Политика сбора и обработки персональных данных

1. Общие положения

1.1. Настоящая Политика сбора, обработки и защиты персональных данных (далее — «Политика») определяет позицию и порядок действий Товарищества с ограниченной ответственностью «Карагандинская Региональная Энергетическая Компания» (далее — «ТОО «КРЭК»» или «Оператор») в отношении соблюдения законодательства о персональных данных при использовании официального сайта krec.kz (далее — «Сайт»).

Сведения об Операторе персональных данных:

Полное наименование: Товарищество с ограниченной ответственностью «Карагандинская Региональная Энергетическая Компания»
Сокращённое наименование: ТОО «КРЭК»
БИН: 031140001297
Правовой статус: Субъект естественной монополии по передаче и распределению электрической энергии в Карагандинской области (согласно Государственному регистру субъектов естественных монополий).
Юридический и почтовый адрес: Республика Казахстан, 100000, Карагандинская область, г. Караганда, район имени Казыбек би, 108 учетный квартал, строение 7
Канцелярия / приёмная: +7 (7212) 90-03-50, 90-03-58
Адрес электронной почты: info@krec.kz
Ответственное лицо по вопросам персональных данных: dpo@krec.kz

1.2. Политика разработана в строгом соответствии с:

Конституцией Республики Казахстан;
Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — «Закон № 94-V»);
Законом Республики Казахстан от 27 декабря 2018 года № 204-VI «О естественных монополиях»;
Законом Республики Казахстан от 9 июля 2004 года № 588-II «Об электроэнергетике»;
Административным процедурно-процессуальным кодексом Республики Казахстан (АППК РК);
Правилами сбора, обработки персональных данных, утверждёнными Правительством Республики Казахстан.

2. Принципы сбора и обработки персональных данных

2.1. Сбор и обработка персональных данных осуществляются ТОО «КРЭК» на основе следующих принципов:

Законность и добросовестность: обработка осуществляется на законных основаниях, с предварительного информированного согласия субъекта или в случаях, прямо установленных законодательством РК;
Ограничение конкретными целями: сбор данных ограничивается исключительно целями передачи и распределения электрической энергии, предоставления квитанций и рассмотрения обращений потребителей субъектом естественной монополии;
Минимизация данных: не допускается обработка избыточных данных по отношению к заявленным целям;
Достоверность и актуальность: Оператор принимает меры по обеспечению точности и обновлению обрабатываемых сведений;
Локализация данных в Республике Казахстан: в соответствии со статьей 12 Закона № 94-V базы данных, содержащие персональные данные потребителей, хранятся исключительно на территории Республики Казахстан;
Конфиденциальность и безопасность: применение правовых, организационных и технико-криптографических мер защиты.

3. Цели и состав обрабатываемых данных

Сервис / Канал взаимодействия	Перечень персональных данных	Цель обработки
Электронная квитанция (/kvit, /search)	Номер лицевого счёта, адрес объекта энергоснабжения, расчётный период.	Обеспечение потребителя доступом к платёжно-расчётным документам за переданную электроэнергию. Ввод защищён от записи сторонними аналитическими счётчиками.
Электронная приёмная обращений (/appeals)	ФИО (наименование заявителя), контактный телефон, email, адрес объекта, лицевой счёт (при наличии), текст обращения.	Регистрация и объективное рассмотрение заявлений, жалоб и предложений потребителей, предоставление официального ответа в порядке Закона «О естественных монополиях» и АППК РК.
Технические файлы cookie и аналитика	Параметры сессии, выбор языка интерфейса (RU/KZ), маскированный IP-хеш (с периодической ротацией соли), агрегированные метрики посещаемости (при согласии).	Обеспечение работоспособности сайта, балансировка нагрузки, предотвращение DDoS-атак, агрегированный учёт аудитории без идентификации конкретного лица.

4. Файлы Cookie, шрифты и аналитические сервисы

4.1. Сайт использует следующие категории данных:

Технические (необходимые) cookies: обеспечивают сохранение выбранного языка интерфейса, работу административных сессий и защиту от спам-ботов. Данные cookies не собирают сведений для маркетинга и не могут быть отключены без нарушения работы Сайта;
Локальные шрифтовые ресурсы: Все шрифты гарнитуры Inter размещены локально на сервере ТОО «КРЭК» в РК. Запросы к внешним серверам Google Fonts не производятся;
Аналитические cookies (Яндекс.Метрика и собственный сбор): используются для подсчета уникальных посещений и оценки качества навигации. Сбор аналитических данных и запуск скриптов Яндекс.Метрики строго заблокированы до момента, пока посетитель не предоставит явное предварительное согласие (модель Opt-in) через баннер cookie.

4.2. Защита чувствительных данных: На страницах сервиса электронных квитанций (/kvit, /search, /receipt) и электронной приёмной (/appeals) функции видеозаписи экрана (Webvisor), тепловых карт и отслеживания нажатий клавиш (keylogging) принудительно отключены, а поля ввода защищены атрибутом ym-disable-keys.

4.3. Полный отзыв согласия: Пользователь в любой момент может изменить или отозвать своё согласие, нажав на ссылку «Настройки файлов cookie» в подвале сайта. При отзыве согласия сеанс счётчика Яндекс.Метрики незамедлительно деинициализируется, а все связанные cookies (_ym_*) и локальные ключи хранилища (localStorage/sessionStorage) принудительно удаляются из браузера.

5. Передача данных третьим лицам и трансграничная передача

5.1. ТОО «КРЭК» не осуществляет продажу, распространение или передачу персональных данных потребителей коммерческим сторонним организациям в рекламных или маркетинговых целях. Персональные данные потребителей не распространяются в общедоступных источниках.

5.2. Передача персональных данных третьим лицам и трансграничная обработка допускаются исключительно в следующих случаях:

Почтовые SMTP-шлюзы (ООО «ВК», Российская Федерация): в случае, если заявитель при подаче электронного обращения указал адрес email для получения ответа, отправка служебных уведомлений осуществляется с использованием защищённого почтового протокола через сервис Mail.ru SMTP (ООО «ВК»). Трансграничная передача ограничивается адресом получателя и текстом уведомления по обращению;
Веб-аналитика Яндекс.Метрика (ООО «Яндекс», РФ / Yandex N.V., Нидерланды): исключительно при получении предварительного согласия (Opt-in) посетителя, обезличенные технические параметры взаимодействия с сайтом обрабатываются на серверах Яндекс в соответствии со статьей 16 Закона РК № 94-V (трансграничная передача в государства, обеспечивающие защиту персональных данных);
Государственные органы: предоставление сведений уполномоченным органам юстиции, прокуратуры, следствия, судам и антимонопольным ведомствам осуществляется строго по мотивированным официальным запросам в случаях, прямо установленных законодательством Республики Казахстан.

6. Сроки хранения и автоматическое уничтожение данных

6.1. Хранение персональных данных осуществляется не дольше, чем этого требуют заявленные цели обработки, с применением ежедневного автоматизированного планировщика очистки:

Данные обращений граждан (/appeals): хранятся в течение 3 (трёх) лет с даты регистрации в соответствии со сроками исковой давности. По истечении срока хранения обращения автоматически и безвозвратно обезличиваются: персональные данные (ФИО, телефон, email, номер счёта, адрес объекта, служебные примечания и исполнитель) заменяются на обезличенные маркеры, а обращение переводится в статус закрытого;
Сведения о выданных квитанциях: хранятся в соответствии со сроками хранения первичных бухгалтерских и расчётных документов электроэнергетической отрасли (не менее 5 лет);
Технические журналы веб-сервера и аналитики: технические журналы сетевых подключений веб-сервера (Nginx access/error logs), фиксирующие IP-адрес и User-Agent для обеспечения сетевой безопасности, защиты от DDoS-атак и расследования инцидентов ИБ, подлежат регулярной ротации и удалению со сроком хранения не более 90 дней. Внутренняя веб-аналитика портала формируется на основе необратимо обезличенных (хэшированных с секретной солью) идентификаторов сессий без сохранения прямых IP-адресов, и также автоматически очищается по истечении 90 дней с момента фиксации.

7. Права субъекта персональных данных

7.1. В соответствии со статьей 24 Закона № 94-V субъект персональных данных имеет право:

Знать о наличии у ТОО «КРЭК» своих персональных данных, а также получать информацию, содержащую подтверждение факта, цели, источников и способов сбора;
Требовать от Оператора уточнения, изменения или дополнения своих персональных данных при наличии подтверждающих документов;
Требовать блокирования или уничтожения своих персональных данных, если они были получены незаконно или не являются необходимыми для заявленной цели;
Отозвать согласие на сбор и обработку персональных данных, направив соответствующее заявление;
На защиту своих прав и законных интересов, включая возмещение морального и имущественного вреда в судебном порядке.

8. Порядок отзыва согласия и реализация прав

8.1. Для отзыва согласия на обработку данных, уточнения информации или направления запроса по защите прав субъект данных вправе обратиться к Оператору:

Письменным заявлением нарочно или почтой: 100000, Республика Казахстан, Карагандинская область, г. Караганда, район имени Казыбек би, 108 учетный квартал, строение 7, Канцелярия ТОО «КРЭК»;
Электронным письмом: на адрес лица, ответственного за конфиденциальность: dpo@krec.kz либо на общий адрес info@krec.kz;
Телефон для справок: +7 (7212) 90-03-50 (Пн–Пт с 08:00 до 17:00, перерыв 12:00–13:00).

8.2. Запрос субъекта подлежит рассмотрению в сроки, установленные Законом Республики Казахстан «О персональных данных и их защите» (до 15 календарных дней), а также Законом РК «О естественных монополиях» и АППК РК (до 15 рабочих дней при рассмотрении обращений потребителей услуг естественных монополий).