Политика конфиденциальности приложения OD

1. Общие положения

Настоящая Политика описывает, какие персональные данные обрабатывает мобильное приложение OD (далее — «Приложение») — мультипродавцовый маркетплейс для Центральной Азии (Таджикистан, Казахстан). В Приложении доступна только роль покупателя; продавцы работают в отдельных веб-кабинетах.

Оператором обработки является ООО «Паеми Аср» (далее — «Оператор», «мы»). Устанавливая и используя Приложение, вы соглашаетесь с настоящей Политикой. Если вы не согласны — не используйте Приложение.

Данные передаются на собственные серверы Оператора (домен api.odsell.com) по защищённому соединению (HTTPS/TLS), чат — по защищённому WebSocket. Валюта и витрина определяются рынком покупателя (Таджикистан — TJS, Казахстан — KZT), который передаётся служебным заголовком запроса.

2. Термины и определения

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому пользователю.
• Обработка — любые действия с данными: сбор, хранение, использование, передача, удаление.
• Анонимный идентификатор покупателя — случайный идентификатор устройства, позволяющий вести корзину до входа в аккаунт (см. п. 3.8).
• OTP — одноразовый код из SMS для входа.
• Токены доступа — служебные ключи (access/refresh), подтверждающие вход, хранятся на устройстве.

3. Какие данные мы собираем

Ниже — исчерпывающий перечень данных, которые обрабатывает Приложение, сгруппированный по назначению. Приложение не собирает ничего, что не указано в настоящем разделе.

3.1. Учётная запись и вход

Единственный способ входа — номер телефона и одноразовый код из SMS (OTP). Паролей нет. При регистрации указываются: имя (обязательно), фамилия (необязательно), номер телефона (обязательно), email (необязательно). Сервер возвращает профиль (идентификатор, имя, фамилия, телефон, email, роли, признак подтверждения телефона) и пару токенов (access/refresh). Токены хранятся на устройстве в защищённом хранилище iOS (Keychain, ключ «od.auth.session», доступ — после первой разблокировки устройства).

3.2. Профиль

ФИО, пол, email, предпочитаемый способ доставки. Обновляется по одному полю.

3.3. Адреса, заказы и доставка

Адресная книга: город, улица, дом, дополнение к адресу (квартира, подъезд, комментарий), признак адреса по умолчанию.

Заказы: состав заказа, суммы, валюта, выбранный способ доставки, привязанный адрес или пункт выдачи, статусы и история заказов, имя получателя. Последний выбранный вариант доставки дополнительно сохраняется локально на устройстве.

3.4. Платежи

Поддерживаемые способы оплаты: Korti Milli, Alif, DC Wallet, банковская карта, оплата при получении. Приложение сохраняет карту только в маскированном виде — последние четыре цифры, месяц и год окончания срока, платёжная система. Полный номер карты и CVV используются только в момент ввода для определения платёжной системы и проверки корректности, после чего отбрасываются: они не записываются на диск и не отправляются на серверы Оператора. Приложение не является платёжным сервисом; списание выполняют банки и платёжные организации по своим правилам.

3.5. Корзина, избранное, история просмотров

Корзина хранится на сервере и привязана к анонимному идентификатору покупателя либо к аккаунту. Избранное и список недавно просмотренных товаров хранятся локально на устройстве и не передаются на серверы Оператора.

3.6. Поведение в приложении и аналитика ранжирования

Для персонализации выдачи и рекомендаций Приложение фиксирует два типа событий: показ товара в списке и нажатие на товар. В событии передаются: идентификатор события, тип, источник, время, идентификатор товара, идентификатор категории, позиция товара в выдаче и тип списка. События копятся на устройстве и отправляются пакетами (примерно каждые 20 секунд, при накоплении 50 событий или при сворачивании приложения) на собственный сервис аналитики Оператора. Неотправленный пакет отбрасывается. Персональные данные (имя, телефон, email) в события не включаются. Используется только собственная аналитика Оператора — сторонних рекламных или трекинговых SDK нет.

3.7. Пользовательский контент (фотографии и переписка)

Поиск по фото. Вы делаете снимок или выбираете изображение; Приложение сжимает его и загружает на медиа-сервис Оператора, после чего ссылка на изображение передаётся внешнему поставщику каталога (интеграция OpenTrade / Alibaba 1688) для подбора визуально похожих товаров. Таким образом, фотография передаётся третьему лицу за пределы страны (см. раздел 8).

Вложения в чате. В переписке с продавцом можно прикрепить фотографии; они загружаются на серверы Оператора и становятся видны продавцу-адресату.

Доступ к галерее предоставляется через системный выбор фотографий iOS: Приложение получает только те изображения, которые вы выбрали сами, и не имеет доступа ко всей медиатеке.

3.8. Устройство, сессии и технические данные

Анонимный идентификатор покупателя. При первом запуске Приложение генерирует случайный идентификатор и сохраняет его в защищённом хранилище (Keychain, ключ «od.buyer.id»). Он передаётся с каждым запросом и позволяет вести корзину до входа в аккаунт. Важно: значения в Keychain сохраняются при удалении и повторной установке Приложения, поэтому этот идентификатор сохраняется между переустановками.

Сессии устройств. По каждой активной сессии сервер хранит: идентификатор сессии, название устройства, строку User-Agent, IP-адрес, время последнего использования и срок истечения. Вы видите список сессий в Приложении и можете завершать их.

Технические журналы. Приложение пишет системные журналы средствами iOS (в том числе замеры скорости открытия экранов и загрузки изображений). Персональные данные в них не выводятся, журналы остаются на устройстве и наружу не отправляются. Сторонний сервис сбора сбоев не подключён.

3.9. Местоположение

Карта пунктов выдачи и выбор адреса на карте построены на технологии Yandex MapKit. Разрешение на геолокацию запрашивается только уровня «при использовании приложения». Приложение не ведёт фонового отслеживания и не хранит историю перемещений. Запросы определения местоположения, геокодирования адресов (преобразование адреса в координаты и обратно) и построения маршрутов до пунктов выдачи обрабатывает SDK Яндекса, которому эти данные и передаются.

4. Цели, правовые основания и сроки хранения

Сводная таблица обработки. Конкретные сроки хранения уточняются Оператором с учётом требований законодательства.

5. Разрешения устройства и последствия отказа

Приложение запрашивает разрешения только по мере необходимости. При отказе Приложение остаётся работоспособным, но соответствующая функция становится недоступна. Отозвать любое разрешение можно в «Настройках» iOS.

• Камера — для поиска товара по фотографии. Текст запроса в Приложении: «OD Market использует камеру, чтобы сфотографировать товар и найти похожие.» Без доступа поиск по фото через камеру недоступен.
• Фотографии — выбор изображения для поиска по фото и вложений в чат (только выбранные вами фото, без доступа ко всей медиатеке).
• Геолокация — «при использовании приложения». Текст запроса: «OD Market использует геолокацию, чтобы показать ближайшие пункты выдачи и построить маршрут до них.» Без доступа карта работает без автоматического определения вашего местоположения.
• Уведомления — доставка push (статусы заказов, сообщения продавцов, новости). Без разрешения уведомления не приходят.

6. Локальное хранение данных на устройстве

• Keychain: анонимный идентификатор покупателя, токены доступа.
• Настройки: тема оформления, язык, страна/рынок покупателя, фильтр страны происхождения товаров, последний выбранный способ доставки и адрес/ПВЗ, служебные счётчики для запроса оценки приложения.
• Файловый кэш: избранное, недавно просмотренные, кэш ответов сервиса и кэш изображений товаров.

Всё локальное содержимое, кроме Keychain, удаляется вместе с Приложением. Данные Keychain (в т.ч. анонимный идентификатор) сохраняются при переустановке и удаляются при удалении аккаунта (см. раздел 11).

7. Кому и зачем передаются данные

Мы не продаём персональные данные. Данные передаются только для оказания услуги следующим получателям:

• Google LLC — токен устройства и содержимое push-уведомлений (Firebase Cloud Messaging). [ссылка на политику Google]
• Яндекс — данные для работы карт и геокодирования, включая приблизительное местоположение (при вашем разрешении). [ссылка на политику Яндекса]
• Внешние поставщики каталога (OpenTrade / Alibaba 1688) — загруженная вами фотография для поиска визуально похожих товаров. [ссылка на политику поставщика]
• Продавцы маркетплейса — данные для исполнения заказа (имя получателя, контактный телефон, адрес или пункт выдачи, состав заказа) и содержимое переписки в чате.
• Службы доставки и пункты выдачи — данные для вручения заказа.
• Банки и платёжные организации (Korti Milli, Alif, DC Wallet, банки-эквайеры) — данные для проведения платежа.
• Провайдер SMS-рассылки — номер телефона для доставки одноразового кода.
• Провайдер хостинга — размещение серверов.
• Государственные органы — по обоснованному запросу в порядке, установленном законом.

8. Трансграничная передача данных

Часть данных обрабатывается за пределами страны вашего проживания:

• токены и содержимое push-уведомлений — инфраструктурой Google;
• данные карт и приблизительное местоположение — инфраструктурой Яндекса;
• загруженная для поиска по фото фотография — внешним поставщикам каталога (OpenTrade / Alibaba 1688).

Передача осуществляется в объёме, необходимом для оказания услуги, с применением мер защиты.

9. Сроки хранения и порядок уничтожения

Данные хранятся в течение срока действия аккаунта и далее — в объёме, необходимом для выполнения требований законодательства (бухгалтерских, налоговых) и разрешения возможных споров. По истечении срока данные удаляются или обезличиваются. Конкретные сроки по категориям — в таблице раздела 4 (плейсхолдеры уточняются Оператором).

10. Безопасность

• весь сетевой трафик передаётся по защищённому соединению (HTTPS/TLS); чат — по защищённому WebSocket;
• токены доступа хранятся в защищённом хранилище устройства (Keychain);
• подключение к чату авторизуется одноразовым тикетом с коротким сроком жизни (около 60 секунд);
• данные банковских карт хранятся только в маскированном виде; полный номер и CVV на диск не пишутся;
• доступ персонала к данным ограничен и разграничен по ролям.

Приложение использует только стандартное системное шифрование (HTTPS/TLS); собственной криптографии нет.

11. Права пользователя

Вы вправе запросить доступ к своим данным, их исправление, удаление или ограничение обработки, отозвать согласие и подать жалобу в надзорный орган. Для реализации прав обратитесь по контактам из раздела 16.

Удаление аккаунта. В Приложении есть функция полного удаления учётной записи: Профиль → Настройки → Удалить аккаунт. При подтверждении:

• учётные и профильные данные удаляются немедленно, активные сессии и токены аннулируются;
• локальный анонимный идентификатор в Keychain также стирается;
• часть данных, связанных с оплаченными заказами, сохраняется в обезличенном или ограниченном виде в течение срока, установленного бухгалтерским и налоговым законодательством (3 года).

Для пользователей из ЕЭЗ и Великобритании дополнительно применяются права по GDPR: доступ, исправление, удаление, ограничение и возражение против обработки, переносимость данных, отзыв согласия и жалоба в надзорный орган.

12. Данные несовершеннолетних

Приложение не адресовано детям младше 13 лет и не предназначено для целенаправленного сбора их данных. Если вам стало известно, что данные ребёнка были переданы без согласия законного представителя, сообщите нам — мы удалим такие данные.

13. Push-уведомления и рекламные сообщения

Для доставки уведомлений используется Firebase Cloud Messaging (Google). Приложение запрашивает разрешение, получает токен устройства и отправляет на сервер Оператора связку «токен + платформа iOS + идентификатор пользователя». При выходе из аккаунта токен отзывается. Через уведомления приходят статусы заказов, сообщения от продавцов, новости и акции. Модули аналитики и сбора сбоев Firebase не подключены — используется только доставка уведомлений. Отказаться от уведомлений можно в «Настройках» iOS в любой момент.

14. Автоматизированная обработка

Приложение персонализирует витрину и рекомендации на основе обезличенных поведенческих событий (показы и нажатия по товарам, см. п. 3.6). Такая обработка влияет на порядок показа товаров и подборки, но не принимает юридически значимых решений в отношении пользователя и не используется для трекинга в понимании Apple: рекламный идентификатор (IDFA) и запрос App Tracking Transparency отсутствуют, данные не сопоставляются с данными брокеров и не используются для таргетированной рекламы третьих лиц. Ограничить персонализацию можно, отключив соответствующие разрешения и очистив локальные данные.

15. Изменения политики

Мы вправе обновлять настоящую Политику. Актуальная версия публикуется по этому адресу с указанием даты вступления в силу и номера версии. О существенных изменениях мы уведомляем в Приложении.

16. Реквизиты и контакты Оператора

• Оператор: ООО «Паеми Аср»
• Юридический адрес: Таджикистан, г. Душанбе, ул. Рудаки, 53
• ИНН/ЕИН: 020055559
• Email для обращений по защите данных: Safecity88@gmail.com
• Телефон: +992777777771
• Ответственное лицо: —

Настоящая Политика регулируется законодательством Республики Таджикистан (в том числе Законом «О защите персональной информации»); для пользователей из Республики Казахстан применяются также нормы законодательства о персональных данных, а для пользователей из ЕЭЗ и Великобритании — GDPR.