Политика конфиденциальности

Коротко о главном

• Платформу предоставляет ОсОО «Студия МегаАпп» — компания, зарегистрированная в Кыргызской Республике.
• Аккаунты, контакты и переписка хранятся на серверах в Бишкеке, на площадке кыргызстанского оператора связи. Данные не уезжают из страны по умолчанию.
• Когда вы общаетесь через KulpunAi со своими клиентами, обладателем этих данных остаётесь вы. Мы действуем как обработчик по вашему поручению и не используем вашу переписку в своих целях.
• Согласие можно отозвать в любой момент. Данные можно запросить, исправить или удалить — мотивированный письменный ответ даём в течение семи рабочих дней.
• За пределы Кыргызстана уходит только то, без чего не работают внешние каналы связи и ИИ-ассистент, — и только после того, как вы их подключили.

1. Кто обрабатывает ваши данные

Платформу KulpunAi разрабатывает и предоставляет продуктовая софтверная студия из Бишкека. Она же является обладателем персональных записей в тех случаях, которые описаны в разделе 3.

• Наименование: Общество с ограниченной ответственностью «Студия МегаАпп» (ОсОО «Студия МегаАпп»).
• Государство регистрации: Кыргызская Республика, город Бишкек.
• ИНН 01312201810177, регистрационный номер 178950-3300-ООО, код ОКПО 30431826.
• Электронная почта по вопросам персональных данных: support@kulpunai.kg.
• Телефон: +996 228 01-33-78.
• Сайт: kulpunai.com, личный кабинет: online.kulpunai.com.

Все обращения по обработке персональных данных — доступ, исправление, удаление, отзыв согласия, возражение — направляйте на support@kulpunai.kg с темой «Персональные данные». Так обращение сразу попадёт к ответственному сотруднику и не потеряется в общей очереди поддержки.

2. На каком законе основан этот документ

Основной акт — Цифровой кодекс Кыргызской Республики от 31 июля 2025 года № 178. Он введён в действие Законом Кыргызской Республики от 31 июля 2025 года № 179 и применяется с 5 февраля 2026 года. Правила обработки персональных данных собраны в статьях 77–91.

С 5 февраля 2026 года Закон Кыргызской Республики «Об информации персонального характера» от 14 апреля 2008 года № 58 утратил силу. Если вам попадалась наша прежняя политика со ссылками на этот закон, она больше не действует — её заменяет настоящий документ.

Кроме кодекса мы руководствуемся:

• Кодексом Кыргызской Республики о правонарушениях от 28 октября 2021 года № 128 — в части составов о нарушении прав субъектов данных и требований к их защите.
• Постановлением Правительства Кыргызской Республики от 21 ноября 2017 года № 760 — требования к безопасности персональных данных в информационных системах и уровни защищённости.
• Положением о Государственном агентстве по защите персональных данных, утверждённым постановлением Кабинета Министров Кыргызской Республики от 30 января 2026 года № 46.
• Приказом Государственного агентства по защите персональных данных от 15 апреля 2025 года № 27 — порядок получения согласия, в том числе в форме электронного документа.
• Приказом Государственного агентства по защите персональных данных от 14 января 2025 года № 4 — порядок обезличивания данных для исследований и статистики.
• Гражданским кодексом Кыргызской Республики — в части договорных отношений с вами.

Отдельно отметим: по Цифровому кодексу регистрация в реестре держателей массивов персональных данных больше не требуется — норма прежнего закона в кодекс не перенесена, и ответственность за отсутствие такой регистрации не наступает.

3. Две роли: когда мы обладатель, а когда обработчик

Цифровой кодекс разделяет того, кто решает, зачем и как обрабатывать данные (обладатель персональных записей), и того, кто обрабатывает их по чужому поручению (обработчик, статья 86). KulpunAi выступает то в одной роли, то в другой — от этого зависит, к кому вам обращаться.

Разделение принципиальное. За то, какие данные своих клиентов вы собираете, зачем и на каком законном основании, отвечаете вы: вы определяете цели, получаете согласие и отвечаете на запросы своих клиентов. Мы даём инструмент, действуем по вашим письменным указаниям и не используем переписку ваших клиентов в собственных интересах — не продаём её, не передаём третьим лицам по своей инициативе и не обучаем на ней модели.

Условия этого поручения — цель, срок, виды данных, категории субъектов и наши обязанности как обработчика — вынесены в отдельный документ: «Условия обработки персональных данных». Он является приложением к Пользовательскому соглашению и обязателен для обеих сторон.

4. Какие данные мы собираем

4.1. Посетители сайта kulpunai.com

• IP-адрес и определённый по нему приблизительный город.
• Тип устройства, операционная система, браузер и язык интерфейса.
• Открытые страницы, время на них и источник перехода — поиск, реклама, ссылка с другого сайта.
• Поведение на странице, если включён Вебвизор Яндекс.Метрики: движение курсора, прокрутка, клики и заполнение форм. Содержимое полей с паролями и платёжными данными в записи не попадает.
• Данные, которые вы сами оставили в форме заявки: имя, телефон, электронная почта, название компании и текст комментария.

4.2. Пользователи платформы — вы и ваши сотрудники

• Имя и фамилия, при необходимости отчество.
• Адрес электронной почты и пароль, который хранится только в виде необратимого хеша — восстановить исходный пароль невозможно даже нам.
• Номер телефона, если вы его указали.
• Фотография профиля, если вы её загрузили.
• Название компании, сфера деятельности и размер команды — из анкеты при регистрации.
• Роль в аккаунте и права доступа.
• IP-адрес, время входа, тип устройства и браузера — для журнала безопасности и расследования инцидентов.
• Тарифный план, история платежей, счета и акты.
• Обращения в поддержку и переписка с нашей командой.

4.3. Клиенты ваших клиентов — контакты в переписке

Эти данные определяете и собираете вы. Мы их храним и обрабатываем по вашему поручению, в объёме, который передают подключённые вами каналы.

• Имя, номер телефона, адрес электронной почты, идентификатор пользователя в мессенджере.
• Сообщения и вложения: текст, файлы, изображения, документы, голосовые сообщения.
• Произвольные поля контакта, которые вы завели сами, — например, номер заказа или сегмент.
• Город или страна, если их передаёт канал связи.
• История обращений, статусы диалогов, оценки качества и внутренние заметки операторов.

Мы не просим и не рекомендуем передавать в переписку специальные категории персональных данных — сведения о здоровье, национальности, вероисповедании, политических взглядах, биометрию (статья 80 Цифрового кодекса). Если этого требует характер вашего бизнеса — например, вы клиника, — такая обработка допустима лишь при выполнении условий статьи 80 и с усиленными мерами защиты. Состав этих мер согласуйте с нами до подключения канала.

5. Зачем мы обрабатываем данные и на каком основании

Статья 79 Цифрового кодекса разрешает обработку только при наличии хотя бы одного законного основания. Ниже — какое основание к чему относится.

Основания «законный интерес» мы применяем сдержанно и письменно обосновываем каждый случай: кодекс формулирует их широко, и злоупотребление здесь создаёт риск и для нас, и для вас. Там, где выбор есть, мы предпочитаем спрашивать согласие.

6. Как дать и как отозвать согласие

Часть 4 статьи 79 предъявляет к согласию четыре требования одновременно. Если хотя бы одно не выполнено, согласие можно оспорить.

1. 1Добровольность. Отказ не должен лишать вас услуги, если соответствующие данные не нужны для её оказания. Зарегистрироваться в KulpunAi можно, не соглашаясь на рассылку.
2. 2Конкретность. На каждую цель — отдельное согласие. Одно общее «на всё» мы не собираем и не считаем действительным.
3. 3Информированность. До того как поставить галочку, вы видите: кто собирает данные, какие именно, зачем, кто их получит и на какой срок.
4. 4Осознанность. Согласие — это действие: галочка, нажатие кнопки, подписанная форма. Предзаполненных галочек и «молчание считается согласием» у нас нет.

Отозвать согласие можно в любой момент и любым из способов:

• письмом на support@kulpunai.kg;
• ссылкой «Отписаться» в любом информационном письме;
• в настройках профиля в личном кабинете;
• отключив аналитические cookie в настройках браузера.

Отзыв не отменяет законность обработки, которая шла до него. После отзыва мы прекращаем обработку и удаляем данные, если для их хранения не осталось другого основания — например, обязанности хранить бухгалтерские документы (статья 83).

7. Кому мы передаём данные

Передача подрядчику не снимает с нас ответственности (статья 86). С каждым из них заключён письменный договор, который ограничивает цели обработки, запрещает использовать данные в своих интересах и обязывает применять меры защиты.

Мы не продаём персональные данные и не передаём их для чужой рекламы. Государственным органам сведения передаются только по мотивированному письменному запросу, оформленному в порядке, установленном законодательством Кыргызской Республики; о таком запросе мы уведомляем вас, если закон это не запрещает.

8. Передача за пределы Кыргызстана

Статья 89 Цифрового кодекса разрешает трансграничную передачу в государства из перечня, утверждаемого Государственным агентством по защите персональных данных. На дату этой редакции перечень не опубликован, поэтому мы действуем по остальным основаниям статьи 89: ваше явное согласие, необходимость исполнения договора и письменные договорные гарантии защиты со стороны получателя.

Данные покидают Кыргызстан в следующих случаях — и только в них:

• OpenAI, США — если вы включили ИИ-ассистента, подсказки оператору или обработку базы знаний.
• Meta Platforms, Ирландия и США — если вы подключили WhatsApp Business API, Instagram или Facebook.
• Telegram Messenger — если вы подключили канал Telegram.
• Google, США — аналитика сайта kulpunai.com. Личного кабинета не касается.
• Яндекс, Российская Федерация — аналитика сайта kulpunai.com. Личного кабинета не касается.

Если для вас недопустима передача данных за пределы Кыргызской Республики, платформа работает и без этого. Оставьте только внутренние каналы — виджет на сайте, почту и SMS — и не подключайте ИИ-ассистента: тогда переписка не покидает серверы в Бишкеке. Напишите нам, и мы поможем собрать такую конфигурацию и зафиксируем её в договоре.

9. Где хранятся данные и сколько

Основное хранилище — серверы в городе Бишкеке, на площадке кыргызстанского оператора связи. Резервные копии базы данных создаются ежедневно и хранятся там же, в Кыргызской Республике.

Удаление означает именно удаление: данные стираются так, чтобы их нельзя было восстановить или прочитать повторно. Из резервных копий удалённые сведения уходят по мере ротации копий — в течение 30 дней.

10. Как мы защищаем данные

Статья 88 Цифрового кодекса и постановление Правительства № 760 требуют технических и организационных мер, соразмерных риску. Уровень защищённости определяется по методике агентства — от синего (минимальный риск) до красного (критический). Мы применяем:

• шифрование канала связи по TLS для всего трафика сайта, личного кабинета и API;
• хранение паролей исключительно в виде необратимых хешей;
• разграничение прав по ролям: оператор видит только то, что нужно ему для работы;
• двухфакторную аутентификацию, которую пользователь может включить в настройках профиля;
• журналирование входов и действий с персональными данными;
• ежедневное резервное копирование с хранением копий на территории Кыргызской Республики;
• доступ сотрудников к данным клиентов только по служебной необходимости и под соглашением о конфиденциальности;
• письменные договоры с каждым подрядчиком, который получает доступ к данным.

Отдельно: ядро платформы имеет открытый код. Это значит, что механику хранения и обработки можно проверить самостоятельно, а при желании — развернуть платформу на собственных серверах, и тогда данные вообще не покидают ваш контур.

11. Ваши права и как ими воспользоваться

Цифровой кодекс даёт вам следующие права:

• узнать, обрабатываем ли мы ваши данные, какие именно и с какой целью;
• получить копию своих данных;
• потребовать исправить неточные или неполные сведения;
• отозвать согласие на обработку;
• возразить против отдельных способов или целей обработки, включая автоматизированные решения, принимаемые без участия человека (статья 84);
• потребовать удаления данных в случаях, предусмотренных статьёй 83;
• пожаловаться в Государственное агентство по защите персональных данных или обратиться в суд.

Обращение направляйте на support@kulpunai.kg. Мы отвечаем мотивированным письменным решением в течение семи рабочих дней и указываем правовое и фактическое обоснование. Если вы возразили против обработки, на время рассмотрения возражения мы её приостанавливаем.

Если вы написали в чат компании, которая пользуется KulpunAi, обладателем ваших данных является эта компания — обращайтесь сначала к ней. Если вы не знаете, кому писать, напишите нам: мы установим, о каком аккаунте речь, и передадим обращение обладателю данных.

12. Файлы cookie и аналитика

Cookie — небольшие файлы, которые сайт сохраняет в вашем браузере. Мы используем три вида.

Отключить аналитические cookie можно в настройках браузера, режимом приватного просмотра, блокировщиком трекеров или официальными надстройками отказа от Google Analytics и Яндекс.Метрики. На работу личного кабинета это не влияет: аналитика подключена только к сайту kulpunai.com.

13. Данные несовершеннолетних

Статья 81 Цифрового кодекса устанавливает особый режим для данных детей. KulpunAi — инструмент для юридических лиц и предпринимателей: мы не открываем аккаунты лицам младше 18 лет и намеренно не собираем данные несовершеннолетних. Если ваш бизнес переписывается с несовершеннолетними клиентами, законность такой обработки и получение согласия законных представителей — ваша зона ответственности как обладателя данных.

14. Что мы делаем при инциденте

Если произошёл несанкционированный доступ, утрата или раскрытие данных, мы фиксируем инцидент, локализуем причину, оцениваем, чьи данные затронуты и насколько, и восстанавливаем нормальную работу. Затронутых клиентов уведомляем без неоправданной задержки — по электронной почте и в интерфейсе — с описанием того, что произошло, каких данных это касается и что делать вам. Когда это требуется законом, уведомляем Государственное агентство по защите персональных данных. Агентство ведёт публичный реестр инцидентов, поэтому мы исходим из того, что скрыть происшествие нельзя и не нужно.

15. Куда обратиться с жалобой

Если наш ответ вас не устроил, вы вправе обратиться в надзорный орган или в суд.

• Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики — dpa.gov.kg, консультации по WhatsApp: +996 998 950 350.
• Суд по правилам подсудности, установленным законодательством Кыргызской Республики.

16. Изменения этой политики

Дата действующей редакции указана в начале страницы. О существенных изменениях — расширении целей обработки, появлении новых получателей данных, изменении сроков хранения — мы предупреждаем не менее чем за 10 календарных дней по электронной почте и в интерфейсе личного кабинета. Прежние редакции предоставляем по запросу на support@kulpunai.kg.