) характера и не формирует профили частной жизни субъектов.

4.4. Принцип минимизации

Оператор внедряет минимизацию обработки персональных данных третьих лиц:

обрабатываются только сведения, относящиеся к деловому контексту (роль/должность, принадлежность к компании, деловой контакт);
при анализе новостных текстов промпт AI-анализа сконфигурирован на исключение государственных служащих как частных лиц (мера best-effort, не гарантирующая полное исключение); данная логика исключения применяется к новостному извлечению и не распространяется на данные из портала государственных закупок (Раздел 4.1);
Оператор внедряет минимизацию объёма персональных данных, передаваемых во внешние сервисы (в частности, в системы AI-анализа); до завершения технической реализации в систему AI-анализа передаётся фрагмент текста без отдельной редакции персональных данных (Раздел 8).

4.5. Права третьих лиц и порядок удаления

Любое физическое лицо, чьи персональные данные обрабатываются Сервисом в качестве третьего лица, обладает правами субъекта персональных данных, предусмотренными Разделом 10 настоящей Политики, в том числе правом требовать изменения, блокирования или уничтожения своих персональных данных при их неправомерной обработке либо по достижении цели обработки, а также правом возражать против обработки.

Для реализации этих прав достаточно направить обращение на адрес hello@newsmonitor.kz с указанием сведений, позволяющих идентифицировать соответствующие данные. Оператор рассмотрит обращение и удалит либо заблокирует соответствующие персональные данные в порядке и сроки, изложенные в Разделе 10 и в Процедуре реагирования на запросы субъектов персональных данных (см. data-subject-request-procedure.md). Подробнее о сроках хранения — Раздел 9.

5. Цели обработки персональных данных

Оператор обрабатывает персональные данные для следующих целей:

регистрация, аутентификация и предоставление доступа в Личный кабинет;
оказание услуг по Тарифному плану: мониторинг новостей и государственных закупок, AI-анализ, формирование сигналов и лидов;
оформление и исполнение договора (публичной оферты), биллинг, выставление счетов и счетов-фактур, оформление подписки и продлений;
направление сервисных (транзакционных) уведомлений: подтверждение email, восстановление пароля, информация о подписке и счетах, отчёты и уведомления по подписке (в том числе через Telegram при добровольной привязке);
направление маркетинговых и информационных сообщений — только при наличии соответствующего согласия Пользователя и с возможностью отказа в любой момент;
обеспечение безопасности Сервиса, предотвращение мошенничества и злоупотреблений, расследование инцидентов;
техническая поддержка, улучшение качества и работоспособности Сервиса, аналитика использования (в обезличенном виде);
исполнение требований законодательства Республики Казахстан (налоговый, бухгалтерский учёт и т. п.);
в отношении персональных данных третьих лиц — формирование сигналов и лидов для Пользователей в рамках функциональности Сервиса (Раздел 4).

6. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих правовых основаниях, предусмотренных Законом о ПДн:

согласие субъекта персональных данных — для большинства целей обработки данных Пользователей. Акцепт осуществляется конклюдентными действиями (регистрация в Сервисе и/или оплата) в соответствии со статьёй 396 Гражданского кодекса РК. Раздельные формы согласия (на обработку персональных данных и на получение маркетинговых сообщений) с фиксацией версии, даты и времени Оператор внедряет; до завершения технической реализации маркетинговые сообщения направляются только при наличии соответствующего согласия с возможностью отказа в один клик (one-click unsubscribe). Согласие может быть отозвано (см. Раздел 10 и Согласие на обработку персональных данных, personal-data-consent.md);
исполнение договора, стороной которого является субъект (договор-оферта оказания услуг) — в части данных, необходимых для оказания услуг и биллинга;
исполнение обязанностей, возложенных на Оператора законодательством Республики Казахстан (налоговый и бухгалтерский учёт, ответы на законные запросы уполномоченных органов);
обработка общедоступных персональных данных — в отношении персональных данных третьих лиц, на условиях Раздела 4; Оператор не использует «законный интерес» в качестве самостоятельного основания, поскольку Закон о ПДн (№94-V) такого основания не предусматривает [юр-проверка].

7. Резидентность (хранение на территории Республики Казахстан)

В соответствии с требованиями Закона о ПДн (в том числе статьи 12) о хранении баз персональных данных граждан Республики Казахстан на территории Республики Казахстан, основное хранилище персональных данных Сервиса (база данных PostgreSQL, кэш Redis, файловые резервные копии) размещается на серверах в Республике Казахстан (виртуальная инфраструктура ps.kz). Системы аналитики, метрик и журналирования (в обезличенном/служебном виде) также размещаются в Республике Казахстан.

Передача отдельных категорий данных за пределы Республики Казахстан (трансграничная передача) осуществляется только в случаях и на условиях, изложенных в Разделе 8 (статья 16 Закона о ПДн).

8. Субпроцессоры и трансграничная передача данных

8.1. Привлечение субпроцессоров

Для оказания услуг Оператор привлекает сторонние сервисы (субпроцессоров). Актуальный перечень субпроцессоров с указанием обрабатываемых данных, юрисдикции и оснований передачи приведён в документе «Перечень субпроцессоров» (см. subprocessors.md). Основные субпроцессоры на дату настоящей редакции:

Субпроцессор	Юрисдикция	Передаваемые данные	Назначение
ps.kz (VPS, PostgreSQL, Redis)	Республика Казахстан	всё основное хранилище	хостинг, хранение данных
DeepSeek	Китайская Народная Республика	фрагменты текстов новостей (потенциально содержащие имена/должности, упомянутые в публикации); наименование и представитель заказчика из открытого реестра государственных закупок (включая ФИО представителя — `customerFio`)	AI-анализ новостей и скоринг возможностей государственных закупок
Resend	США	email, имя, наименование организации	доставка транзакционных и (при согласии) маркетинговых писем
Google (OAuth)	США	email, данные профиля	вход через Google
Cloudflare (Turnstile)	США	IP-адрес, user-agent, сигналы браузера (эфемерно, без cookie)	защита от автоматизированных атак
Telegram (Bot API)	за пределами РК	идентификатор чата, имя пользователя, содержание уведомлений	доставка уведомлений в Telegram
Sentry (мониторинг ошибок)	США	служебные данные об ошибках приложения	отслеживание ошибок — включается опционально (config-gated); при включении применяется вычистка (scrubbing) персональных данных

Сервисы аналитики/метрик/журналирования (Umami, Prometheus, Grafana, Loki) и приём платежей (статичная ссылка Kaspi) — размещены/обрабатываются в Республике Казахстан и не влекут трансграничной передачи персональных данных.

8.2. Трансграничная передача

Часть субпроцессоров (DeepSeek — Китайская Народная Республика; Resend, Google, Cloudflare, Sentry — США; Telegram — за пределами РК) расположены вне территории Республики Казахстан. Передача персональных данных таким субпроцессорам является трансграничной передачей и осуществляется в соответствии со статьёй 16 Закона о ПДн на следующих основаниях:

согласие субъекта на трансграничную передачу, предоставляемое в составе согласия на обработку персональных данных при использовании Сервиса; и (или)
необходимость передачи для исполнения договора, стороной которого является субъект (оказание услуг, доставка писем и уведомлений, вход через внешнего провайдера, защита Сервиса).

Для AI-анализа текстов новостей и для скоринга возможностей государственных закупок Оператор передаёт фрагменты текста сервису DeepSeek (Китайская Народная Республика). В передаваемом фрагменте могут присутствовать имена/должности, упомянутые в публикации, а также наименование и представитель заказчика из открытого реестра государственных закупок. Это трансграничная передача персональных данных; основание — статья 16 Закона №94-V (необходимость для оказания услуги; согласие субъекта-Пользователя). Оператор внедряет минимизацию передаваемых персональных данных; до завершения технической реализации передаётся фрагмент текста без отдельной редакции персональных данных.

Достаточность правовых оснований и условий трансграничной передачи подлежит подтверждению по результатам правовой проверки [юр-проверка].

9. Сроки хранения данных

Оператор хранит персональные данные не дольше, чем это необходимо для достижения целей обработки или сроков, установленных законодательством. Оператор внедряет политику сроков хранения и автоматического удаления персональных данных по достижении целей обработки. До завершения технической реализации удаление и экспорт персональных данных выполняются по запросу субъекта в порядке, установленном Процедурой реагирования на запросы субъектов персональных данных. Конкретные сроки хранения по категориям данных — 10 рабочих дней.

Ориентировочные категории и принципы хранения:

данные учётной записи Пользователя — в течение срока действия аккаунта и далее в пределах сроков, необходимых для исполнения обязательств и требований законодательства;
биллинговые документы и счета-фактуры — в течение срока, установленного налоговым и бухгалтерским законодательством Республики Казахстан;
служебные журналы (логи) — в течение ограниченного срока, необходимого для безопасности и диагностики;
персональные данные третьих лиц (сигналы, лиды, результаты анализа, включая служебное поле полного ответа AI-системы) — до достижения цели обработки либо до удаления по запросу субъекта (Раздел 4.5, Раздел 10). Автоматические сроки хранения и удаления указанных записей Оператор внедряет; до завершения технической реализации удаление выполняется по запросу в ручном порядке.

При удалении учётной записи Пользователя удаляются связанные с ней персональные данные Пользователя. Сведения, обработка которых требуется законодательством (например, в составе бухгалтерских документов), сохраняются в течение установленных сроков. Порядок удаления и реализации запросов — см. Раздел 10 и data-subject-request-procedure.md.

10. Права субъектов персональных данных и порядок их реализации

В соответствии с Законом о ПДн субъект персональных данных (как Пользователь, так и третье лицо) вправе:

получить информацию о факте, целях, источниках и составе обрабатываемых персональных данных, а также о лицах, которым они передаются;
требовать изменения и дополнения персональных данных в случае их неполноты или неточности;
требовать блокирования или уничтожения персональных данных в случае их неправомерной обработки либо по достижении цели обработки;
отозвать ранее данное согласие на обработку персональных данных;
возражать против обработки и обжаловать действия (бездействие) Оператора в уполномоченный орган или суд.

Порядок реализации

Для реализации своих прав субъект направляет обращение Оператору по адресу hello@newsmonitor.kz, указав сведения, позволяющие идентифицировать субъекта и (или) соответствующие данные. Подробный порядок и сроки рассмотрения обращений изложены в документе «Процедура рассмотрения запросов субъектов персональных данных» (см. data-subject-request-procedure.md).

Оператор рассматривает обращение и предоставляет ответ (либо осуществляет требуемые действия) в срок, установленный законодательством Республики Казахстан [юр-проверка — уточнить точный срок по действующей редакции Закона о ПДн]. На дату настоящей редакции удаление учётной записи и экспорт персональных данных осуществляются по запросу на указанный адрес электронной почты; функциональность самостоятельного управления данными (self-service) находится в разработке.

Отзыв согласия не влияет на правомерность обработки, осуществлённой до отзыва, и может повлечь невозможность дальнейшего оказания услуг, для которых данные являлись необходимыми.

11. Файлы cookie и аналогичные технологии

Сервис использует файлы cookie и аналогичные технологии для обеспечения работоспособности (в том числе аутентификации и безопасности) и для обезличенной аналитики использования. Подробные сведения о составе, назначении и сроках хранения файлов cookie, а также о порядке управления ими приведены в Политике использования файлов cookie (см. cookie-policy.md).

12. Меры безопасности

Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, раскрытия и уничтожения, в том числе:

хранение паролей исключительно в виде криптографических хешей (алгоритм bcrypt, 12 раундов); пароли в открытом виде не сохраняются;
передача данных по защищённым каналам с использованием шифрования транспортного уровня (TLS);
мультитенантная изоляция данных — логическое разграничение данных разных организаций (фильтрация по идентификатору организации во всех операциях с базой данных);
хранение сервисных токенов в виде хешей (SHA-256);
ограничение доступа к данным, журналирование событий безопасности и действий администраторов;
резервное копирование данных с размещением резервных копий на территории Республики Казахстан;
процедуры реагирования на инциденты, включая уведомление уполномоченного органа и затронутых субъектов о нарушениях, влекущих риски для персональных данных, в порядке, установленном законодательством.

Шифрование на уровне хранения базы данных (at-rest) обеспечивается на уровне конфигурации инфраструктуры (Postgres/диск) и не реализовано на уровне приложения. Несмотря на принимаемые меры, ни один способ передачи и хранения данных не может гарантировать абсолютную безопасность.

13. Возрастное ограничение

Сервис предназначен исключительно для лиц, достигших 18 лет. Оператор не осуществляет осознанный сбор персональных данных лиц младше 18 лет. Если Оператору станет известно, что персональные данные были предоставлены лицом, не достигшим 18 лет, такие данные будут удалены.

14. Изменения в Политике

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения по адресу Сервиса, если иной срок не указан в самой редакции. При внесении существенных изменений Оператор уведомляет Пользователей доступными способами (например, по электронной почте или в Личном кабинете). Продолжение использования Сервиса после вступления изменений в силу означает согласие Пользователя с новой редакцией Политики. Актуальная редакция всегда доступна на Сервисе.

15. Применимое право и порядок разрешения споров

К настоящей Политике и отношениям, связанным с обработкой персональных данных, применяется право Республики Казахстан. Споры, не урегулированные путём переговоров, подлежат рассмотрению в судах города Алматы в отношении Пользователей-предпринимателей (ИП/ТОО/АО) и иных субъектов предпринимательской деятельности.

Для Пользователей — физических лиц (потребителей), использующих Сервис для личных нужд, сохраняется предусмотренное законодательством о защите прав потребителей право на предъявление иска по месту своего жительства (месту нахождения), а равно иные права, установленные Законом Республики Казахстан «О защите прав потребителей».

Иные условия использования Сервиса изложены в Условиях использования и Публичной оферте (см. сопутствующие документы юридического пакета).

16. Контакты

Общие вопросы: hello@newsmonitor.kz
Вопросы по персональным данным и реализации прав субъектов: hello@newsmonitor.kz
Ответственное лицо за обработку персональных данных: ИП НАУРУЗБАЕВ
Оператор: ИП Наурузбаев, БИН/ИИН 961223350744, адрес Астана, УЛИЦА АЛЕКСЕЙ ПЕТРОВ, дом 14/2, кв/офис 69

Версия 1.0 · вступает в силу 14 июня 2026 г.