Политика конфиденциальности
Коротко. «Supcore Auto» — рабочая система для автосервисов: детейлингов, моек, СТО. Данные в неё вносит сам автосервис, а мы предоставляем систему и обрабатываем данные по его поручению. В сервисе нет рекламы, рекламных сетей и поведенческой аналитики. Сервер, база и фотографии находятся в Казахстане.
1Кто и за что отвечает
В обработке участвуют две стороны, и различать их важно: от этого зависит, к кому обращаться по своим данным.
- Автосервис — компания, которая завела аккаунт в «Supcore Auto» и вносит в него данные своих клиентов и сотрудников. Она решает, чьи данные вносить, зачем и на каком основании, и является собственником соответствующей базы персональных данных.
- ИП «Мухамеджонова» (ИИН 961120401415), далее — «Оператор». Предоставляет сервис, обеспечивает его работу и сохранность данных и обрабатывает их по поручению автосервиса — в объёме, необходимом для работы системы.
Оператор не использует данные клиентов автосервисов в собственных целях: не рассылает им рекламу, не передаёт их другим автосервисам и не объединяет базы разных компаний между собой.
Вопросы по обработке данных: dzhanbirov@gmail.com
2Кто пользуется сервисом
Аккаунт заводит представитель автосервиса — самостоятельно через форму регистрации или по обращению к Оператору. Учётные записи сотрудников дальше создаёт сам автосервис.
Пользователи сервиса — работники автосервиса: приёмщики, мастера, управляющие, руководитель. У клиентов автосервиса собственных учётных записей нет, в систему они не входят: их данные вносит сотрудник при оформлении заказа.
3Какие данные обрабатываются
| Категория | Состав | Зачем |
|---|---|---|
| Данные при регистрации | Название компании, имя и телефон представителя, город, логин, пароль (хранится необратимым хешем) | Создание аккаунта и подтверждение номера телефона |
| Учётные данные сотрудника | Имя, логин, роль, телефон, токен сессии | Вход в систему и разграничение прав |
| Данные клиентов автосервиса | Имя, фамилия, номера телефонов | Оформление заказа и связь по готовности работ |
| Данные автомобиля | Государственный номер, марка, модель, цвет, год | Идентификация автомобиля в заказе и акте приёма |
| Фотографии | Снимки автомобиля: дефекты при приёмке, фотоотчёты по работам | Фиксация состояния автомобиля и подтверждение выполненных работ |
| Служебные записи | Заказы, задачи, записи на визит, суммы, способ расчёта, расходы, начисления сотрудникам, комментарии | Учёт работ и внутренняя отчётность автосервиса |
| Технические данные | IP-адрес и время входа, журнал действий в системе, токен push-уведомлений устройства | Безопасность доступа, разбор спорных ситуаций, доставка уведомлений |
Данные клиентов и автомобилей сотрудник автосервиса вносит вручную при оформлении заказа. Сервис не считывает их автоматически ни из каких источников на устройстве.
4Кому передаются данные
Оператор не продаёт данные и не передаёт их в маркетинговых целях. Для работы сервиса привлечены обработчики, каждый — в своей узкой роли:
| Кто | Что получает | Зачем |
|---|---|---|
| Объектное хранилище (Казахстан) | Файлы фотографий | Хранение снимков приёмки и фотоотчётов |
| Оператор SMS-рассылки (Казахстан) | Номер телефона и код подтверждения | Отправка SMS при регистрации и подтверждении номера |
| Служба доставки push-уведомлений (за пределами Республики Казахстан) | Технический токен устройства и текст уведомления, который может содержать марку и модель автомобиля по задаче | Доставка push-уведомлений на телефоны сотрудников |
Доставка push-уведомлений выполняется зарубежным сервисом, поэтому эта передача является трансграничной. Она ограничена текстом уведомления и техническим токеном устройства; имена и телефоны клиентов автосервиса в push-уведомления не попадают. Сотрудник может отключить уведомления в настройках телефона — на работу остальной системы это не влияет.
Помимо этого, данные предоставляются уполномоченным государственным органам в случаях и в порядке, предусмотренных законодательством Республики Казахстан.
5Где хранятся данные и как защищены
Сервер и база данных находятся в Казахстане, фотографии — в казахстанском объектном хранилище. Обмен между приложением, веб-версией и сервером идёт по защищённому соединению HTTPS.
Пароли хранятся необратимыми хешами: восстановить исходный пароль из базы нельзя, Оператор его не видит.
Данные разных автосервисов разделены на уровне самой системы: записи каждой компании привязаны к её аккаунту, и сотрудник одной компании не имеет технической возможности увидеть записи другой.
На устройстве мобильное приложение хранит только токен сессии — в защищённом системном хранилище (SecureStore, Android Keystore). При выходе из учётной записи токен удаляется.
6Разрешения устройства
Мобильное приложение запрашивает минимальный набор разрешений и только в момент, когда они действительно нужны:
- Камера — чтобы снять дефекты при приёмке автомобиля и фотоотчёт по выполненной работе. Запрашивается при первой попытке сделать снимок.
- Доступ к фотографиям — чтобы прикрепить к заказу уже сделанный снимок из галереи. Приложение получает только выбранный сотрудником файл и не просматривает галерею целиком.
Приложение не запрашивает доступ к геолокации, контактам, микрофону, календарю, SMS и списку звонков.
7Чего сервис не делает
- Не содержит рекламы и рекламных SDK.
- Не содержит систем поведенческой аналитики и не отслеживает пользователя за пределами сервиса.
- Не формирует рекламный идентификатор и не передаёт данные рекламным сетям.
- Не продаёт данные и не передаёт их третьим лицам в маркетинговых целях.
- Не обрабатывает платежи клиентов автосервиса: способ расчёта фиксируется отметкой в учёте, реквизиты карт в систему не вводятся и не хранятся.
8Сроки хранения
Пока у автосервиса действует аккаунт, внесённые данные хранятся в нём: заказы, акты и фотоотчёты нужны для учёта и разрешения споров по выполненным работам.
Автоматического удаления фотографий по сроку сервис не выполняет: снимок приёмки — доказательство в возможном споре с клиентом, и удалять его без ведома владельца нельзя. Сервис показывает автосервису, сколько снимков старше выбранного срока хранения, а решение об удалении принимает сам автосервис.
После прекращения обслуживания данные аккаунта удаляются вместе с ним — по обращению автосервиса либо в срок, о котором стороны договорились. Документы, которые автосервис обязан хранить по законодательству о бухгалтерском учёте, остаются у него самого.
9Права субъектов данных
Человек, чьи данные внесены в систему — клиент автосервиса или его сотрудник, — вправе запросить сведения об обработке своих данных, их уточнение, блокирование или удаление.
Обращаться следует в тот автосервис, который эти данные внёс: именно он решает их судьбу. Если это невозможно или автосервис не отвечает, напишите Оператору на dzhanbirov@gmail.com — Оператор поможет связаться с автосервисом либо выполнит удаление по его поручению. Ответ предоставляется в сроки, установленные законодательством Республики Казахстан о персональных данных и их защите.
Сотрудник вправе запросить удаление своей учётной записи у своего работодателя; учётная запись деактивируется, при этом записи о выполненных работах сохраняются как часть первичного учёта автосервиса.
10Дети
Сервис предназначен для работы автосервисов и не адресован лицам младше 18 лет. Оператор не собирает осознанно данные детей.
11Изменения политики
Оператор может обновлять настоящую политику. Актуальная редакция всегда доступна по этому адресу, дата редакции указана в начале документа. О существенных изменениях Оператор сообщает автосервисам.
12Контакты
ИП «Мухамеджонова»
ИИН 961120401415
Республика Казахстан, г. Шымкент, ул. Алимбетова, 45 «В», кв. 66
Электронная почта: dzhanbirov@gmail.com
supcore.kz.