Политика обработки и защиты персональных данных пользователей цифровой платформы Шоппер

Настоящая Политика определяет порядок сбора, обработки и защиты персональных данных физических лиц, использующих цифровую платформу Шоппер (rushoper.app) и одноимённые мобильные приложения, а также физических лиц, действующих от имени Продавцов (далее совместно — «Пользователи», «субъекты персональных данных»).

Собственником и оператором базы персональных данных является ТОО «Шоппер Лабс» (БИН 260740025260, Республика Казахстан) (далее — «Оператор», «Платформа»).

Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 г. № 94-V «О персональных данных и их защите» и иным применимым законодательством Республики Казахстан.

1. Основные понятия

1.1. Персональные данные — сведения, относящиеся к определённому или определяемому на их основании физическому лицу.

1.2. Обработка персональных данных — действия с персональными данными, включая их сбор, накопление, хранение, изменение, дополнение, использование, передачу в предусмотренных законом и настоящей Политикой случаях, обезличивание, блокирование и уничтожение.

1.3. Оператор — ТОО «Шоппер Лабс», осуществляющее сбор, обработку и защиту персональных данных в связи с работой Платформы.

1.4. Продавец — юридическое лицо, зарегистрированное в Республике Казахстан и реализующее товары через Платформу. В отношении персональных данных Покупателя, полученных Продавцом для исполнения договора купли-продажи, доставки, гарантии и рассмотрения претензий, Продавец действует как самостоятельный собственник и (или) оператор персональных данных в пределах своей обработки.

2. Принципы обработки

2.1. Оператор обрабатывает персональные данные законно, добросовестно, в объёме, необходимом для конкретных и заранее определённых целей.

2.2. Оператор не собирает данные, не связанные с заявленными целями, и не использует их способом, несовместимым с целями первоначального сбора, если для такой обработки отсутствует иное законное основание.

2.3. Оператор принимает меры для обеспечения точности, конфиденциальности, целостности и безопасности персональных данных.

3. Категории обрабатываемых данных

3.1. Данные учётной записи и контактов:

• имя, отображаемое имя или псевдоним;
• номер телефона;
• адрес электронной почты;
• логин и иные идентификаторы учётной записи;
• сведения, необходимые для аутентификации.

3.2. Данные заказа и доставки:

• идентификатор и состав заказа;
• история заказов;
• имя получателя;
• номер телефона получателя;
• адрес, населённый пункт и иные сведения о месте доставки, предоставленные Пользователем;
• выбранный или согласованный способ доставки, стоимость, срок и иные условия доставки;
• сообщения и сведения, переданные Покупателем и Продавцом в чате в связи с заказом;
• сведения об обмене, возврате, претензиях и обращениях.

3.3. Данные активности:

• избранное;
• история взаимодействия с функциональностью Платформы;
• комментарии и реакции в прямых трансляциях;
• сообщения в чате;
• обращения в службу поддержки.

3.4. Технические данные:

• IP-адрес;
• тип и версия устройства, операционной системы и приложения;
• идентификаторы сессии;
• push-токен;
• файлы cookie и аналогичные технические идентификаторы;
• журналы событий, технические и диагностические данные, необходимые для безопасности и устранения сбоев.

3.5. Платёжные данные

Оператор не собирает и не хранит полный номер банковской карты, срок её действия, CVV/CVC и иные реквизиты, вводимые в платёжную форму. Оператор может получать от платёжной организации технические сведения об операции: идентификатор платежа, сумму, валюту, дату, статус платежа, возврата или оспаривания, а также иные данные, необходимые для учёта заказа и взаимодействия с платёжной организацией.

3.6. Прямые трансляции

Платформа технически обрабатывает аудио- и видеопоток, передаваемый Продавцом или его представителем, для доставки прямой трансляции Пользователям в реальном времени. По состоянию на дату настоящей редакции Платформа не осуществляет постоянную запись и хранение прямых трансляций как видеозаписей. Изменение этого порядка требует обновления настоящей Политики до начала соответствующей обработки.

3.7. Платформа не осуществляет целенаправленный сбор биометрических персональных данных Пользователей. Изображение и голос представителя Продавца в прямом эфире обрабатываются как содержимое трансляции, а не с целью биометрической идентификации.

3.8. Платформа не использует системы рекламного трекинга или профилирования для передачи персональных данных рекламным сетям по состоянию на дату настоящей редакции. При подключении такой обработки Политика и необходимые согласия подлежат предварительному обновлению.

3.9. Оператор не просит Пользователей предоставлять специальные категории персональных данных, не требующиеся для работы Платформы.

4. Цели и основания обработки

4.1. Персональные данные обрабатываются для:

• регистрации, аутентификации и управления учётной записью;
• предоставления функциональности Платформы;
• оформления и сопровождения заказов;
• обеспечения взаимодействия Покупателя с Продавцом, включая согласование доставки;
• передачи Продавцу сведений, необходимых для исполнения конкретного заказа;
• проведения оплаты и возврата через платёжную организацию;
• направления сервисных и push-уведомлений;
• рассмотрения обращений, претензий и споров;
• обеспечения безопасности, предотвращения мошенничества и устранения технических сбоев;
• исполнения требований законодательства Республики Казахстан и законных требований государственных органов.

4.2. Сбор и обработка осуществляются на основании согласия субъекта, договора с Пользователем, а также в случаях, когда законодательство Республики Казахстан допускает или требует обработку без отдельного согласия.

4.3. Передача персональных данных третьим лицам и трансграничная передача осуществляются при наличии требуемого законом согласия либо в иных случаях, прямо предусмотренных законодательством.

5. Согласие пользователя

5.1. Согласие на сбор и обработку персональных данных оформляется отдельно от настоящей Политики в форме, позволяющей подтвердить факт его получения, включая электронную отметку в интерфейсе Платформы.

5.2. Платформа сохраняет сведения, необходимые для подтверждения факта согласия, включая дату и время, версию согласия и технический идентификатор действия.

5.3. Пользователь вправе отозвать согласие, направив обращение по адресу hello@rushoper.app. Отзыв не прекращает обработку, которую Оператор обязан или вправе продолжить без согласия в случаях, предусмотренных законодательством.

6. Получатели данных и уполномоченные лица

6.1. Для работы Платформы персональные данные могут передаваться в минимально необходимом объёме следующим лицам:

• 6.1.1. ТОО «Яндекс.Облако Казахстан» (БИН 210140006471) — провайдер облачной инфраструктуры, используемой для размещения основной базы Платформы на территории Республики Казахстан;
• 6.1.2. ТОО «PayLink.kz» (БИН 230740018193, г. Алматы) — для проведения оплаты, распределения платежа, возврата, проверки статуса операции и разрешения платёжных спорных ситуаций;
• 6.1.3. конкретный Продавец — в объёме, необходимом для исполнения договора купли-продажи, доставки, гарантии, возврата и рассмотрения претензии;
• 6.1.4. Functional Software, Inc. (Sentry, США) — в части технических и диагностических данных, необходимых для выявления и устранения ошибок;
• 6.1.5. Apple Inc. (Apple Push Notification service, США) и Google LLC (Firebase Cloud Messaging, США) — в части push-токена, технических идентификаторов и содержания уведомления, необходимого для его доставки;
• 6.1.6. государственные органы и иные уполномоченные лица — в случаях и порядке, предусмотренных законодательством Республики Казахстан.

6.2. Продавцу не передаются персональные данные Пользователя, не требующиеся для исполнения заказа, если отсутствует другое законное основание.

6.3. Продавец не вправе использовать полученные от Платформы контактные данные Покупателя для собственной рекламы и маркетинговых рассылок без отдельного законного основания и необходимого согласия Покупателя.

6.4. Оператор не продаёт персональные данные Пользователей.

7. Локализация и трансграничная передача

7.1. Основная база Платформы, содержащая персональные данные, размещается с использованием инфраструктуры, физически расположенной на территории Республики Казахстан.

7.2. Отдельные технические данные могут передаваться сервисам Sentry, Apple Push Notification service и Firebase Cloud Messaging за пределы Республики Казахстан в объёме, необходимом для работы соответствующей функции.

7.3. Трансграничная передача осуществляется с соблюдением статьи 16 Закона Республики Казахстан «О персональных данных и их защите», включая получение согласия в случаях, когда оно требуется.

7.4. Пользователь может отключить push-уведомления в настройках устройства. Это не исключает направление сервисных сообщений иным доступным способом, когда они необходимы для исполнения заказа или договора.

8. Сроки хранения

8.1. Данные учётной записи хранятся в течение срока использования Платформы и далее в пределах срока, необходимого для исполнения обязательств, разрешения споров и соблюдения требований законодательства.

8.2. Данные о заказах, платежных статусах, возвратах и обращениях могут храниться после удаления учётной записи в объёме и в течение периода, необходимого для исполнения требований законодательства, бухгалтерского учёта, защиты прав сторон и разрешения споров.

8.3. Данные, необходимость в которых отпала и хранение которых не требуется законом, подлежат удалению, уничтожению либо обезличиванию в установленном порядке.

9. Меры защиты

9.1. Оператор принимает правовые, организационные и технические меры защиты, включая разграничение прав доступа, защищённые каналы передачи, регистрацию действий с данными, резервное копирование, управление учётными данными и иные меры, соответствующие характеру обработки.

9.2. Доступ работников и подрядчиков к персональным данным предоставляется только в объёме, необходимом для выполнения их функций.

9.3. При выявлении нарушения безопасности персональных данных Оператор действует в соответствии с применимыми требованиями законодательства Республики Казахстан.

10. Права субъекта персональных данных

10.1. Пользователь вправе в случаях и порядке, предусмотренных законом:

• получать сведения о наличии и обработке своих персональных данных;
• требовать изменения и дополнения неточных или неполных данных;
• требовать блокирования, удаления или уничтожения данных при наличии законных оснований;
• получать сведения о предоставлении данных третьим лицам;
• отзывать согласие в предусмотренных законом пределах;
• обжаловать действия или бездействие Оператора.

10.2. Обращения направляются по адресу hello@rushoper.app.

10.3. Уполномоченным органом в сфере защиты персональных данных является Комитет по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан.

11. Несовершеннолетние

11.1. Платформа предназначена для лиц, достигших 18 лет.

11.2. Если Оператору станет известно, что учётная запись создана лицом младше 18 лет без надлежащего правового основания, Оператор вправе заблокировать учётную запись и принять меры по прекращению обработки данных.

12. Cookie и аналогичные технологии

12.1. Платформа использует технически необходимые cookie и аналогичные технологии для авторизации, сохранения сессии, настроек, безопасности и стабильной работы.

12.2. Ограничение технически необходимых cookie может сделать отдельные функции Платформы недоступными.

13. Изменение Политики

13.1. Оператор вправе изменять настоящую Политику с учётом законодательства Республики Казахстан.

13.2. Актуальная редакция публикуется на Платформе. Существенные изменения, предполагающие новые цели, новые категории данных или новые виды передачи, доводятся до Пользователя до начала соответствующей обработки и, когда это требуется, сопровождаются получением нового согласия.

14. Контактные данные оператора