РусскийEnglish

Соглашение об обработке персональных данных (DPA)

Последнее обновление: 26 мая 2026 г.

Настоящее Соглашение об обработке данных (далее — «DPA») заключается между:

• Контролёром данных — пользователем тарифа «Бизнес» (автопарк, юридическое лицо или ИП), который использует Auto Qala для публикации своих объявлений и получения заявок от арендаторов;
• Обработчиком данных — Auto Qala (далее — «Auto Qala»).

DPA является дополнением к Пользовательскому соглашению и применяется автоматически при подключении тарифа «Бизнес».

1. Определения

• Персональные данные — любая информация о физическом лице (имя, номер телефона, фотографии, IP-адрес), которая обрабатывается через сервис.
• Субъект данных — арендатор, написавший в WhatsApp по объявлению Контролёра, или пользователь, оставивший контакт.
• Контролёр — Бизнес-клиент, определяющий цели обработки данных арендаторов.
• Обработчик — Auto Qala, обрабатывающий данные по поручению Контролёра.
• Субпроцессор — третьи лица, привлекаемые Обработчиком (хостинг, WhatsApp).

2. Предмет, цели и срок обработки

Параметр	Описание
Предмет	Размещение объявлений Контролёра, связь с арендаторами через WhatsApp, аналитика заявок.
Цели	(а) показ объявлений; (б) хранение фотографий и описаний; (в) маршрутизация WhatsApp-OTP арендатору; (г) модерация контента.
Срок	Пока Контролёр пользуется тарифом «Бизнес» + 14 дней после прекращения для возможной отмены.
Категории субъектов	Арендаторы — физические лица, обратившиеся к объявлению Контролёра.
Категории данных	Имя, номер телефона (E.164), IP, временные метки взаимодействия, текст обращения (если арендатор оставил комментарий).

3. Обязательства Контролёра

• Получать и хранить законные основания для обработки данных арендаторов согласно ЗРК «О персональных данных и их защите».
• Информировать арендаторов о том, кто является Контролёром и как с ним связаться.
• Не передавать через Auto Qala данные особых категорий (биометрия, медицинская информация и т.д.).
• Своевременно реагировать на запросы субъектов данных, перенаправленные Обработчиком.

4. Обязательства Обработчика (Auto Qala)

• Обрабатывать данные только по документированным инструкциям Контролёра, выраженным через настройки тарифа и API.
• Не использовать данные арендаторов Контролёра для собственных коммерческих целей и не передавать третьим сторонам, кроме указанных субпроцессоров.
• Обеспечивать конфиденциальность доступа: только сотрудники с подписанным NDA имеют технический доступ к продакшен-БД.
• Уведомлять Контролёра об инцидентах с данными (см. раздел 7).
• По требованию Контролёра предоставлять разумную информацию для подтверждения соответствия DPA.

5. Меры безопасности

• HTTPS / TLS 1.3 на всех каналах передачи.
• OTP-коды хранятся как bcrypt-хеши.
• Refresh-токены — как SHA-256-хеши.
• Шифрование чувствительных секретов в БД (AES-256-GCM).
• Регулярные бэкапы (ежедневные, 7-дневное хранение) с шифрованием at-rest.
• Rate-limiting на эндпоинты авторизации и публикации.
• Логирование всех админских действий (audit log).

6. Субпроцессоры

Auto Qala использует следующих субпроцессоров. Привлечение новых субпроцессоров будет анонсироваться через email Бизнес-клиентам за 30 дней до начала обработки:

Субпроцессор	Назначение	Регион
Cloudflare	CDN, маршрутизация HTTPS-трафика, защита от атак	Global
WhatsApp / Meta	Доставка OTP-кодов (передаётся только номер телефона)	Global
MinIO (собственная инфраструктура)	Хранение фотографий объявлений	Казахстан
PostgreSQL (собственная инфраструктура)	Хранение основных данных	Казахстан

7. Уведомление об инцидентах

В случае компрометации, утечки или несанкционированного доступа к персональным данным Контролёра Обработчик уведомит Контролёра по email в течение 72 часов с момента обнаружения. Уведомление будет содержать: описание инцидента, категории и приблизительное количество затронутых субъектов, принятые и планируемые меры.

8. Права субъектов данных

Arендатор может направить запрос на доступ, исправление или удаление своих данных через [email protected]. Auto Qala перенаправит запрос Контролёру в течение 5 рабочих дней и поможет с его исполнением (предоставит выгрузку или удалит данные по подтверждению Контролёра).

9. Удаление данных по окончании

При прекращении использования тарифа «Бизнес»:

• Объявления Контролёра автоматически переходят в архив на 14 дней.
• По истечении 14 дней без восстановления — данные становятся недоступны через сервис.
• По письменному запросу Контролёра Auto Qala предоставит выгрузку данных (CSV или JSON) до архивации.
• Резервные копии содержат данные до 7 дней и автоматически перезаписываются.

10. Передача за рубеж

Основная инфраструктура (БД, MinIO) расположена в Казахстане. Cloudflare и WhatsApp являются глобальными сервисами — для них применяются их собственные DPA и стандартные договорные положения.

11. Ответственность

Стороны несут ответственность согласно ЗРК «О персональных данных и их защите». Ответственность Auto Qala ограничивается размером платы за тариф «Бизнес» за последние 12 месяцев на момент инцидента.

12. Срок действия и расторжение

DPA действует на весь срок использования тарифа «Бизнес» Контролёром. Расторжение Пользовательского соглашения автоматически прекращает действие DPA, за исключением обязательств по удалению данных (раздел 9) и уведомлению об инцидентах (раздел 7), произошедших до расторжения.

13. Применимое право

Соглашение регулируется законодательством Республики Казахстан. Споры разрешаются в судах общей юрисдикции по месту нахождения ответчика.

14. Контакты

Вопросы по DPA: [email protected], WhatsApp +7 778 780 9853.

---

Data Processing Agreement (DPA)

Last updated: May 26, 2026

This Data Processing Agreement (the "DPA") is entered into between:

• The Controller — the Business-tier customer (rental fleet, legal entity or sole proprietor) who uses Auto Qala to publish listings and receive enquiries;
• The Processor — Auto Qala.

The DPA is an addendum to the Terms of Use and applies automatically upon Business-tier activation.

1. Definitions

• Personal Data — any information about a natural person (name, phone, photos, IP) processed via the service.
• Data Subject — a renter who contacts the Controller via the listing's WhatsApp button, or a user who leaves contact info.
• Controller — the Business customer who determines purposes of processing of renters' data.
• Processor — Auto Qala, processing data on instructions of the Controller.
• Sub-processor — third parties engaged by the Processor (hosting, WhatsApp).

2. Subject, purpose and duration

Parameter	Description
Subject matter	Hosting the Controller's listings, communication with renters via WhatsApp, basic analytics.
Purposes	(a) listing display; (b) storage of photos and descriptions; (c) WhatsApp OTP routing; (d) content moderation.
Duration	For as long as the Controller uses Business tier + 14-day cancellation grace.
Categories of data subjects	Renters — natural persons who contacted the Controller's listing.
Categories of data	Name, phone (E.164), IP, interaction timestamps, message content (if the renter left a comment).

3. Controller's obligations

• Obtain and maintain a lawful basis to process renters' data under the RK Law "On Personal Data and its Protection".
• Inform renters who the Controller is and how to contact them.
• Do not transmit special-category data (biometric, medical, etc.) through Auto Qala.
• Respond promptly to data-subject requests forwarded by the Processor.

4. Processor's obligations (Auto Qala)

• Process data only on documented instructions of the Controller, expressed via tier settings and API.
• Not use renters' data for own commercial purposes; not share with third parties beyond the listed sub-processors.
• Maintain access confidentiality: only employees under NDA have technical access to production DB.
• Notify the Controller of personal-data incidents (section 7).
• Provide reasonable information on request to demonstrate DPA compliance.

5. Security measures

• HTTPS / TLS 1.3 across all channels.
• OTP codes stored as bcrypt hashes.
• Refresh tokens stored as SHA-256 hashes.
• Sensitive secrets encrypted at rest (AES-256-GCM).
• Daily backups with 7-day retention, encrypted at rest.
• Rate-limiting on auth and publish endpoints.
• All admin actions logged (audit log).

6. Sub-processors

Auto Qala uses the following sub-processors. New sub-processors will be announced via email to Business customers 30 days before processing begins:

Sub-processor	Purpose	Region
Cloudflare	CDN, HTTPS routing, DDoS protection	Global
WhatsApp / Meta	OTP delivery (only phone number transmitted)	Global
MinIO (own infrastructure)	Listing photo storage	Kazakhstan
PostgreSQL (own infrastructure)	Primary data storage	Kazakhstan

7. Incident notification

In the event of compromise, leak or unauthorised access to the Controller's personal data, the Processor will notify the Controller by email within 72 hours of detection. The notification will include: incident description, categories and approximate number of affected subjects, measures taken and planned.

8. Data subject rights

A renter may send a request for access, rectification or deletion of their data via [email protected]. Auto Qala forwards the request to the Controller within 5 business days and assists with execution (providing an export or deleting data upon Controller confirmation).

9. Return or deletion on termination

Upon termination of the Business tier:

• The Controller's listings are automatically archived for 14 days.
• After 14 days without restoration, data becomes inaccessible via the service.
• On written request, Auto Qala provides a data export (CSV or JSON) before archival.
• Backups retain data up to 7 days and are then automatically overwritten.

10. International transfers

Primary infrastructure (DB, MinIO) is located in Kazakhstan. Cloudflare and WhatsApp are global services — their own DPAs and standard contractual clauses apply.

11. Liability

The parties' liability is governed by the RK Law "On Personal Data and its Protection". Auto Qala's liability is capped at the Business-tier fees paid in the 12 months preceding the incident.

12. Term and termination

The DPA is effective for the entire Business-tier usage period. Termination of the Terms of Use automatically terminates the DPA, except for obligations regarding data deletion (section 9) and incident notification (section 7) for incidents occurring prior to termination.

13. Governing law

Governed by the law of the Republic of Kazakhstan. Disputes — in courts of general jurisdiction at the defendant's location.

14. Contact

DPA questions: [email protected], WhatsApp +7 778 780 9853.