Политика конфиденциальности

Для бизнесов, которые подписаны на Pitly, мы — контролёр: мы решаем, как обращаться с данными аккаунта, компании и оплаты, и эта политика регулирует их напрямую.

Для данных, которые эти бизнесы хранят о своих клиентах — имена, телефоны, автомобили, заказы, фотографии, сообщения в чате — контролёром является сам бизнес, а мы только обработчик. Он решает, что собирать и как долго хранить; мы даём инструмент и действуем по его указаниям.

Платформа мультиарендная: каждая запись принадлежит ровно одной компании, запросы проверяются на принадлежность к ней, и ни один бизнес не может прочитать данные другого. Мы не используем клиентские данные наших заказчиков в собственных целях.

Список ниже составлен по фактической модели данных платформы, категория за категорией. Если какой-то категории здесь нет — её нет и в продукте.

Там, где в строке о сроке хранения сказано, что срок пока не реализован, это правда буквально: программа хранит такие записи, пока кто-нибудь их не удалит. Установить конкретные сроки хранения — один из открытых вопросов, который нужно решить до запуска.

У любого бизнеса на Pitly может быть публичная страница, где записаться на время может кто угодно — без аккаунта и без пароля.

Форма спрашивает только то, что нужно бизнесу, чтобы забронировать за вами время и связаться с вами:

• ваше имя;
• ваш номер телефона;
• ваш адрес электронной почты;
• выбранные вами филиал, услугу и время начала;
• необязательное сообщение бизнесу.

Согласие обязательно: без отметки в поле согласия запись не принимается, а момент согласия сохраняется в вашей карточке клиента у этого бизнеса. Если у бизнеса уже есть клиент с вашим email — или с тем же телефоном и именем — запись привязывается к нему, иначе создаётся новая карточка клиента. Для бизнеса создаётся подтверждённый заказ-наряд, и ваше сообщение копируется в него. Учётная запись для входа вам не создаётся, и данных об автомобиле форма не спрашивает.

Виджету чата на публичной странице нужны только ваше сообщение и язык. Имя и email указывать необязательно, они нужны лишь для того, чтобы бизнес знал, кто пишет.

Ваш браузер хранит случайный токен, который позволяет вернуться к переписке; у себя мы храним только его необратимый хеш, поэтому с нашей стороны переписку нельзя связать с вами. Переписку видят владелец и менеджеры этого бизнеса — у мастеров доступа нет. Отправка первого сообщения фиксирует ваше согласие.

Чат не предназначен для чувствительных данных: не отправляйте через него номера платёжных карт, номера документов и сведения о здоровье. История чата сейчас хранится без срока.

В зависимости от данных обработка опирается на одно из следующих оснований:

• исполнение договора — аккаунт, подписка и всё, что нужно, чтобы предоставить платформу бизнесу (ст. 6(1)(b));
• согласие — онлайн-запись и переписка в чате как посетитель; отозвать его можно в любой момент (ст. 6(1)(a));
• законные интересы — поддержание доступности и безопасности сервиса, ограничение частоты публичных запросов, защита от злоупотреблений (ст. 6(1)(f));
• правовая обязанность — бухгалтерский и налоговый учёт, когда заработает оплата (ст. 6(1)(c)).

Записи бизнеса и его клиентов хранятся столько, сколько их хранит сам бизнес; платформа не удаляет их сама.

А вот эти сроки программа соблюдает уже сегодня:

• письма в очереди: удаляются через 24 часа после успешной доставки и через 7 дней после окончательной неудачи;
• журнал доставки, который не даёт отправить одно и то же письмо дважды: 7 дней;
• сессии входа: заканчиваются вместе с refresh-токеном, по умолчанию через 30 дней, и удаляются в момент выхода;
• счётчики ограничения частоты запросов по IP-адресу: одна минута, только в памяти сервера.

Для аккаунтов, клиентов, автомобилей, заказов, фотографий и переписок в чате автоматического срока хранения в продукте пока нет. Конкретные сроки нужно определить вместе с инструментами удаления, описанными ниже, и тогда этот раздел будет обновлён.

Фотографии, прикреплённые к заказ-наряду, хранятся в собственном файловом хранилище платформы под внутренним ключом. Они не публикуются в открытое хранилище, и ссылки, которой можно поделиться, не существует: каждое изображение отдаётся только в ответ на авторизованный запрос сотрудника компании, которой принадлежит заказ, а мастер видит лишь назначенные ему заказы.

Каждый файл может весить до 15 МБ, а к заказу можно приложить до 30 фотографий; исходное имя файла сохраняется вместе с изображением. Когда сотрудник удаляет фотографию, стираются и запись в базе, и сам файл.

Письма отправляются через обычный SMTP-сервер и ждут в очереди в нашем кеше, пока не будут доставлены. Письмо в очереди содержит адрес получателя, шаблон, язык и контакты бизнеса, от имени которого оно отправляется. Адреса получателей попадают также в логи сервера, когда доставка не удаётся.

Каждое письмо написано на языке получателя и несёт в подвале контакты бизнеса и ссылку на эту политику.

На дату, указанную выше, единственное письмо, которое умеет отправлять платформа, — тестовое, которое владелец отправляет на свой же адрес. Подтверждения записи, напоминания и другие письма клиентам ещё разрабатываются; этот раздел будет обновлён, когда они появятся.

Мы не продаём персональные данные и не передаём их для рекламы. Они раскрываются только:

• бизнесу, на странице которого вы записались или которому написали, — для данных своих клиентов контролёр именно он;
• инфраструктурным провайдерам, которые размещают серверы, базу данных, кеш и файловое хранилище;
• провайдеру сервера исходящей почты;
• государственным органам, когда закон обязывает нас передать данные.

Договоры с конкретными поставщиками ещё не заключены, поэтому назвать их здесь мы не можем; они будут перечислены поимённо в этом разделе до запуска. Чего платформа заведомо не использует сегодня: ни аналитики и трекинговых скриптов, ни рекламных сетей, ни платёжного провайдера, ни SMS-провайдера, ни сервиса отслеживания ошибок, ни встроенных чужих карт — ссылка на карту на странице компании это обычная внешняя ссылка, а не фрейм, загружающий чужой код.

Платформа и её резервные копии работают внутри Европейского союза. Каждый инфраструктурный провайдер, с которым мы работаем, обязан предлагать регион в ЕС, и мы выбираем именно его.

Передача персональных данных за пределы ЕС и ЕЭЗ не планируется. Если она когда-нибудь понадобится, она будет защищена мерами, которых требует GDPR, — например, стандартными договорными положениями, — и этот документ скажет об этом до того, как это произойдёт.

В платформу встроены следующие меры:

• пароли хранятся только как bcrypt-хеши с высоким фактором сложности — в читаемом виде они не хранятся никогда, восстановить их нельзя, можно только сбросить;
• токены доступа живут недолго (по умолчанию 15 минут), сессии хранятся в кеше и отзываются в момент выхода пользователя;
• каждый запрос проверяется на принадлежность к компании, которой принадлежат данные, а роли определяют, что видит владелец, что менеджер и что мастер;
• загруженные файлы адресуются по внутреннему ключу с защитой от выхода за пределы каталога и отдаются только авторизованным сотрудникам;
• публичные точки — страница компании, свободное время, онлайн-запись и чат — ограничены по частоте запросов с одного IP-адреса.

Этот сайт не использует аналитические, рекламные и профилирующие cookie. Единственный cookie, который он ставит, запоминает выбранный вами язык, чтобы в следующий раз сайт открылся на нём. API не ставит cookie вообще.

Дашборд хранит ваши токены входа в браузере, а виджет чата хранит там же токен переписки. Очистка данных сайта в браузере удаляет и то и другое — а вместе с токеном чата и ваш доступ к той переписке из этого браузера.

По GDPR вы имеете право на:

• доступ — узнать, обрабатываются ли ваши данные, и получить их копию;
• исправление — потребовать исправить неточные данные;
• удаление — потребовать удалить ваши данные, если нет причин их хранить;
• ограничение — приостановить обработку на время спора;
• возражение — возразить против обработки, основанной на законных интересах;
• переносимость — получить свои данные в машиночитаемом формате;
• отзыв согласия — в любой момент, без ущерба для того, что было законным до отзыва.

Если ваши данные хранит бизнес, который пользуется Pitly, — потому что вы записались к нему, написали ему или обслуживали у него машину — пишите сначала этому бизнесу. Контролёр он, и решает он. Мы ему помогаем и пересылаем запросы, которые попали к нам по ошибке.

По вашему собственному аккаунту Pitly пишите нам на адрес в конце этого документа. Мы отвечаем в течение одного месяца, как того требует GDPR.

Вы также можете подать жалобу в орган по защите данных страны, где вы живёте или работаете.

Что уже работает само: клиент выгружает свои данные из кабинета одной кнопкой, а сервис выгружает и стирает карточку клиента прямо из дашборда — стирание анонимизирует персональные данные, включая фотографии заказ-нарядов. Что мы всё ещё делаем руками: удаление вашего собственного аккаунта Pitly и переписки в поддержке; напишите нам, и мы выполним это в срок, который требует GDPR.

Pitly — инструмент для бизнеса, он не адресован детям; заведомо мы не собираем данные о них. Если бизнес вносит данные несовершеннолетнего как своего клиента, за наличие правового основания отвечает этот бизнес.

Продукт меняется, меняется и этот документ; дата вверху всегда показывает последнее существенное изменение. О существенных изменениях владельцам аккаунтов сообщается по электронной почте до того, как они вступят в силу.

Вопросы об этой политике или о данных, которые мы храним о вас: пишите на [email protected].

Отдельный специалист по защите данных не назначен. Запросы идут на тот же адрес, и их обрабатывает команда, отвечающая за платформу.

Оператор Pitly — Vexus OÜ, регистрационный код 16561054, номер НДС EE102530805, Kreenholmi tn 30-83, 20206 Narva, Эстония. Надзорный орган — Инспекция по защите данных Эстонии (Andmekaitse Inspektsioon, aki.ee); жалобу можно подать и в надзорный орган своей страны.