Политика конфиденциальности

1. Кто отвечает за ваши данные

Оператором (контролёром) ваших персональных данных является Miyav, адрес: Baku, Azerbaijan («Miyav», «мы»). По любым вопросам конфиденциальности пишите нам на privacy@miyav.site.

Сейчас мы не обязаны назначать инспектора по защите данных (DPO). Если мы начнём предлагать сервис жителям Европейского союза в значительном масштабе, мы назначим представителя в ЕС согласно статье 27 GDPR и укажем его данные здесь. До тех пор обращайтесь к нам по адресу privacy@miyav.site.

2. Какие данные мы собираем

Мы собираем данные, которые вы нам предоставляете, данные, возникающие при использовании Miyav, и небольшой объём технических данных. Мы не покупаем данные о вас у других компаний.

• Данные аккаунта: имя, адрес электронной почты, номер телефона (подтверждается SMS-кодом), район Баку, язык, необязательное фото профиля и пароль. Пароль хранится только в виде необратимого хеша bcrypt и никогда в читаемом виде.
• Данные о питомце: кличка, вид, порода, размер, возраст, заметки по уходу и необязательное фото.
• Данные профиля ситтера: заголовок, описание, услуги и цены, район, опыт, фотографии, календарь доступности, а также полученные рейтинг и отзывы.
• Данные проверки ситтера: фотографии документа, удостоверяющего личность, и ответы на тест по уходу за животными. Документы проверяют наши сотрудники, и после решения мы их удаляем. Сохраняется только результат (одобрено или не одобрено).
• Данные о бронированиях: запросы и их статус, даты, услуги, цены, отчёты о визитах и прогулках (фото, заметки и длительность), отзывы, споры, жалобы и заблокированные вами пользователи.
• Сообщения: то, что вы пишете во встроенном чате. До подтверждения бронирования контактные данные в сообщениях могут автоматически скрываться.
• Платёжные данные: статус платежа, суммы, последние 4 цифры карты и идентификаторы платёжного провайдера. Данные карты вы вводите на странице платёжного провайдера. Miyav никогда не видит и не хранит полный номер вашей карты.
• Данные для выплат (ситтеры): токен карты и последние 4 цифры или IBAN. IBAN хранится в зашифрованном виде.
• Технические данные: IP-адрес и сведения о браузере в журналах безопасности сервера, а также данные для ограничения повторных попыток входа.
• Cookie: только строго необходимые файлы cookie, описанные в нашей Политике cookie.

3. Зачем мы используем данные и правовые основания

Когда применяется GDPR ЕС или Великобритании, для каждого использования данных нам нужно правовое основание. Мы используем ваши данные только для перечисленных ниже целей.

Мы не используем ваши данные для автоматизированных решений или профилирования, которые влекут для вас юридические или аналогично значимые последствия. Решение о проверке ситтера принимают сотрудники, а не алгоритмы.

• Создание и ведение аккаунта, показ профилей ситтеров, обработка бронирований, платежей, выплат, сообщений, отчётов о визитах и отзывов. Основание: исполнение договора с вами (ст. 6(1)(b) GDPR).
• Ведение финансового, бухгалтерского и налогового учёта. Основание: юридическая обязанность (ст. 6(1)(c) GDPR).
• Обеспечение безопасности сервиса: журналы безопасности, ограничение попыток входа, предотвращение мошенничества, проверка ситтеров, модерация контента, отзывов, споров и жалоб. Основание: наш законный интерес в безопасной и надёжной площадке (ст. 6(1)(f) GDPR).
• Отправка служебных сообщений об аккаунте и бронированиях по электронной почте, SMS и в уведомлениях приложения. Основание: исполнение договора с вами.
• Необязательные данные, например фото профиля и питомцев, если мы просим вашего согласия. Основание: согласие (ст. 6(1)(a) GDPR). Вы можете в любой момент отозвать согласие, удалив эти данные; это не влияет на прежнее использование.

4. Кому мы передаём данные

Мы передаём персональные данные только тогда, когда это необходимо для работы сервиса, и только следующим получателям:

• Другой стороне бронирования: ситтер видит данные о вашем питомце и ваше имя (без фамилии); контактные данные передаются после подтверждения бронирования. Владелец видит профиль ситтера и отчёты о визитах.
• Хостинг-провайдеру, который хранит сайт и базу данных в дата-центре.
• Платёжному провайдеру, который обрабатывает платежи по картам и выплаты.
• SMS-провайдеру, который доставляет коды подтверждения и сообщения о бронированиях.
• Провайдеру доставки электронной почты, который отправляет служебные письма.
• Государственным органам, судам или правоохранительным органам, когда этого требует закон.
• Покупателю или правопреемнику, если Miyav будет реорганизован, объединён или продан, с сохранением описанных здесь гарантий.

5. Что является публичным

Профили ситтеров публичны: любой посетитель miyav.site может видеть имя ситтера в профиле, заголовок, описание, услуги и цены, район, опыт, фотографии, доступность, рейтинг и отзывы.

Отзывы владельцев показываются в профиле ситтера. Пожалуйста, не указывайте личную информацию в отзывах и текстах профиля.

6. Мы не продаём ваши данные

Мы не продаём персональные данные и не «передаём» их для межконтекстной поведенческой рекламы в том смысле, в каком эти термины определены в законах штатов США о конфиденциальности. Мы не используем рекламные или отслеживающие cookie и не позволяем третьим лицам отслеживать вас на miyav.site.

Наши поставщики услуг (обработчики) могут использовать ваши данные только для оказания услуг нам, на основании письменных договоров.

7. Международная передача данных

Ваши данные могут храниться или обрабатываться за пределами страны вашего проживания, например нашими провайдерами хостинга, платежей, SMS или электронной почты.

Когда применяется GDPR, мы передаём данные за пределы Европейской экономической зоны только в страны, в отношении которых Европейская комиссия приняла решение о достаточности защиты, или на основании одобренных Комиссией Стандартных договорных условий, при необходимости с дополнительными мерами защиты. Копию этих гарантий можно запросить по адресу privacy@miyav.site.

8. Как долго мы храним данные

Мы храним данные только столько, сколько они нужны:

• Данные аккаунта и профиля: до удаления аккаунта.
• После удаления аккаунта: профиль обезличивается, питомцы, фотографии и аватар удаляются. Записи о бронированиях, платежах и учётные записи хранятся столько, сколько требует бухгалтерское и налоговое законодательство, обычно 5 лет.
• Документы проверки ситтеров: удаляются после решения; сохраняется только результат.
• Уведомления в приложении: 12 месяцев.
• Журнал доставки SMS: 6 месяцев.
• Журналы безопасности сервера (IP-адрес, сведения о браузере): 14 дней.

9. Как мы защищаем данные

Ни одна система не защищена абсолютно. В случае утечки персональных данных мы уведомим компетентный надзорный орган в течение 72 часов, если этого требует GDPR, а затронутых пользователей — без неоправданной задержки, если утечка может создать для них риск.

• Шифрование HTTPS на всех страницах с HSTS.
• Пароли хранятся в виде хешей bcrypt и проверяются по спискам известных утёкших паролей.
• Аккаунты сотрудников защищены двухфакторной аутентификацией.
• Чувствительные поля, например IBAN, хранятся в зашифрованном виде.
• Доступ к персональным данным есть только у сотрудников, которым он нужен для работы.
• Ограничение частоты запросов защищает вход и другие чувствительные действия от злоупотреблений.

10. Ваши права

В зависимости от места проживания, в том числе согласно GDPR и Закону Азербайджанской Республики «О персональных данных», у вас есть следующие права:

Чтобы воспользоваться правом, для которого в аккаунте нет кнопки, напишите нам на privacy@miyav.site. Для защиты аккаунта мы проверим вашу личность перед выполнением запроса — обычно попросим написать с адреса электронной почты аккаунта или подтвердить код. Мы стараемся отвечать в течение 30 дней. Если применяется GDPR, мы отвечаем не позднее чем через один месяц; для сложных запросов срок может быть продлён ещё на два месяца, о чём мы вам сообщим. Использование прав бесплатно.

Если вы считаете, что мы обрабатываем ваши данные незаконно, вы можете подать жалобу в надзорный орган. В ЕС это орган по защите данных страны вашего проживания, работы или предполагаемого нарушения. В Азербайджане вы можете обратиться в соответствующий государственный орган, ответственный за защиту персональных данных. Мы будем благодарны, если вы сначала дадите нам возможность решить вопрос по адресу privacy@miyav.site.

• Доступ и копия: получить копию своих данных. Вы можете сами скачать их в формате JSON через «Скачать мои данные» в настройках аккаунта.
• Исправление: исправить неточные данные. Большинство данных можно отредактировать самостоятельно в профиле.
• Удаление: удалить данные через «Удалить мой аккаунт» в настройках аккаунта. Удаление невозможно, пока есть активное бронирование, а некоторые записи хранятся по требованию закона (см. «Как долго мы храним данные»).
• Ограничение: попросить ограничить использование данных, например на время проверки жалобы.
• Возражение: возразить против использования, основанного на нашем законном интересе.
• Переносимость: получить данные в структурированном машиночитаемом формате (выгрузка JSON).
• Отзыв согласия: в любой момент для использования на основании согласия, без влияния на прежнее использование.

11. Уведомление для жителей США

Этот раздел содержит дополнительную информацию, которую требуют Закон Калифорнии о защите конфиденциальности потребителей (CCPA) с изменениями CPRA и аналогичные законы штатов США. За последние 12 месяцев мы собирали следующие категории персональной информации — от вас, от других пользователей (например, отзывы и сообщения), от платёжного провайдера и автоматически с вашего устройства:

Мы используем эти категории для целей из раздела «Зачем мы используем данные» и раскрываем их только получателям из раздела «Кому мы передаём данные». Каждая категория хранится в сроки из раздела «Как долго мы храним данные». Мы не продаём и не передаём (share) персональную информацию и не располагаем сведениями о продаже или передаче данных потребителей младше 16 лет.

Вы имеете право знать, какую персональную информацию мы собираем, используем и раскрываем; удалить её; исправить её; отказаться от её продажи или передачи (мы не делаем ни того, ни другого); ограничить использование чувствительной персональной информации. Чувствительную информацию (документы, удостоверяющие личность) мы используем только для проверки ситтеров — это разрешённая цель, поэтому ограничивать нечего. Мы не будем дискриминировать вас за использование этих прав, например отказывать в сервисе или устанавливать иные цены.

Воспользоваться правами можно в настройках аккаунта или по адресу privacy@miyav.site. Вы также можете действовать через уполномоченного представителя; мы запросим подписанное вами письменное разрешение и можем попросить вас напрямую подтвердить личность. Согласно законам штатов США мы отвечаем в течение 45 дней; если потребуется больше времени, мы можем продлить срок ещё на 45 дней и сообщим причину.

Если мы отклоним ваш запрос, вы можете обжаловать это решение, написав на privacy@miyav.site с темой «Privacy appeal». Мы ответим письменно в сроки, установленные законом вашего штата, и объясним решение. Если вы не удовлетворены, вы можете обратиться к Генеральному прокурору (Attorney General) вашего штата.

• Идентификаторы: имя, адрес электронной почты, номер телефона, IP-адрес, ID аккаунта.
• Клиентские записи: платёжные идентификаторы, последние 4 цифры карт, IBAN ситтеров.
• Коммерческая информация: бронирования, цены, сборы, возвраты и выплаты.
• Активность в интернете или сети: журналы безопасности и попытки входа.
• Аудио- и визуальная информация: фото профиля, питомцев и отчётов о визитах.
• Профессиональная информация (ситтеры): опыт и услуги.
• Чувствительная персональная информация: фото документов, удостоверяющих личность (только ситтеры, удаляются после решения), и учётные данные для входа.

12. Ваш выбор в отношении конфиденциальности

Miyav не продаёт ваши персональные данные, не передаёт их для межконтекстной поведенческой рекламы и не использует отслеживающие или рекламные cookie. Поэтому вам не от чего отказываться.

Мы учитываем сигналы Global Privacy Control (GPC). Если ваш браузер отправляет сигнал GPC, мы рассматриваем его как действительный запрос на отказ от продажи и передачи данных, хотя мы и не продаём и не передаём данные.

Вы управляете своими данными в настройках аккаунта: редактируйте профиль, удаляйте необязательные фото, скачивайте данные или удаляйте аккаунт. По всем остальным вопросам пишите на privacy@miyav.site.

13. Письма, SMS и уведомления

Мы отправляем только транзакционные сообщения, необходимые для работы сервиса: SMS-коды подтверждения, а также письма, SMS и уведомления в приложении об аккаунте и бронированиях. Мы не отправляем маркетинговые сообщения.

Если мы когда-либо добавим маркетинговые письма или SMS, мы будем отправлять их только с вашего предварительного согласия; в каждом маркетинговом письме будет ссылка для отписки и наш почтовый адрес, и вы сможете отказаться в любой момент.

Ваш мобильный оператор может взимать стандартную плату за сообщения и передачу данных.

14. Дети

Miyav предназначен только для лиц от 18 лет. Сервис не ориентирован на детей, и мы сознательно не собираем персональные данные детей младше 13 лет (согласно COPPA в США) или младше 16 лет.

Если мы узнаем, что аккаунт принадлежит несовершеннолетнему, мы его удалим. Если вы считаете, что ребёнок передал нам персональные данные, напишите на privacy@miyav.site.

15. Изменения политики

Мы можем обновлять эту политику при изменении сервиса или законодательства. Дата последнего обновления указана вверху. О существенных изменениях мы сообщим по электронной почте или в приложении до их вступления в силу.

16. Контакты

По вопросам, запросам и жалобам, связанным с конфиденциальностью, обращайтесь: Miyav, Baku, Azerbaijan, электронная почта privacy@miyav.site.