Политика конфиденциальности

1. Кто оператор, кто обработчик

В этом документе два слоя, и их важно не смешивать — от этого зависят и ответственность, и адрес обращения.

Данные Гостей и сотрудников. Ресторан — оператор: он решает, какие данные собираются и для чего используются. Платформа — обработчик: она обрабатывает данные только по поручению Ресторана и в пределах, описанных в этом документе, и не использует их в своих целях.

Собственная учётная запись Ресторана. По учётным записям владельца и сотрудников на Платформе — электронная почта, телефон, роль, журнал входов — оператором является сама Платформа: эти данные говорят о том, с кем Платформа заключила договор и кто вошёл в систему.

По своим данным Гость сначала обращается в Ресторан. Если Ресторан не может ответить или обращение носит технический характер — например, о том, в какой системе хранятся данные, — отвечает непосредственно Платформа.

Данные собираются и хранятся на серверах, расположенных на территории Республики Узбекистан. Это требование статьи 27¹ Закона: персональные данные граждан Республики Узбекистан обрабатываются с использованием технических средств, находящихся на территории Узбекистана.

2. Какие данные собираются

Перечень разделён на четыре категории, потому что у них разные владельцы и разные правовые основания.

Платформа не хранит номер банковской карты. Оплата совершается на странице платёжного провайдера, а на Платформу возвращаются только результат операции и последние четыре цифры.

Биометрические данные — изображение лица, отпечаток пальца — пока не собираются. Если такой способ учёта посещаемости будет включён, документ будет обновлён заранее, а у сотрудника будет запрошено отдельное письменное согласие.

3. Для чего используются

Каждое поле собирается для конкретной цели. Для использования за пределами цели нужно отдельное согласие.

4. Правовое основание

Исполнение договора — данные, необходимые для заказа, оплаты, доставки и расчётов по Тарифу. Без них услуга невозможна, поэтому отказ от их обработки отменяет и заказ.

Согласие — программа лояльности, маркетинговые сообщения и push-уведомления. Ввод одноразового кода, отправленного по SMS, считается подтверждением согласия, и этот факт фиксируется с датой. Согласие можно отозвать в любой момент; возможность оформлять заказы при этом сохраняется.

Требование закона — фискальный чек, налоговая и бухгалтерская отчётность, трудовые документы. Эти записи нельзя удалить даже при отзыве согласия: обязанность их хранить вытекает из закона, а сроки указаны в разделе 5.

Законный интерес — журналы безопасности, проверки на мошенничество и обеспечение устойчивости Платформы. На этом основании обрабатываются только технические данные.

5. Сколько хранятся

По истечении срока данные удаляются или обезличиваются. Обезличенная запись остаётся в статистике, но по ней нельзя определить человека.

6. Кому передаются

Перечень ниже исчерпывающий. Третьим лицам, здесь не названным, данные не передаются, не продаются и не отправляются в рекламные сети.

Отдельно о push-уведомлениях. Серверы уведомлений Expo и производителя устройства находятся в Соединённых Штатах Америки. Туда уходят только токен устройства и текст сообщения, видимый на экране, — по этим данным нельзя определить человека. Состав заказа, номер телефона и адрес не передаются никогда. Если отключить уведомления, токен также удаляется.

С каждым поставщиком письменно согласована обязанность использовать данные только в рамках поручения и защищать их.

7. Безопасность

Обмен между браузером и сервером шифруется по TLS; база данных хранится на диске в зашифрованном виде.

Каждый ресторан видит только свои данные. Это не проверка на уровне приложения: разделение выполнено в самой базе данных политиками безопасности на уровне строк (RLS) — даже неверно написанный запрос не вернёт ни одной строки другого ресторана.

Пароли и PIN не хранятся в открытом виде — только необратимый хеш. Утраченный PIN не восстанавливается, вместо него выдаётся новый. Число попыток ввода PIN ограничено, применяется блокировка.

Права выдаются по ролям и подчиняются принципу минимально необходимого объёма. Каждое значимое действие записывается в журнал аудита: видно, кто, что и когда изменил.

Резервная копия создаётся не реже одного раза в сутки и хранится 30 дней. Процедура восстановления регулярно проверяется — непроверенная резервная копия не является резервной копией.

При выявлении утечки данных Ресторан уведомляется в течение 72 часов; в случаях, предусмотренных законом, уведомляется и уполномоченный государственный орган.

8. Ваши права

Доступ — запросить, какие данные о вас хранятся и кому они передавались.

Исправление — потребовать изменения неверных или устаревших данных.

Удаление — запросить удаление данных. Исключение составляют записи, которые закон требует хранить, — фискальные чеки, бухгалтерские и трудовые документы; в ответе указывается, какая запись и почему осталась.

Отзыв согласия — отказ от маркетинговых сообщений, push-уведомлений и программы лояльности. Возможность оформлять заказы сохраняется.

Выгрузка — получить свои данные в машиночитаемом формате.

Ограничение и возражение — запросить прекращение или ограничение обработки для отдельных целей.

Обращение направляется через страницу «Контакты» или по адресу из раздела 12. Срок ответа — 30 календарных дней. Мы можем попросить подтвердить личность: иначе мы передали бы чужие данные постороннему.

Если ответ вас не устроил, за вами сохраняется право обратиться с жалобой в уполномоченный государственный орган.

9. Файлы cookie

Платформа не использует рекламные и трекинговые cookie и не загружает сторонние аналитические скрипты. Ниже — файлы, необходимые для работы; без них не работают вход в систему и кассовая смена.

Cookie кассы и приложения для персонала намеренно разделены: один человек может одновременно быть и на кассе, и на своём телефоне, и выход с телефона не должен закрывать смену на кассе.

Сессионные cookie помечены httpOnly — скрипт на странице не может их прочитать. Cookie можно отключить в настройках браузера, но тогда вход в систему станет невозможен.

10. Дети

Платформа не предназначена для лиц младше 16 лет и не собирает у них персональные данные осознанно.

Если выяснится, что данные ребёнка были внесены без согласия законного представителя, они удаляются. Если вы заметили такой случай, напишите по адресу из раздела 12 — мы проверим и сообщим о результате.

11. Изменения документа

Дата и версия каждой редакции указываются в верхней части этой страницы.

О существенных изменениях — новая цель, новый получатель, продление срока хранения или передача данных в другую страну — сообщается не менее чем за 30 дней по электронной почте и уведомлением в консоли.

Прежние редакции хранятся в архиве и предоставляются по запросу: должна быть возможность проверить, какие условия действовали в какой период.

12. Контакты

Официальные обращения по персональным данным направляются по адресу ниже. В черновой редакции эти поля не заполнены.

Для повседневных вопросов работают телефон, Telegram и электронная почта со страницы «Контакты» — ответ приходит в тот же день.