Маълумотларни қайта ишлаш шартномаси (DPA) — Pageo
Ушбу Маълумотларни қайта ишлаш шартномаси (DPA) Pageo платформаси доирасида ЗРУ-547 ва GDPR (ЕИда операциялари бўлган B2B мижозлар учун) талабларига мувофиқ шахсий маълумотларни қайта ишлаш тартибини тартибга солади.
- DPA версияси
- 2026-05-12
- Кучга киради
Юридик кучга эга бўлган асл матн — ўзбек тилидаги (лотин ёзуви) таҳрир. Бошқа тиллардаги матнлар қулайлик учун берилади.
Матн Ўзбекистон Республикаси қонунчилиги ва GDPR бўйича ихтисослашган юрист томонидан текширилган.
1. Асосий тушунчалар
Оператор (Controller) — шахсий маълумотларни қайта ишлаш мақсадларини белгилайдиган юридик шахс (Нашриёт, Босмахона, Дўкон). Қайта ишловчи (Processor) — Оператор топшириғига биноан маълумотларни қайта ишловчи «Pageo» МЧЖ. Маълумот субъекти — маълумотлари қайта ишланадиган жисмоний шахс. Шахсий маълумотлар (PII) — жисмоний шахсни тўғридан-тўғри ёки билвосита аниқлаш имконини берувчи исталган маълумот. Махсус тоифали маълумотлар — биометрик маълумотлар, саломатлик, сиёсий қарашлар ва бошқа сезгир тоифалар.
2. Маълумотларни қайта ишлаш ҳажми
Ушбу DPA доирасида қуйидаги тоифадаги маълумотлар қайта ишланади: маъмурий мақсадлар учун Оператор вакилларининг контакт маълумотлари (исм, email, телефон); текширув ва BookCoins дастури учун ўқувчиларнинг маълумотлари (email, телефон, қурилма ID) — фақат розилик мавжуд бўлганда; антифрод таҳлили учун сканерлаш маълумотлари (вақт белгиси, шаҳар даражасида геолокация, IMEI сиз қурилма ID); тиражлар метамаълумотлари (номи, ISBN, нусхалар сони) — шахсий маълумот ҳисобланмайди. Платформа томонидан махсус тоифали маълумотлар тўпланмайди.
3. Қайта ишлаш мақсадлари
Маълумотларни қайта ишлаш фақат қуйидаги мақсадларда амалга оширилади: китобларнинг ҳақиқийлигини текшириш ва контрафактни аниқлаш; Оператор кабинетларининг ишлашини таъминлаш; BookCoins садоқат дастури; хулқ-атвор маълумотларига асосланган антифрод таҳлили; Ўзбекистон Республикаси қонунчилигини бажариш; солиқ мажбуриятларини бажариш (e-faktura). Маълумотлардан реклама мақсадларида фойдаланиш ёки маркетинг учун учинчи шахсларга бериш тақиқланади.
4. Қайта ишловчининг мажбуриятлари
«Pageo» МЧЖ қуйидагиларга мажбурдир: маълумотларни фақат Операторнинг ҳужжатлаштирилган кўрсатмаларига мувофиқ қайта ишлаш; сир сақлаш мажбуриятлари остида иш юритувчи ваколатли ходимлар орқали маълумотлар махфийлигини таъминлаш; хавф даражасига мос келадиган техник ва ташкилий ҳимоя чораларини қўллаш (TDE Postgres, OpenBao’даги калитлар билан илова даражасида email/телефон шифрлаш); Операторни хабардор қилмасдан суб-қайта ишловчиларни жалб этмаслик; маълумот субъектларининг сўровларини бажаришда Операторга кўмаклашиш.
5. Оператор ҳуқуқлари
Оператор қуйидаги ҳуқуқларга эга: маълумотларни қайта ишлаш бўйича ҳужжатлаштирилган кўрсатмалар бериш; техник ҳимоя чоралари ҳақида маълумот сўраш; 30 кун олдиндан хабардор қилиб аудит ўтказиш ёки аудитор тайинлаш; қайта ишлашни тўхтатиш ёки маълумотларни ўчириш талабини қўйиш; белгиланган муддатларда инцидентлар ҳақида билдиришнома олиш.
6. Чегарадан ташқари маълумот узатиш
Асосий маълумотлар базаси ва захира нусхалари ЗРУ-547 қонунига мувофиқ Ўзбекистон Республикаси ҳудудида (IT Park ёки Hetzner Алматй, маҳаллий захира нусхаси билан) жойлаштирилади. Чегарадан ташқари маълумот узатиш фақат қуйидаги ҳолларда мумкин: регулятор қарори бўйича етарли даражада ҳимояланган мамлакатларга; ЕИ мижозлари учун стандарт шартнома шартлари (SCCs) мавжуд бўлганда; маълумот субъектининг аниқ розилигида. Тегишли кафолатларсиз учинчи мамлакатларга маълумот узатиш тақиқланади.
7. Техник ва ташкилий чоралар
Платформа қуйидаги ҳимоя чораларини қўллайди: тинч ҳолатдаги маълумотларни шифрлаш (TDE Postgres) ва транзитда шифрлаш (минимал TLS 1.3, хизматлар орасида mTLS); OpenBao’даги калитлар билан илова даражасида email ва телефонни шифрлаш; RBAC + RLS асосида кириш ҳуқуқларини фарқлаш; бизнес-ҳисоблар учун мажбурий 2FA; PostgreSQL да ўзгартириб бўлмайдиган аудит журнали; QR имзолаш учун HSM (SoftHSM2 / YubiHSM 2); минимал имтиёзлар тамойили бўйича PII га киришни чеклаш; мунтазам пенетрацион тестлар.
8. Инцидентлар ҳақида хабардор қилиш
Шахсий маълумотларга оид хавфсизлик инциденти аниқланганда «Pageo» МЧЖ қуйидагиларга мажбурдир: аниқланган пайтдан бошлаб 72 (етмиш икки) соат ичида Операторни хабардор қилиш; инцидентнинг характери, зарарланган маълумотлар ва кўрилган чора-тадбирлар ҳақида маълумот бериш; қонунчиликка мувофиқ регулятор ва маълумот субъектларини хабардор қилишда Операторга кўмаклашиш. Инцидентлар ҳақида билдиришномалар учун алоқа: security@pageo.uz.
9. Маълумот субъектларининг ҳуқуқлари
Платформа маълумот субъектларининг сўровларини (DSAR) бажаришни таъминлайди: «Профил / Махфийлик» бўлими орқали ўз маълумотларига кириш; нотўғри маълумотларни тузатиш; сақлашнинг қонуний асослари бўлмаса маълумотларни ўчириш («унутилиш ҳуқуқи»); қайта ишлашни чеклаш; маълумотларни машина ўқий оладиган форматда (JSON/CSV) кўчириш. DSAR га жавоб бериш муддати — 30 (ўттиз) календар кундан кўп эмас. Оператор маълумот субъектларини DSAR бериш тартиби ҳақида хабардор қилиш учун жавобгардир.
10. Суб-қайта ишловчилар
Амалдаги суб-қайта ишловчилар: Hetzner (захира нусхаларини сақлаш), Postal ўз серверида (email етказиб бериш). Платформа суб-қайта ишловчилар рўйхатидаги ўзгартиришлар ҳақида Операторни 14 (ўн тўрт) кун олдин хабардор қилади. Оператор янги суб-қайта ишловчига 14 кун ичида ёзма равишда эътироз билдириш ҳуқуқига эга. Барча суб-қайта ишловчилар ушбу DPAдаги мажбуриятлардан кам бўлмаган мажбуриятлар билан боғланган.
11. Маълумотларни ўчириш
Оператор билан шартнома тугагандан сўнг маълумотлар қуйидаги муддатларда ўчирилади: ўқувчиларнинг шахсий маълумотлари — сўров бўйича 30 (ўттиз) кун ичида ёки сўнгги фаолликдан 12 (ўн икки) ой ўтгач; ClickHouse даги сканерлаш маълумотлари — иссиқ маълумотлар 90 кун, шахсий маълумотларсиз агрегатлар — муддатсиз; Оператор билан шартнома тугаганидан кейин 90 (тўқсон) кун ичида тиражлар ва QR-кодлар маълумотлари. Аудит журнали қонунчилик талабларига мувофиқ сақланади.
12. Аудит ҳуқуқлари
Оператор 30 (ўттиз) кунлик олдиндан хабардор қилиш билан йилига бир марта ушбу DPAга риоя этилишини текшириш аудити ўтказиш ҳуқуқига эга. Аудит иш вақтида ўтказилади ва платформанинг ишлашига халақит бермаслиги керак. Платформа OpenBao сирлари ва HSM га киришдан бош тортиш, бунинг ўрнига мустақил аудит натижаларини тақдим этиш ҳуқуқига эга. Аудит харажатларини Оператор кўтаради, агар текширув DPAнинг сезиларли бузилишларини аниқламаса.
13. DPAга ўзгартиришлар
Платформа қонунчилик ёки техник архитектура ўзгарганда DPAни ўзгартириш ҳуқуқига эга. Операторга 30 (ўттиз) кун олдин хабардор қилинади. Агар Оператор 14 (ўн тўрт) кун ичида ёзма эътироз билдирмаса, ўзгартиришлар қабул қилинган деб ҳисобланади. DPAнинг амалдаги таҳрирлари доимо /legal/dpa манзилида мавжуд.