1. Кто обрабатывает данные
1.1. Политика описывает, как обрабатываются персональные данные пользователей мобильного приложения Bozorcha для Android и iOS и сайта bozorcha.tj (вместе — «сервис»).
1.2. Оператор персональных данных — Bozorcha, сервис доставки продуктов, г. Душанбе, Республика Таджикистан (далее — «Bozorcha», «мы»).
1.3. Контакты по вопросам персональных данных: bozorcha26@gmail.com, а также чат поддержки в приложении.
1.4. Мы обрабатываем данные в соответствии с законодательством Республики Таджикистан, в том числе Законом Республики Таджикистан «О защите персональных данных».
1.5. Входя в приложение по номеру телефона, пользователь подтверждает, что ознакомился с этой Политикой, и даёт согласие на обработку своих данных на её условиях, в том числе на передачу данных за пределы Республики Таджикистан (раздел 5). Без входа можно смотреть каталог и собирать корзину; отозвать согласие можно, удалив аккаунт (раздел 7).
2. Какие данные мы собираем
2.1. Номер телефона. Это логин: вход в приложение выполняется по номеру +992 и одноразовому коду из SMS. Отдельной регистрации нет: первый вход с новым номером создаёт аккаунт. Номер из приложения не меняется.
2.2. Имя. Необязательно; пользователь указывает его сам и может удалить.
2.3. Адреса доставки. Название адреса («Дом», «Работа», «Другое»), адрес, координаты точки на карте, необязательные детали (подъезд, этаж, квартира, домофон) и комментарий курьеру. На аккаунт хранится не больше 20 адресов.
2.4. Геолокация устройства. Используется, только если пользователь разрешил доступ к ней в настройках телефона, чтобы найти адрес доставки на карте. Карта и поиск адресов работают на нашем собственном геосервисе, построенном на данных OpenStreetMap; сторонним картографическим сервисам адреса и координаты не передаются. Координаты в журналы геосервиса не записываются.
2.5. Заказы. Состав, суммы, способ и статус оплаты, адрес доставки на момент заказа, время или интервал доставки, комментарий к заказу, история статусов, оценка заказа (звёзды, теги, комментарий), электронный чек.
2.6. Данные об оплате. Сейчас заказ оплачивается при получении: наличными курьеру или переводом на счёт Bozorcha по реквизитам, которые показываются в приложении и в заказе. Мы храним способ оплаты, суммы, статус оплаты и реквизиты Bozorcha, по которым был сделан перевод. Данные банковских карт пользователей мы не собираем. В будущем может появиться оплата картой; тогда Политика будет обновлена.
2.7. Фото подтверждения перевода. При оплате переводом курьер фотографирует подтверждение перевода (экран банковского приложения или кошелька). На фото могут быть сумма, дата, имя отправителя и часть номера его карты или кошелька. Фото подтверждает оплату заказа; его видят сотрудники Bozorcha в карточке заказа.
2.8. Фото у двери. Если пользователь выбрал «Оставить у двери», курьер фотографирует оставленный заказ, и фото видно пользователю в доставленном заказе. Сейчас эта опция недоступна: она работает только с оплатой картой в приложении.
2.9. Обращения в поддержку. Сообщения в чате поддержки, выбранные темы, предложенные решения и ответы на них, итог обращения.
2.10. Подписки «Сообщить о поступлении». Какие товары пользователь попросил сообщить, когда они появятся.
2.11. Поисковые запросы. Тексты запросов в каталоге записываются на сервере без связи с аккаунтом (текст, склад, язык, дата) — для подборки «Часто ищут» и статистики. История последних 10 запросов хранится только на устройстве.
2.12. Данные устройства для push-уведомлений. Push-токен, платформа (Android или iOS), язык интерфейса.
2.13. Технические данные. Служебные идентификаторы запросов, время и результат запросов. IP-адрес в журналах сервера не хранится в открытом виде: вместо него записывается необратимый хеш с секретным ключом. Телефоны, имена, адреса, коды из SMS и токены в журналы не записываются.
2.14. Данные аналитики. Приложение использует Google Analytics для Firebase. Передаются события использования приложения: просмотр категорий и товаров, факт поиска (без текста запроса), добавление в корзину, начало оформления, оформление заказа и его сумма, вход; а также сведения об установке, модель устройства, версия системы и примерная география. Номер телефона, имя, адрес, комментарии, тексты поиска и идентификатор аккаунта в Google Analytics не передаются. Рекламные идентификаторы устройства приложение не собирает.
2.15. Данные только на устройстве. Корзина, «Избранное», история поиска и копия адресов хранятся на телефоне пользователя и на наши серверы не передаются (кроме адресов, которые загружаются на сервер после входа).
2.16. Мы не собираем специально данные о здоровье, религии, национальности и другие особые категории данных. Пожалуйста, не указывайте их в комментариях и сообщениях поддержки.
3. Зачем мы обрабатываем данные
| Цель | Какие данные |
|---|---|
| вход в приложение и защита аккаунта | телефон, коды из SMS, данные сессий |
| приём, сборка и доставка заказа | телефон, имя, адрес с координатами и деталями, состав заказа, комментарии |
| проверка, входит ли адрес в зону доставки, расчёт стоимости и времени доставки | координаты адреса |
| оплата заказа, подтверждение оплаты переводом, возвраты денег | способ оплаты, суммы, статусы оплаты, реквизиты перевода, фото подтверждения перевода |
| электронный чек | номер заказа, дата, позиции, суммы, способ оплаты; ссылка на чек приходит по SMS на номер пользователя |
| уведомления о заказе, ответах поддержки и поступлении товара | push-токен, язык |
| поддержка, разбор претензий, компенсации | обращения, данные заказа |
| учёт продаж и отчётность | заказы (после удаления аккаунта — в обезличенном виде) |
| улучшение сервиса: статистика использования, популярные товары и запросы | данные аналитики, поисковые запросы без связи с аккаунтом, оценки |
| безопасность и расследование сбоев | технические данные |
Мы не продаём персональные данные и не передаём их для рекламы. Рекламные SMS и push-уведомления мы не отправляем. Если такие рассылки появятся, они будут приходить только тем, кто дал на них отдельное согласие; отказаться от них можно в любой момент.
4. Кому мы передаём данные
4.1. Данные передаются только в объёме, нужном для цели.
| Получатель | Что получает | Зачем |
|---|---|---|
| курьер, доставляющий заказ | имя, телефон, адрес с деталями и координатами, комментарии к заказу и адресу, сумма к оплате | доставка. Курьер видит контакты, только пока заказ активен; после доставки или отмены они ему больше не показываются |
| сотрудники Bozorcha (сборщики, сотрудники поддержки, администраторы) | данные, нужные для их работы с заказом или обращением | сборка, поддержка, проверка оплаты, возвраты |
| OsonSMS — SMS-провайдер (Республика Таджикистан) | номер телефона и текст SMS (код входа, ссылка на чек) | отправка SMS |
| Google (Firebase Cloud Messaging) | push-токен устройства Android и служебные данные уведомления | push-уведомления на Android |
| Apple (Apple Push Notification service) | push-токен устройства iOS и текст уведомления | push-уведомления на iOS |
| Google (Google Analytics для Firebase) | данные аналитики (п. 2.14) | статистика использования приложения |
| Contabo — хостинг-провайдер (Германия) | данные сервиса на серверах и в базе данных | размещение сервиса |
| Amazon Web Services — облачное хранилище (Франкфурт, Германия) | файлы сервиса (фото, PDF чеков) и зашифрованные резервные копии базы данных | хранение файлов и резервных копий |
4.2. Текст push-уведомлений не содержит переписки с поддержкой: приходит только «Новое сообщение от поддержки».
4.3. Мы передаём данные государственным органам только в случаях и в порядке, которые предусмотрены законодательством Республики Таджикистан.
4.4. Страница чека открывается по ссылке без входа, поэтому на ней нет телефона и адреса пользователя. Ссылку нельзя угадать; пользователь сам решает, кому её показать.
5. Передача данных за пределы Таджикистана
5.1. Серверы сервиса находятся в Германии (Contabo), файлы и резервные копии — в хранилище Amazon Web Services во Франкфурте (Германия). Поэтому персональные данные пользователей хранятся и обрабатываются за пределами Республики Таджикистан.
5.2. Данные для push-уведомлений и аналитики передаются компаниям Google и Apple, которые могут обрабатывать их в США и других странах.
5.3. Резервные копии базы данных шифруются; ключ для расшифровки есть только у Bozorcha.
5.4. Пользователь соглашается на такую передачу, когда входит в приложение (п. 1.5).
6. Сколько мы храним данные
| Данные | Срок |
|---|---|
| аккаунт: телефон, имя, адреса, push-токены, подписки | пока пользователь не удалит аккаунт |
| код из SMS | 5 минут |
| сессия входа | 30 дней с последнего использования; выход из приложения закрывает сессию сразу |
| заказы и чеки | пока существует аккаунт; после удаления аккаунта — в обезличенном виде, бессрочно, для учёта и отчётности |
| фото подтверждения перевода | 1 год (365 дней) после доставки; удаление аккаунта этот срок не сокращает, потому что фото подтверждает оплату |
| фото у двери | 90 дней после доставки; при удалении аккаунта удаляется раньше |
| переписка с поддержкой | пока существует аккаунт; при удалении аккаунта обезличивается (раздел 7) |
| служебные копии ответов сервера для защиты от двойного заказа | 8 суток |
| журналы сервера (без телефонов, имён и адресов) | ограниченное время, по мере ротации журналов — обычно несколько дней |
| резервные копии базы данных и прежние версии файлов | 30 дней; удалённые данные исчезают из резервных копий в течение 30 дней |
| данные Google Analytics | сводные отчёты — бессрочно; подробные данные о событиях — до 14 месяцев (ограничение Google Analytics) |
| поисковые запросы на сервере | хранятся как статистика без связи с аккаунтом |
7. Удаление аккаунта
7.1. В приложении: Профиль → Информация → «Удалить аккаунт», затем подтвердить удаление.
7.2. Без приложения: на странице bozorcha.tj/delete-account описан порядок удаления и как отправить запрос в поддержку (bozorcha26@gmail.com или чат поддержки в приложении). В запросе нужно указать номер телефона аккаунта. Чтобы убедиться, что запрос пришёл от владельца номера, сотрудник поддержки звонит на этот номер или просит подтвердить запрос в чате поддержки, войдя в приложение с этим номером. Аккаунт удаляется в течение 3 рабочих дней после подтверждения.
7.3. Аккаунт нельзя удалить, пока есть незавершённый заказ (не доставлен и не отменён): нужно дождаться доставки или попросить поддержку отменить заказ.
7.4. Что удаляется сразу:
- все сессии входа и push-токены устройств;
- все сохранённые адреса;
- имя и номер телефона в аккаунте;
- подписки «Сообщить о поступлении» и неотправленные уведомления.
7.5. Что удаляется или обезличивается в течение суток после удаления:
- фото у двери по заказам пользователя;
- внутренние заметки сотрудников о пользователе;
- персональные данные в заказах и обращениях (п. 7.6).
7.6. Что обезличивается и остаётся. Заказы и чеки нужны для бухгалтерского и налогового учёта. В них стираются имя, телефон и адрес доставки; остаются номер заказа, даты, позиции, суммы, статусы и способ оплаты. В обращениях в поддержку стираются имя, телефон и тексты сообщений пользователя. В журнале действий сотрудников вместо имени пользователя остаётся обезличенная отметка.
7.7. Что хранится до конца срока. Фото подтверждения перевода хранится 1 год после доставки заказа и затем удаляется. Из резервных копий удалённые данные исчезают в течение 30 дней.
7.8. После удаления приложение стирает данные на телефоне (адреса, «Избранное», корзину, историю поиска) и переходит в гостевой режим.
7.9. Начатые возвраты денег продолжаются и после удаления аккаунта.
7.10. Повторный вход с тем же номером создаёт новый аккаунт; прежние заказы с ним не связываются.
8. Права пользователя
8.1. Пользователь вправе:
- узнать, какие его данные мы обрабатываем, и получить их копию;
- исправить данные: имя и адреса меняются в приложении, номер телефона — только через новый аккаунт;
- удалить аккаунт (раздел 7);
- отозвать согласие на обработку — для этого достаточно удалить аккаунт;
- выключить push-уведомления в настройках приложения или телефона;
- запретить доступ к геолокации в настройках телефона и вводить адрес вручную;
- обжаловать действия Bozorcha в уполномоченном государственном органе Республики Таджикистан по защите персональных данных или в суде.
8.2. Отдельного выключателя аналитики в приложении сейчас нет. Возражение против аналитики можно направить на bozorcha26@gmail.com. Сбор аналитики на устройстве прекращается после удаления приложения.
8.3. Запросы принимаются по контактам из п. 1.3. Мы отвечаем в течение 30 дней, если закон не устанавливает более короткий срок.
9. Как мы защищаем данные
9.1. Связь приложения с сервером шифруется (TLS).
9.2. Токены входа хранятся в защищённом хранилище телефона; на сервере — только их хеши.
9.3. Доступ сотрудников ограничен правами по ролям.
9.4. Резервные копии шифруются, ключ хранится отдельно от сервера.
9.5. Телефоны, имена, адреса, коды и токены не записываются в журналы.
10. Возраст пользователей
Сервис предназначен для лиц от 18 лет. Мы сознательно не собираем данные лиц младше 18 лет. Если мы узнаем, что аккаунт создал человек младше 18 лет, мы удалим аккаунт.
11. Изменение Политики
11.1. Мы можем изменить Политику. Новая редакция публикуется на bozorcha.tj и в приложении с датой вступления в силу. О существенных изменениях мы сообщаем в приложении заранее, до вступления их в силу.
11.2. Политика составлена на русском языке. Может быть добавлена редакция на таджикском языке; при расхождении действует русская редакция.
12. Контакты
Bozorcha, г. Душанбе, Республика Таджикистан. Email: bozorcha26@gmail.com. Чат поддержки — в приложении, раздел «Поддержка».