Настоящая Политика описывает, какие персональные данные обрабатываются в связи с использованием программного обеспечения «botan.kz» (далее — Сервис), на каких основаниях, как долго они хранятся и какие права есть у субъектов персональных данных.
Политика является неотъемлемой частью Публичной оферты, размещённой по адресу https://botan.kz/offer.
Оператор: Индивидуальный предприниматель «ШУГАЕВ» (Шугаев Ерсаин Болатович), ИИН 050628500343, Республика Казахстан, Алматинская область, Талгарский район, город Талгар, улица Райымбек Батыр, дом 7. Контакт по вопросам персональных данных: support@botan.kz
1. Две роли Оператора§
Сервис используется предпринимателями для ведения торговой деятельности. Поэтому персональные данные в нём делятся на две группы, и роль Оператора в них разная.
1.1. Данные, в отношении которых Оператор является собственником. Это данные лиц, которые взаимодействуют непосредственно с Оператором: представители компаний-заказчиков, лица, оставившие заявку на подключение, посетители сайта botan.kz. Оператор сам определяет цели их обработки и отвечает за законность.§
1.2. Данные, которые Оператор обрабатывает по поручению Заказчика. Это данные, которые Заказчик и его работники вносят в свой Аккаунт: сведения о работниках Заказчика и о покупателях Заказчика. Собственником этих данных является Заказчик. Он определяет, какие данные собирать и зачем, и отвечает за получение согласий от субъектов. Оператор обрабатывает такие данные исключительно в объёме, необходимом для работы Сервиса, и по указанию Заказчика.§
Если субъект данных хочет узнать, почему его данные оказались в Сервисе, или потребовать их удаления, ему следует обращаться к тому магазину или компании, которая эти данные собрала. Оператор перенаправит такое обращение соответствующему Заказчику.
2. Какие данные обрабатываются§
2.1. Представители Заказчиков и лица, оставившие заявку§
- фамилия и имя, должность;
- номер телефона, адрес электронной почты;
- наименование компании, ИИН/БИН, банковские реквизиты;
- содержание переписки с технической поддержкой.
2.2. Работники Заказчика (пользователи Сервиса)§
- имя;
- адрес электронной почты;
- роль в Сервисе и привязка к торговым точкам;
- код доступа (PIN) — исключительно в виде необратимого хеша; в открытом виде не хранится;
- сведения о действиях в Сервисе: открытие и закрытие смен, проведённые продажи и возвраты, списания, изменения документов, время совершения операций и сведения об устройстве.
2.3. Покупатели Заказчика§
Сервис не требует обязательного указания контактных данных покупателя. Минимально необходимый набор — имя. Любой контакт указывается по выбору Заказчика и покупателя: достаточно одного из трёх — номера телефона, адреса электронной почты либо имени аккаунта в Instagram. Остальные сведения вносятся исключительно по усмотрению Заказчика.
Оформление карты покупателя не является обязательным условием совершения покупки: продажа может быть проведена без внесения каких-либо сведений о покупателе.
Состав фактически обрабатываемых сведений определяет Заказчик. Потенциально Сервис позволяет хранить:
- имя;
- номер телефона;
- адрес электронной почты;
- имя аккаунта в Instagram;
- пол и дата рождения — если Заказчик принял решение их собирать;
- история покупок, накопленные баллы, применённые скидки, персональные скидки, статус в программе лояльности;
- содержание заказов, включая адрес, дату и время доставки, комментарии к заказу и сведения о получателе, если они внесены Заказчиком.
Заказчику следует учитывать, что сведения о получателе доставки могут относиться к лицу, не являющемуся покупателем и не дававшему согласия. Ответственность за правомерность внесения таких сведений несёт Заказчик.
2.4. Поставщики Заказчика§
- наименование либо имя контактного лица;
- номер телефона;
- адрес электронной почты;
- произвольные примечания, внесённые Заказчиком.
2.5. Посетители сайта botan.kz и онлайн-витрин Заказчиков§
- сведения, добровольно указанные в форме обратной связи или заявки;
- обезличенные технические данные: IP-адрес, тип устройства и браузера, сведения о просмотренных страницах.
Онлайн-витрина Заказчика передаёт заявку покупателя в мессенджер WhatsApp. Дальнейшая переписка происходит между покупателем и Заказчиком напрямую, вне Сервиса, и регулируется правилами соответствующего мессенджера.
2.6. Данные, которые не обрабатываются§
Сервис не предназначен для обработки биометрических данных, сведений о состоянии здоровья, о судимости, о политических и религиозных убеждениях, а также данных банковских карт. Заказчик обязуется не вносить такие сведения в Сервис. Сервис не хранит реквизиты платёжных карт покупателей: в нём фиксируется только способ оплаты и сумма. Оператор не принимает и не хранит реквизиты платёжных карт: расчёты производятся банковским переводом либо через платёжные сервисы банков, которые обрабатывают такие данные самостоятельно.
3. Цели и основания обработки§
| Цель | Категория данных | Основание |
|---|---|---|
| Заключение и исполнение договора, выставление счетов, документооборот | 2.1 | Договор (Публичная оферта) |
| Предоставление доступа к Сервису, разграничение прав, журналирование действий | 2.2 | Поручение Заказчика, согласие субъекта |
| Ведение торгового и складского учёта, работа с поставщиками, программа лояльности, обработка заказов | 2.3–2.4 | Поручение Заказчика, согласие субъекта |
| Техническая поддержка, диагностика и устранение ошибок | 2.1–2.4 | Договор, законный интерес |
| Обеспечение безопасности, предотвращение злоупотреблений | 2.2–2.5 | Законный интерес |
| Информирование об изменениях Сервиса, тарифов и условий | 2.1 | Договор |
| Маркетинговая рассылка | 2.1 | Отдельное согласие, отзывается в любой момент |
| Исполнение требований законодательства (налогового, бухгалтерского) | 2.1 | Требование закона |
4. Сроки хранения§
- Данные представителей Заказчика — в течение срока действия договора и 5 лет после его прекращения, в части, необходимой для исполнения требований налогового законодательства о хранении документов.
- Данные работников, покупателей и поставщиков Заказчика — в течение срока действия договора с Заказчиком. После прекращения договора — 30 календарных дней, в течение которых Заказчик может выгрузить данные, после чего они удаляются. При приостановке доступа за неоплату — 60 календарных дней согласно пункту 8.4 Оферты.
- Данные из заявок с сайта, не приведших к заключению договора — 1 год.
- Журналы действий пользователей — до 12 месяцев.
- Технические журналы диагностики сбоев синхронизации — до 90 дней. Такие журналы могут содержать фрагменты обрабатываемых данных и удаляются автоматически по истечении срока.
- Изображения букетов и документов списания — 90 календарных дней с момента загрузки, после чего удаляются автоматически из файлового хранилища. Кэшированные копии на узлах доставки удаляются по истечении срока кэширования. Изображения товаров и логотипы Заказчиков хранятся в течение срока действия договора.
- Резервные копии — до 30 дней; удаление данных из активных систем не приводит к мгновенному удалению из резервных копий, но такие копии не используются иначе как для восстановления после сбоя.
5. Передача третьим лицам§
Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных целей.
Передача возможна только:
5.1. Поставщикам инфраструктуры, привлечённым для обеспечения работы Сервиса. По состоянию на дату настоящей редакции используются:§
| Поставщик | Назначение | Состав обрабатываемых данных | Расположение |
|---|---|---|---|
| ТОО «Компания Hoster.KZ», БИН 070440006808 | размещение базы данных, системы аутентификации, файлового хранилища и серверной части Сервиса | все категории данных, указанные в разделе 2 | Республика Казахстан, город Алматы |
| Vercel Inc. | размещение и доставка веб-приложений: административной панели, онлайн-витрин и сайта botan.kz | IP-адрес, тип устройства и браузера, адрес запрошенной страницы, дата и время обращения | за пределами Республики Казахстан |
| Cloudflare, Inc. | управление DNS-зоной домена; кэширование и доставка изображений; маршрутизация электронной почты домена botan.kz | копии изображений, загруженных в Сервис; содержание сообщений электронной почты; IP-адрес при обращении к изображениям | за пределами Республики Казахстан |
5.1.1. Ограничения доступа поставщиков.§
Веб-приложения Сервиса обращаются к базе данных напрямую из браузера пользователя, минуя серверы Vercel Inc.
Ни Vercel Inc., ни Cloudflare, Inc. не имеют доступа к базе данных Сервиса. Указанные поставщики не осуществляют обработку — ни в форме получения, ни в форме изменения или удаления — следующих сведений: заказов и их содержания, сведений о покупателях, работниках и поставщиках Заказчика, товарных остатков, себестоимости, выручки и иных финансовых показателей.
Функции Vercel Inc. ограничены доставкой программного кода веб-приложений и статических файлов. Функции Cloudflare, Inc. ограничены разрешением доменных имён, кэшированием изображений и передачей сообщений электронной почты.
Исключения из настоящего пункта составляют изображения, загружаемые в Сервис (пункт 5.1.2), и сведения, добровольно сообщённые отправителем в письме на адрес электронной почты домена botan.kz.
5.1.2. Изображения.§
Изображения, загружаемые в Сервис, хранятся в файловом хранилище на сервере, расположенном в Республике Казахстан. Cloudflare, Inc. осуществляет их кэширование и доставку конечным пользователям; копии изображений при этом временно размещаются на узлах сети Cloudflare за пределами Республики Казахстан. Изменение и удаление исходных изображений Cloudflare, Inc. не производит.
Актуальный перечень поставщиков поддерживается в настоящей редакции Политики и обновляется при изменении их состава.
5.2. Самому Заказчику — в отношении данных, собранных в его Аккаунте.§
5.3. Государственным органам — по мотивированному запросу в случаях и порядке, предусмотренных законодательством Республики Казахстан.§
6. Трансграничная передача§
База данных Сервиса, содержащая персональные данные, размещена на территории Республики Казахстан — на серверах ТОО «Компания Hoster.KZ». Хранение персональных данных осуществляется в Республике Казахстан.
Вместе с тем отдельные категории данных передаются и обрабатываются за пределами Республики Казахстан:
| Категория | Получатель |
|---|---|
| Содержание сообщений электронной почты, направленных на адреса домена botan.kz, включая вложения | Cloudflare, Inc. (маршрутизация почты) |
| Копии изображений, загруженных в Сервис, включая фотографии букетов и документов списания (оригиналы хранятся в Республике Казахстан) | Cloudflare, Inc. (кэширование и доставка) |
| IP-адрес, тип устройства и браузера, адрес запрошенной страницы, дата и время обращения к веб-приложениям | Vercel Inc. |
| Содержание заявок, отправленных через онлайн-витрину | WhatsApp (Meta Platforms, Inc.) |
Такая передача осуществляется на основании согласия субъекта персональных данных.
Заказчик даёт такое согласие в отношении собственных данных при первом входе в Аккаунт и путём акцепта Публичной оферты.
В отношении данных работников, покупателей и поставщиков согласие получает Заказчик как собственник этих данных. Принимая условия Публичной оферты, Заказчик подтверждает, что получил либо получит такие согласия, включая согласие на передачу данных за пределы Республики Казахстан, и несёт за это ответственность.
Оператор предоставляет Заказчику типовые формулировки согласия, которые тот может использовать при работе со своими работниками и покупателями. Формулировки доступны в разделе «Документы» административной панели.
Субъект вправе отказаться от трансграничной передачи. Поскольку обработка данных в Сервисе технически неотделима от используемой инфраструктуры, отказ означает невозможность обработки данных субъекта в Сервисе; в этом случае они подлежат удалению.
7. Меры защиты§
Оператор применяет организационные и технические меры, соразмерные характеру обрабатываемых данных:
- шифрование трафика при передаче (TLS);
- разграничение доступа на уровне базы данных: каждый Заказчик видит только собственные данные, работники — только данные в пределах предоставленной им роли;
- хранение кодов доступа исключительно в виде необратимых хешей;
- журналирование действий пользователей;
- ежедневное и еженедельное резервное копирование базы данных, а также еженедельное резервное копирование сервера целиком;
- ограничение круга лиц, имеющих технический доступ к продуктивной среде.
Оператор уведомляет Заказчика о выявленном инциденте, повлёкшем несанкционированный доступ к персональным данным, в течение 24 часов с момента обнаружения, и принимает меры по уведомлению уполномоченного органа в сроки, установленные законодательством.
8. Права субъекта персональных данных§
Субъект персональных данных вправе:
- получить сведения о том, обрабатываются ли его данные, и о составе таких данных;
- требовать изменения или дополнения данных, если они неполны или неточны;
- требовать блокирования или уничтожения данных, если они обрабатываются с нарушением закона;
- отозвать согласие на обработку;
- обжаловать действия Оператора в уполномоченном органе или в суде.
Обращения направляются на support@botan.kz. Срок ответа — не более 15 рабочих дней. Если обращение касается данных, собранных Заказчиком (категории 2.2 и 2.3), Оператор в тот же срок перенаправляет обращение Заказчику и уведомляет об этом заявителя.
Отзыв согласия работником или покупателем Заказчика влечёт прекращение обработки его данных в Сервисе, за исключением сведений, хранение которых необходимо Заказчику для исполнения требований законодательства о бухгалтерском и налоговом учёте.
9. Файлы cookie§
Сайт botan.kz и веб-приложения Сервиса используют файлы cookie и аналогичные технологии исключительно в технических целях:
- поддержание сессии авторизованного пользователя;
- сохранение пользовательских настроек интерфейса.
Такие файлы необходимы для работы Сервиса и не могут быть отключены без потери его работоспособности. Они могут быть удалены средствами браузера.
Оператор не использует аналитические, рекламные и иные отслеживающие технологии: системы веб-аналитики, счётчики посещаемости, рекламные пиксели и средства межсайтового отслеживания в Сервисе не применяются. Сведения о поведении пользователей не собираются и не передаются третьим лицам в рекламных или аналитических целях.
10. Несовершеннолетние§
Сервис предназначен для использования в предпринимательской деятельности и не адресован лицам, не достигшим восемнадцати лет. Оператор не осуществляет целенаправленный сбор данных несовершеннолетних. Если такие данные внесены Заказчиком в качестве сведений о покупателе, ответственность за наличие согласия законного представителя несёт Заказчик.
11. Изменение Политики§
Оператор вправе изменять настоящую Политику. Новая редакция размещается по адресу https://botan.kz/privacy не позднее чем за 10 календарных дней до вступления в силу. Предыдущие редакции сохраняются по адресу https://botan.kz/privacy/archive.
Об изменениях, существенно затрагивающих права субъектов, Оператор уведомляет Заказчиков по электронной почте.
12. Контакты§
ИП «ШУГАЕВ» Электронная почта: support@botan.kz Телефон / WhatsApp: +7 700 435 1223 Telegram: @botan_kz Адрес: Республика Казахстан, Алматинская область, Талгарский район, город Талгар, улица Райымбек Батыр, дом 7