Политика конфиденциальности приложения IT-Set Auth
1. О приложении
IT-Set Auth — служебное приложение для сотрудников организаций, которые используют систему IT-Set. Оно подтверждает вход сотрудника в учётную систему организации (по лицу, Face ID / отпечатку или одноразовому коду), позволяет снимать фотографии залогов и документов для учётной системы и выполнять служебные задания, а менеджеру — проверять результаты сверки лиц.
Приложением пользуются только сотрудники, которых пригласила их организация. Самостоятельная регистрация невозможна.
2. Кто обрабатывает данные
- Оператор персональных данных — организация-работодатель. Сервер системы IT-Set устанавливается у организации на территории Республики Казахстан и находится под её управлением. Данные из приложения передаются на этот сервер. Свою политику обработки данных, наименование, БИН и контакт ответственного лица организация показывает в приложении на экране согласия и на странице «/policy» своего сервера.
- Разработчик приложения (IT-Set) обрабатывает данные только по поручению организации для технической поддержки её сервера и в обычной работе доступа к данным сотрудников не имеет.
3. Согласие
Перед первым использованием приложение показывает политику организации и текст согласия на сбор и обработку персональных данных, включая биометрические. Съёмка эталона лица и подтверждение входа по лицу выполняются только после того, как сотрудник отметил ознакомление с политикой и дал согласие: сервер организации без действующего согласия эталон не принимает и сверку лица не проводит. Приложение старее версии 1.1.4 экран согласия показать не может и до обновления работает по прежним правилам; организация ограничивает такие версии настройкой минимальной версии на своём сервере. Факт согласия (кто, когда, какая редакция текста, с какого устройства) хранится на сервере организации как подтверждение. При изменении текста приложение просит принять новую редакцию.
Согласие добровольно. Вход по лицу — один из способов подтверждения личности; отказавшемуся сотруднику организация назначает иной способ входа.
4. Какие данные обрабатываются и зачем
- Изображение лица, его снимки и биометрический вектор сотрудника. При регистрации сотрудник снимает своё лицо. На сервере организации из снимка строится математический вектор, по которому затем подтверждается вход; сами снимки эталона также хранятся на сервере и доступны администратору и менеджеру организации для разбора спорных входов. Цель — убедиться, что в учётную систему входит именно этот сотрудник. Вторая цель — защита от оформления сделок на сотрудников: при проверке клиента его селфи сравнивается с эталонами лиц сотрудников организации; совпадение отмечается в проверке, и менеджер видит его вместе со снимком эталона сотрудника.
- Кадры проверок при входе — селфи сотрудника при подтверждении входа сохраняется только когда сверка попала в серую зону и ждёт решения менеджера; после решения кадр удаляется сразу, после истечения срока заявки — не позднее следующих суток. Результат каждой сверки остаётся в журнале входов.
- Фотографии залогов, документов и клиентов, которые сотрудник снимает по служебному заданию: фото предметов, удостоверения личности и селфи клиента организации. Они передаются в учётную систему организации; по фото удостоверения сервер строит вектор лица клиента для последующей сверки при выкупе. Согласие клиента на это получает организация отдельно, приложение лишь передаёт снимки. Менеджер организации видит в приложении эти снимки и ИИН клиента при проверке сверки.
- Служебные данные сотрудника, которые передаёт организация: ФИО, ИИН или табельный идентификатор, логины учётной системы и отделения.
- Пароль учётной системы — только если организация включила вход по паролю: приложение передаёт его на сервер организации для проверки и не хранит.
- Данные устройства: случайный идентификатор установки, модель, платформа, версия приложения, IP-адрес запросов. Нужны для привязки телефона к сотруднику и защиты от входа с чужого устройства.
- Журнал действий: время, результат и устройство каждого подтверждения входа, решения менеджера по сверкам, принятие и отзыв согласия. Нужен организации для безопасности и разбора инцидентов.
Face ID и отпечаток пальца проверяет сама операционная система телефона: приложение получает только ответ «подтверждено» или «нет», сами данные Face ID / отпечатка приложению и серверу недоступны. Поиск лица в кадре выполняет на самом телефоне компонент Google ML Kit; изображения лица сторонним сервисам не передаются.
Приложение не показывает рекламу, не отслеживает сотрудника в других приложениях и на сайтах, не определяет местоположение и не продаёт данные.
5. Автоматическая проверка
Решение о подтверждении входа по лицу принимает программа на сервере организации. Сотрудник вправе возразить против такого решения, обратившись к администратору или руководителю организации (контакты в разделе 11). Обращение рассматривается по внутреннему регламенту организации в срок, установленный законом (три рабочих дня): администратор лично устанавливает, что обратился именно этот сотрудник, и назначает повторную съёмку эталона лица или иной способ входа; в служебном кабинете ему доступны журнал входов и снимки эталона.
6. Разрешения на телефоне
- Камера — снимок лица при регистрации и входе, съёмка залогов, документов и клиентов, сканирование QR-кода приглашения.
- Face ID / биометрия — открыть приложение вместо ввода ПИН-кода.
7. Передача третьим лицам и за рубеж
Данные передаются на сервер организации-работодателя по защищённому соединению (HTTPS). Разработчик IT-Set получает доступ только по поручению организации для технической поддержки.
Компонент распознавания лица Google ML Kit и службы магазинов приложений (Google Play, App Store) передают компаниям Google LLC и Apple Inc. (США) технические сведения об устройстве и приложении и идентификаторы устройства (трансграничная передача). Изображения лица, векторы и фотографии туда не уходят. Иных передач нет; в общедоступных источниках данные не размещаются.
8. Сроки хранения и удаление
Сроки хранения устанавливает организация на своём сервере. По умолчанию кадры проверок лица клиентов удаляются автоматически через 90 дней; кадры проверок, по которым менеджер принял решение, — материалы разбирательства — хранятся 365 дней от решения; записи о проверках — 365 дней. Биометрический вектор и снимки эталона сотрудника и незавершённые спорные кадры входа уничтожаются сразу, а согласие гасится, когда сотрудник отвязывает телефон в приложении (это и есть отзыв согласия), когда администратор отзывает последний привязанный телефон в карточке сотрудника, когда последний телефон перепривязывают на другого сотрудника или когда сотрудника отключают в учётной системе; эталон, у которого не осталось ни одного привязанного телефона, гасится ночной чисткой сервера; телефон, не выходивший на связь с сервером 90 дней, отвязывается автоматически, и если он был последним — биометрия уничтожается. Когда сотрудника переводят на вход по одноразовому коду либо администратор или учётная система отзывают эталон, вектор и снимки уничтожаются, а согласие сохраняется до отвязки телефона. Журнал привязок и входов, заявки на вход и решённые спорные сверки хранятся 365 дней, запись об отозванном согласии — 3 года (сроки настраивает организация на сервере). На телефоне данные хранятся в защищённом хранилище, в резервные копии не попадают и удаляются при отвязке телефона или удалении приложения.
9. Права сотрудника
Сотрудник вправе узнать, какие его данные обрабатываются, потребовать их уточнения, блокирования или уничтожения, возразить против автоматического решения и отозвать согласие в порядке, предусмотренном Законом Республики Казахстан «О персональных данных и их защите». Отозвать согласие можно кнопкой «Отвязать аккаунт» в настройках приложения или обращением к организации. Обращения рассматривает организация-работодатель как оператор данных в сроки, установленные законом. Порядок удаления описан на странице поддержки.
10. Безопасность
Соединение с сервером шифруется (HTTPS). Ключи доступа хранятся в защищённом хранилище телефона (Keychain / Android Keystore). Отвязанный телефон теряет доступ при следующем обращении к серверу. Доступ к снимкам и журналу на сервере ограничен ролями администратора и менеджера организации и записывается в журнал.
11. Контакты
По вопросам обработки данных в вашей организации обращайтесь к ответственному лицу своего работодателя (контакт — на экране согласия в приложении). По вопросам работы приложения — it@astralombard.kz.
При изменении политики новая редакция публикуется на этой странице с новой датой.
IT-Set Auth Privacy Policy
1. About the app
IT-Set Auth is a workplace app for employees of organizations that use the IT-Set system. It confirms an employee's sign-in to the organization's accounting system (by face, Face ID / fingerprint or a one-time code), lets the employee take photos of pledged items, documents and customers for that system, delivers work tasks, and lets a manager review face-check results.
Only employees invited by their organization can use the app. There is no self sign-up.
2. Who processes the data
- The data controller is the employer organization. The IT-Set server is installed at and operated by the organization in the Republic of Kazakhstan. Data from the app is sent to that server. The organization shows its own data-processing policy, legal name, BIN and contact of its data officer in the app on the consent screen and on the "/policy" page of its server.
- The app developer (IT-Set) processes data only on the organization's instructions for technical support of its server and has no access to employee data in normal operation.
3. Consent
Before first use the app shows the organization's policy and the consent text for collecting and processing personal data, including biometric data. Face enrollment and face sign-in confirmation run only after the employee confirms that the policy was read and gives consent: without a valid consent the organization's server accepts no enrollment and performs no face matching. App versions older than 1.1.4 cannot show the consent screen and work under the previous rules until updated; the organization restricts such versions with the minimum-version setting on its server. The fact of consent (who, when, which edition of the text, from which device) is stored on the organization's server as proof. When the text changes, the app asks to accept the new edition.
Consent is voluntary. Face sign-in is one of the ways to confirm identity; an employee who declines is given another sign-in method by the organization.
4. What data is processed and why
- Employee face images, enrollment photos and a biometric vector. During enrollment the employee takes a face photo; the organization's server derives a mathematical vector used to confirm later sign-ins. The enrollment photos are also stored on the server and are available to the organization's administrator and manager for reviewing disputed sign-ins. A second purpose is fraud prevention: during a customer check the customer's selfie is compared with the face templates of the organization's employees; a match is flagged in the check and the manager sees it together with the employee's enrollment photo.
- Sign-in check frames — the employee's selfie at sign-in confirmation is kept only when the match falls into the grey zone and awaits a manager's decision; after the decision the frame is deleted immediately, after the request expires — within the next day. The result of every match stays in the sign-in log.
- Photos of pledged items, documents and customers taken for a work task: items, the customer's ID document and selfie. They are sent to the organization's accounting system; from the ID photo the server derives the customer's face vector for later matching at redemption. The customer's consent is obtained by the organization separately; the app only transfers the photos. The organization's manager sees these photos and the customer's national ID number in the app when reviewing a match.
- Employee work data provided by the organization: full name, national ID or staff ID, accounting-system logins and branches.
- Accounting-system password — only if the organization enabled password sign-in: the app sends it to the organization's server for verification and does not store it.
- Device data: a random installation ID, device model, platform, app version and request IP address — to bind the phone to the employee and block sign-ins from other devices.
- Activity log: time, result and device of each sign-in confirmation, manager decisions on matches, consent acceptance and withdrawal, kept for the organization's security.
Face ID and fingerprint checks are performed by the phone's operating system; the app only receives a yes/no result and never has access to Face ID or fingerprint data. Face detection in the camera frame runs on the phone using the Google ML Kit component; face images are not sent to third-party services.
The app shows no ads, does not track employees across other apps or websites, does not collect location and does not sell data.
5. Automated decisions
The decision to confirm a face sign-in is made by software on the organization's server. The employee may object to such a decision by contacting the organization's administrator or management (see section 11). The objection is handled under the organization's internal procedure within the statutory period (three working days): the administrator verifies in person that the request comes from that employee and orders a new face enrollment or assigns another sign-in method; the back office gives the administrator the sign-in log and the enrollment photos.
6. Phone permissions
- Camera — face capture for enrollment and sign-in, photos of pledged items, documents and customers, scanning the invitation QR code.
- Face ID / biometrics — unlock the app instead of a PIN.
7. Sharing and cross-border transfer
Data is sent to the employer organization's server over HTTPS. The developer IT-Set gets access only on the organization's instructions for technical support.
The Google ML Kit face-detection component and the app-store services (Google Play, App Store) transmit technical information about the device and the app and device identifiers to Google LLC and Apple Inc. (USA) (cross-border transfer). Face images, vectors and photos are not transmitted. There is no other sharing; data is not published in public sources.
8. Retention and deletion
Retention periods are set by the organization on its server. By default, customer face-check images are deleted automatically after 90 days; images of checks with a manager's decision (case materials) are kept for 365 days from the decision; check records are kept for 365 days. The employee's biometric vector and enrollment photos, together with any pending disputed sign-in frame, are destroyed immediately and the consent is closed when the employee unbinds the phone in the app (which is the withdrawal of consent), when the administrator revokes the last bound phone in the employee's card, when the last phone is re-bound to another employee, or when the employee is deactivated in the accounting system; a template left without any bound phone is removed by the server's nightly cleanup; a phone that has not contacted the server for 90 days is unbound automatically, and if it was the last one, the biometrics are destroyed. When the employee is switched to one-time-code sign-in, or the administrator or the accounting system revokes the template, the vector and photos are destroyed while the consent remains until the phone is unbound. The binding and sign-in log, sign-in requests and decided disputed checks are kept for 365 days, the record of a withdrawn consent for 3 years (the organization sets these periods on its server). On the phone, data is kept in secure storage, excluded from backups, and removed when the phone is unbound or the app is deleted.
9. Employee rights
Employees may request information about, correction, blocking or deletion of their data, object to an automated decision and withdraw consent under the Law of the Republic of Kazakhstan "On Personal Data and Their Protection". Consent can be withdrawn with "Unbind account" in the app settings or by contacting the organization. Requests are handled by the employer as the data controller within the statutory periods. The deletion procedure is described on the support page.
10. Security
Connections are encrypted (HTTPS). Access keys are stored in the phone's secure storage (Keychain / Android Keystore). An unbound phone loses access on its next request to the server. Access to photos and logs on the server is limited to the organization's administrator and manager roles and is logged.
11. Contact
For questions about data processing in your organization, contact your employer's data officer (the contact is shown on the consent screen in the app). For questions about the app, write to it@astralombard.kz.
Any changes to this policy will be published on this page with a new effective date.