Условия обработки данных Клиентов

1. Зачем нужен этот документ#

Когда клиент записывается в ваш салон через Bronara, он оставляет имя и телефон. Эти данные попадают в вашу базу клиентов, а Сервис лишь обеспечивает техническую сторону: показывает свободное время, сохраняет запись, напоминает о визите. По закону такая схема требует ясности в том, кто за что отвечает. Этот документ и закрепляет распределение ответственности — чтобы у вас были основания законно вести клиентскую базу, а у Клиентов было понимание, к кому обращаться.

2. Роли сторон#

3. Предмет, объём и срок обработки#

• Цель обработки: обеспечение работы онлайн-записи, расписания, напоминаний, истории визитов и отзывов.
• Категории субъектов: Клиенты бизнеса, записывающиеся через страницу записи.
• Категории данных: имя, номер телефона, детали записи (услуга, мастер, филиал, дата и время, статус визита), история визитов, оценка и текст отзыва.
• Действия с данными: сбор, запись, хранение, изменение, использование для работы Сервиса, обезличивание, блокирование, удаление.
• Срок обработки: пока действует аккаунт бизнеса, а после его удаления — до 90 дней, необходимых для удаления или обезличивания и ротации резервных копий.

Специальные категории данных — сведения о здоровье, биометрия, национальность, религиозные и политические взгляды — Сервисом не запрашиваются и обрабатываться не должны. Не вносите такие сведения в свободные поля, например в заметки о клиенте.

4. Что делает и чего не делает Bronara#

Мы обязуемся:

• Обрабатывать данные Клиентов только для целей из раздела 3 и только в пределах, необходимых для работы Сервиса.
• Не использовать клиентскую базу одного бизнеса в интересах другого и не объединять базы разных бизнесов.
• Не продавать данные Клиентов и не передавать их для сторонней рекламы.
• Ограничивать доступ сотрудников к данным: доступ предоставляется по необходимости и логируется.
• Обеспечивать конфиденциальность и применять меры защиты из раздела 7.
• Помогать вам отвечать на обращения Клиентов и выполнять требования уполномоченных органов.

Мы не обязуемся и не вправе:

• Самостоятельно решать, как бизнесу использовать его клиентскую базу.
• Рассылать Клиентам маркетинговые сообщения от имени бизнеса или от своего имени.
• Оценивать законность целей, для которых бизнес собирает данные своих Клиентов.

5. Обязанности бизнеса#

• Получать согласие Клиентов на обработку их персональных данных в объёме, необходимом для записи, и информировать их о целях обработки.
• Размещать на своей странице записи или сообщать иным способом сведения о том, кто является оператором данных, если этого требует закон.
• Вносить в Сервис только те данные, которые действительно нужны для оказания услуги.
• Не вносить специальные категории персональных данных.
• Своевременно исполнять обращения своих Клиентов об удалении и исправлении данных, в том числе удаляя их в интерфейсе Сервиса.
• Управлять доступом своих сотрудников: своевременно отзывать доступ у уволившихся мастеров.

6. Привлекаемые поставщики#

Для работы Сервиса мы привлекаем поставщиков инфраструктуры. Создавая аккаунт, вы даёте общее согласие на их привлечение. Актуальный перечень:

Основная инфраструктура находится в Республике Казахстан. Часть Сервиса и отдельные вспомогательные поставщики расположены за её пределами, что означает трансграничную передачу данных — подробнее в разделе 6 Политики конфиденциальности. О замене поставщика, существенно влияющей на обработку, мы уведомляем заранее; если вы возражаете, вы вправе расторгнуть договор.

7. Меры защиты#

• Шифрование соединений по HTTPS/TLS для всех страниц и запросов к интерфейсу.
• Хранение паролей только в виде необратимых хэшей.
• Разграничение доступа по ролям: мастер видит своё расписание, владелец — только свой бизнес; доступ к чужим данным исключён на уровне приложения.
• Изоляция служебных портов баз данных и файлового хранилища от внешней сети.
• Регулярное резервное копирование с ротацией копий.
• Ограниченный и контролируемый доступ сотрудников к продуктивной инфраструктуре.

8. Обращения Клиентов#

Если Клиент обращается напрямую к нам с требованием предоставить, исправить или удалить его данные, мы уведомляем бизнес, к которому эти данные относятся, и оказываем техническое содействие. Решение по клиентской базе принимает бизнес как оператор. Если требование прямо адресовано нам законом, мы исполняем его самостоятельно и информируем бизнес.

Мы отвечаем на обращения в срок, установленный законом, — как правило в течение 10 рабочих дней.

9. Инциденты безопасности#

Если мы обнаружим инцидент, затрагивающий данные Клиентов конкретного бизнеса, мы уведомим этот бизнес без неоправданной задержки после того, как убедимся в факте инцидента. В уведомлении будут характер инцидента, затронутые категории данных, принятые меры и рекомендации. Уведомление уполномоченного органа и субъектов данных осуществляется в порядке и сроки, предусмотренные законом.

10. Возврат и удаление данных#

• Пока аккаунт активен, бизнес в любой момент может выгрузить свои данные и удалить отдельные записи и карточки Клиентов.
• При удалении аккаунта данные Клиентов удаляются или обезличиваются в течение 90 дней, включая ротацию резервных копий.
• Данные, которые закон обязывает хранить дольше, сохраняются только в этом объёме и только на требуемый срок.
• Перед удалением аккаунта рекомендуем выгрузить нужные данные: после удаления восстановить их невозможно.

11. Контакты#

Вопросы об обработке данных Клиентов, запросы на выгрузку и удаление, сообщения об инцидентах: hello@bronara.com.