Политика конфиденциальности

1. Общие положения и реквизиты Оператора

Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных (далее — «ПД») пользователей сервиса MyTable, размещённого на сайте mytable.kz (далее — «Сервис»).

Оператор персональных данных:

• Полное наименование: Товарищество с ограниченной ответственностью «ЭФ ЭНД БИ Солюшнс»
• Сокращённое наименование: ТОО «ЭФ ЭНД БИ Солюшнс»
• БИН: 251040007703
• Местонахождение: Казахстан, город Алматы, Алмалинский район, проспект Райымбека, дом 210/12, кв. 22, почтовый индекс 050000
• Ответственный за организацию обработки персональных данных: директор ТОО «ЭФ ЭНД БИ Солюшнс»
• Электронная почта по вопросам обработки ПД: info@mytable.kz (просим указывать в теме письма «персональные данные»)

Настоящая Политика разработана в соответствии с Законом Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года №94-V (далее — «Закон о ПД»).

Используя Сервис, вы подтверждаете, что ознакомлены с настоящей Политикой. Согласие на обработку отдельных категорий ПД оформляется в момент совершения соответствующего действия (регистрация, бронирование, подача заявки).

2. Категории субъектов персональных данных

• Гости — физические лица, осуществляющие бронирование без регистрации либо через зарегистрированный аккаунт;
• Зарегистрированные пользователи Сервиса (B2C-аккаунты);
• Сотрудники ресторанов-партнёров (B2B-аккаунты);
• Контактные лица заявок партнёров (подключение ресторана к платформе).

3. Категории обрабатываемых персональных данных

3.1. ПД гостей:

• Имя, фамилия;
• Номер мобильного телефона;
• Адрес электронной почты (опционально);
• Дата, время и количество гостей бронирования;
• Комментарий к брони (от гостя);
• Заметки администратора ресторана о визите.

3.2. ПД зарегистрированных пользователей (дополнительно):

• Пароль (хранится в форме хэша по алгоритму bcrypt, не подлежит восстановлению в открытом виде);
• История бронирований;
• Список избранных ресторанов;
• Список недавно просмотренных ресторанов (хранится в браузере пользователя).

3.3. ПД сотрудников ресторанов:

• Имя, телефон, адрес электронной почты;
• Роль в системе (владелец, менеджер, хостес);
• Пароль (в форме хэша).

3.4. ПД заявок партнёров:

• Имя и фамилия контактного лица;
• Телефон, email;
• Название ресторана.

3.5. Автоматически собираемые данные:

• IP-адрес;
• Приблизительная геолокация на уровне города (определяется по IP);
• Тип устройства, операционной системы и браузера (user-agent);
• Технические файлы cookie (см. раздел 11).

4. Правовое основание обработки

Обработка ПД осуществляется на следующих основаниях:

• Исполнение договора на оказание услуг Сервиса (статья 9 пункт 5 Закона о ПД) — для бронирований и работы личного кабинета;
• Согласие субъекта (статьи 7-8 Закона о ПД) — для регистрации, рассылок и иных опциональных функций;
• Правомерные интересы Оператора — для обеспечения безопасности и предотвращения мошенничества (журналы доступа);
• Юридические обязательства — при предоставлении ПД по запросу уполномоченных государственных органов.

5. Цели обработки

• Идентификация пользователя при бронировании и регистрации;
• Передача информации о бронировании ресторану-партнёру;
• Связь с пользователем для подтверждения, изменения или отмены брони;
• Ведение истории визитов в личном кабинете;
• Предоставление функционала «избранное» и «недавно просмотренные»;
• Отправка уведомлений о статусе брони (push, email);
• Безопасность Сервиса (защита от мошеннических бронирований, журналирование);
• Анализ работы Сервиса и улучшение качества обслуживания (агрегированные данные).

6. Способ обработки

Обработка ПД осуществляется с использованием средств автоматизации (программное обеспечение, базы данных PostgreSQL, Redis) и без использования средств автоматизации (при ведении записей сотрудниками ресторана-партнёра).

7. Источники получения ПД

• От самого субъекта (при заполнении форм бронирования, регистрации, профиля);
• От ресторана-партнёра (заметки администратора о госте, история визитов);
• Автоматически (cookies, IP-адрес, user-agent).

8. Передача персональных данных третьим лицам

8.1. Оператор передаёт ПД:

• Ресторану-партнёру, в котором осуществляется бронирование, в объёме, необходимом для обслуживания (имя, телефон, email при наличии, дата/время, количество гостей, комментарий);
• Хостинг-провайдеру для размещения инфраструктуры (серверы на территории РК);
• Провайдеру облачного хранилища для резервного копирования данных (Yandex Object Storage, дата-центры на территории РК — см. раздел 9);
• Операторам SMS-сервисов (при использовании SMS-уведомлений);
• Сервису Telegram (при настройке ресторанным партнёром Telegram-уведомлений о новых бронированиях — см. раздел 9);
• Уполномоченным государственным органам по основаниям, предусмотренным законодательством РК.

8.2. Оператор не продаёт ПД и не передаёт их третьим лицам в маркетинговых целях без согласия субъекта.

9. Трансграничная передача персональных данных

9.1. Основная инфраструктура (серверы, базы данных, облачное хранилище резервных копий Yandex Object Storage) Оператора размещена на территории Республики Казахстан.

9.2. Трансграничная передача ПД может осуществляться в следующих случаях:

• При использовании ресторанным партнёром интеграции с мессенджером Telegram — ПД о бронированиях передаются на серверы Telegram Messenger LLP (зарегистрированной за пределами РК);
• При использовании пользователем электронной почты для получения уведомлений — в зависимости от почтового провайдера пользователя.

9.3. Иная трансграничная передача ПД Оператором не осуществляется.

10. Сроки хранения персональных данных

11. Файлы cookie и аналогичные технологии

11.1. Сервис использует следующие категории cookie:

• Строго необходимые (не требуют согласия): user_session, restaurant_session, admin_session — авторизация; staff_role, staff_id — определение роли сотрудника;
• Функциональные (хранятся в браузере пользователя): mytable_favorites, mytable_recently_viewed, mytable_floor_notifications — для удобства интерфейса;
• Аналитические и маркетинговые: на дату публикации Политики не используются. В случае их внедрения пользователь будет уведомлён и сможет дать или отказать в согласии.

11.2. Пользователь вправе удалить cookie через настройки браузера. Отключение строго необходимых cookie сделает невозможным использование защищённых функций Сервиса.

12. Меры защиты персональных данных

Оператор применяет следующие меры:

• Шифрование передаваемых данных по протоколу HTTPS/TLS;
• Хэширование паролей по алгоритму bcrypt;
• Разграничение прав доступа сотрудников по ролям;
• Журналирование действий администраторов;
• Регулярное резервное копирование баз данных;
• Запрет на хранение реквизитов банковских карт и иной платёжной информации на стороне Сервиса.

13. Права субъекта персональных данных

В соответствии со статьёй 24 Закона о ПД субъект имеет право:

1. Получать сведения о наличии у Оператора ПД, относящихся к субъекту, а также знакомиться с такими ПД;
2. Требовать изменения и дополнения ПД при наличии оснований;
3. Требовать блокирования ПД в случае незаконности их обработки;
4. Требовать уничтожения ПД при незаконности их сбора и обработки либо при достижении цели их обработки;
5. Отозвать согласие на сбор и обработку ПД (за исключением случаев, предусмотренных законодательством);
6. Защищать свои права и законные интересы, в том числе в судебном порядке;
7. Получать возмещение убытков и (или) компенсацию морального вреда;
8. Обжаловать действия (бездействие) и решения Оператора.

14. Порядок реализации прав

Обращения принимаются по адресу: info@mytable.kz (просим указывать в теме письма «персональные данные»).

Для рассмотрения обращения требуется:

• Указать ФИО, контактный телефон/email;
• Описать запрос (доступ, исправление, удаление и т.д.);
• При необходимости приложить копию документа, удостоверяющего личность, — для предотвращения раскрытия ПД третьим лицам.

Срок рассмотрения — 30 календарных дней с момента получения обращения.

15. Уведомление об инцидентах

В случае несанкционированного доступа к ПД, утраты или иного инцидента Оператор уведомляет пострадавших субъектов и уполномоченный орган по защите ПД в сроки, установленные законодательством Республики Казахстан.

16. Право жалобы

Субъект вправе подать жалобу в уполномоченный орган по защите персональных данных Республики Казахстан (Комитет по информационной безопасности при Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК) либо в суд по месту жительства субъекта.

17. Обработка персональных данных несовершеннолетних

17.1. Сервис не предназначен для использования лицами, не достигшими 18 лет (см. также раздел 4.3 Пользовательского соглашения). Оператор не осуществляет целенаправленный сбор ПД несовершеннолетних.

17.2. Если Оператору станет известно об обработке ПД несовершеннолетнего без согласия его законного представителя — такие ПД будут удалены в кратчайшие сроки.

17.3. Законные представители несовершеннолетних вправе обратиться по адресу info@mytable.kz (с пометкой «персональные данные») для удаления ПД либо для получения дополнительной информации о порядке обработки.

18. Изменения в Политике

Оператор вправе вносить изменения в настоящую Политику. Существенные изменения публикуются на сайте mytable.kz/privacy не менее чем за 14 календарных дней до их вступления в силу. Уведомление о существенных изменениях направляется зарегистрированным пользователям по электронной почте.

Продолжение использования Сервиса после вступления изменений в силу означает согласие с новой редакцией Политики.