1. Общие положения
1.1. Настоящая Политика конфиденциальности (далее — «Политика») разработана в соответствии с Конституцией Республики Казахстан, Законом Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V, Гражданским кодексом Республики Казахстан и иными нормативно-правовыми актами Республики Казахстан, регулирующими порядок сбора, обработки, хранения и защиты персональных данных.
1.2. Политика устанавливает порядок обработки и защиты персональных данных Субъектов персональных данных (далее — «Пользователи», «Субъекты»), посещающих интернет-сайт https://shukirclub.kz (далее — «Сайт»), пользующихся сервисами личного кабинета на поддомене https://account.shukirclub.kz, владеющих физической клубной картой Shukir Club, а равно обращающихся в службу поддержки и оператора через любые доступные каналы связи.
1.3. Использование Сайта, регистрация в личном кабинете, активация физической клубной карты, а также любое иное взаимодействие Пользователя с Оператором в рамках клубной программы Shukir Club означает безусловное и безотзывное согласие Пользователя с условиями настоящей Политики и Договором публичной оферты, опубликованным на Сайте по адресу https://shukirclub.kz/offer.
1.4. В случае несогласия с условиями настоящей Политики Пользователь обязан незамедлительно прекратить использование Сайта, сервисов клубной программы и удалить с устройств соответствующее программное обеспечение, в том числе клиентские приложения и веб-расширения.
1.5. Оператор оставляет за собой право вносить изменения в настоящую Политику в одностороннем порядке. Актуальная редакция Политики всегда доступна по адресу https://shukirclub.kz/privacy. Продолжение использования Сайта после публикации изменений означает согласие Пользователя с новой редакцией.
2. Оператор персональных данных
2.1. Оператором персональных данных, осуществляющим сбор, обработку и хранение персональных данных Пользователей, является:
- Наименование: [ИП/ТОО: полное наименование и БИН/ИИН подлежат указанию правообладателем];
- Юридический адрес: [ИП/ТОО: юридический адрес];
- Фактический адрес: Республика Казахстан, г. Астана, ул. Пушкина, дом 80, помещение МП-5;
- Контактные данные для запросов субъектов персональных данных: посредством чата поддержки на Сайте либо письменным обращением по фактическому адресу.
3. Категории Субъектов и собираемые данные
3.1. Оператор осуществляет обработку следующих категорий персональных данных Пользователей:
- Идентификационные данные: фамилия, имя, отчество (при наличии), дата рождения (при добровольном предоставлении);
- Контактные данные: номер мобильного телефона, в том числе подтверждённый посредством одноразового пароля в мессенджере WhatsApp;
- Данные клубной карты: номер карты, токен активации, статус карты, дата выдачи и активации;
- Финансовые сведения: история пополнений, покупок, возвратов, текущий баланс в Shukir Coin, ссылки и идентификаторы платежей в платёжных системах;
- Технические данные: IP-адрес, User-Agent браузера, идентификаторы сессий, файлы cookie, время и продолжительность сессий, страницы, посещённые в рамках Сайта;
- Содержание обращений в службу поддержки: тексты сообщений, прикреплённые файлы, время и канал обращения;
- Геолокационные данные — только в случае добровольного предоставления Пользователем.
4. Источники получения данных
4.1. Персональные данные предоставляются Пользователем самостоятельно при заполнении форм на Сайте, при активации физической клубной карты, при взаимодействии с сотрудниками склада, при оплате услуг и при обращении в службу поддержки.
4.2. Часть технических данных собирается автоматически посредством стандартных механизмов веб-сервера, систем учёта сессий и файлов cookie. Получение указанных данных является необходимым условием функционирования Сайта и не может быть исключено без потери его работоспособности.
5. Цели обработки
5.1. Оператор осуществляет обработку персональных данных исключительно в следующих целях:
- идентификация и аутентификация Пользователя в личном кабинете;
- выпуск, выдача, активация и обслуживание физической клубной карты Shukir Club;
- обработка операций пополнения и расходования баланса карты, формирование истории операций;
- осуществление взаиморасчётов с платёжными системами и банками-эквайерами;
- обеспечение работы службы поддержки, обработка обращений и жалоб;
- информирование о статусе карты, операциях, акциях и изменениях в работе клуба;
- обеспечение информационной безопасности, выявление и предотвращение мошеннических операций, включая попытки повторной привязки уже активированной карты к стороннему аккаунту;
- исполнение обязанностей, возложенных на Оператора законодательством Республики Казахстан, в том числе налогового, бухгалтерского и финансового учёта.
6. Правовые основания обработки
6.1. Правовыми основаниями для обработки персональных данных являются:
- согласие Субъекта, выраженное путём совершения конклюдентных действий по использованию Сайта и сервисов клуба;
- необходимость исполнения Договора публичной оферты, стороной которого выступает Субъект;
- необходимость защиты законных интересов Оператора, в том числе для расследования инцидентов безопасности и противодействия мошенничеству;
- исполнение обязанностей, прямо возложенных на Оператора нормативно-правовыми актами Республики Казахстан.
7. Сроки хранения
7.1. Персональные данные обрабатываются и хранятся в течение сроков, необходимых для достижения целей обработки, но не дольше сроков, установленных законодательством Республики Казахстан.
7.2. Сведения об операциях по карте, бухгалтерская и налоговая документация хранятся в течение пяти лет с момента совершения операции либо иного срока, установленного действующим законодательством.
7.3. Технические журналы, журналы аудита и сведения о попытках мошеннических операций хранятся в течение не менее трёх лет с момента события.
7.4. Содержание чатов поддержки хранится в течение одного года с даты последнего сообщения, после чего подлежит автоматическому удалению либо обезличиванию.
7.5. По истечении установленных сроков хранения персональные данные подлежат уничтожению либо обезличиванию способами, исключающими возможность их восстановления.
8. Передача персональных данных третьим лицам
8.1. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных настоящей Политикой и законодательством Республики Казахстан.
8.2. Для целей оказания услуг и обеспечения функционирования сервисов клуба Оператор привлекает следующих процессоров (обработчиков) персональных данных:
- Green API (https://green-api.com) — для отправки одноразовых паролей и сервисных сообщений посредством мессенджера WhatsApp, а также для дублирования переписки с операторами поддержки;
- Платёжные системы и банки-эквайеры, в том числе АО «Kaspi Bank» и Freedom Pay — для обработки платежей по пополнению клубной карты;
- Поставщик услуг хостинга, обеспечивающий размещение Сайта и баз данных Оператора;
- Уполномоченные государственные органы Республики Казахстан — в случаях и в порядке, прямо предусмотренных законодательством.
8.3. Передача персональных данных привлечённым процессорам осуществляется на основании заключённых договоров, предусматривающих обязательства по обеспечению конфиденциальности и безопасности.
9. Трансграничная передача
9.1. В отдельных случаях персональные данные могут передаваться на территорию иностранных государств, обеспечивающих адекватный уровень защиты прав Субъектов персональных данных в соответствии с законодательством Республики Казахстан.
9.2. Трансграничная передача осуществляется в минимальном объёме, необходимом для функционирования сервисов мессенджера WhatsApp, систем антифрода и хостинговой инфраструктуры.
10. Меры безопасности
10.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.
10.2. К числу применяемых мер относятся: шифрование канала связи (TLS), хеширование паролей и иной чувствительной информации, ограничение доступа к данным по принципу наименьших привилегий, ведение журналов аудита, использование механизмов CSRF-защиты и противодействия автоматизированным запросам, а также регулярное резервное копирование.
10.3. Попытка повторной привязки уже активированной клубной карты к стороннему телефонному номеру фиксируется в журнале аудита и подлежит проверке менеджерами службы поддержки в целях защиты прав владельца карты.
11. Права Субъекта персональных данных
11.1. Субъект персональных данных вправе:
- получать сведения о наличии у Оператора своих персональных данных, а также знакомиться с такими данными;
- требовать уточнения, блокирования или уничтожения своих персональных данных в случае их неполноты, устарелости, неточности, незаконного получения или отсутствия необходимости в их использовании заявленным целям обработки;
- отзывать ранее данное согласие на обработку персональных данных, за исключением случаев, когда обработка осуществляется на иных правовых основаниях;
- обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных Республики Казахстан либо в судебном порядке.
11.2. Запрос Субъекта подлежит рассмотрению в срок, не превышающий тридцати календарных дней с даты его получения.
12. Контакты для запросов и порядок обращения
12.1. Запросы, заявления и обращения по вопросам обработки персональных данных направляются Субъектом одним из следующих способов:
- через защищённый чат поддержки, доступный в правом нижнем углу любой страницы Сайта;
- письменным обращением по фактическому адресу Оператора: Республика Казахстан, г. Астана, ул. Пушкина, дом 80, помещение МП-5.
12.2. Обращение должно содержать сведения, достаточные для идентификации Субъекта (в том числе номер мобильного телефона, привязанный к клубной карте), описание сути запроса и желаемого способа получения ответа.
12.3. Анонимные обращения рассмотрению не подлежат, за исключением случаев, когда такая обязанность прямо возложена на Оператора законодательством Республики Казахстан.