Условия использования Merchant API

Приложение 4 к Агентскому договору (публичной оферте) маркетплейса BAKAI Store

1. Общие положения

1.1. Merchant Open API (далее — «API») — программный интерфейс маркетплейса BAKAI Store для автоматизации работы Продавца: товары и карточки, цены, остатки, заказы, возвраты, отзывы и вопросы, промокоды, финансы, вебхуки.

1.2. Условия обязательны для Продавца, его сотрудников и подрядчиков (интеграторов, учётных систем), использующих API от имени Продавца. Действия через API приравниваются к действиям Продавца в Личном кабинете.

1.3. Доступ к API предоставляется без дополнительной платы, в объёме и на срок действия Агентского договора. Введение платы возможно только изменением Тарифов в порядке п. 4.9 Агентского договора.

2. Ключи API

2.1. Ключ создаёт владелец учётной записи Продавца в Личном кабинете (Настройки → Ключи API) с подтверждением кодом из SMS. Одновременно может быть активно не более 10 ключей.

2.2. Полный ключ показывается один раз при создании; BAKAI Store хранит только его хеш и не может восстановить ключ. Ключ передаётся в заголовке Authorization: Bearer или X-Api-Key.

2.3. При создании и смене ключа владельцы получают уведомление. Ключ можно отозвать (перестаёт работать сразу) или перевыпустить (старый отзывается сразу).

2.4. Ключи песочницы (тестовый контур с демонстрационными данными) имеют отдельный префикс и не принимаются в рабочем контуре.

3. Области доступа (scopes)

Ключ получает только выбранные области. Принцип наименьших привилегий: выдавайте интеграции только нужные области.

4. Обязанности по безопасности

4.1. Продавец обязан:

• хранить ключи и секреты вебхуков в защищённом хранилище, не размещать их в коде клиентских приложений, публичных репозиториях, переписке;
• ограничить доступ к ключам кругом лиц, которым он необходим, и перевыпускать ключи при уходе сотрудника или подрядчика;
• немедленно отозвать ключ и сообщить в поддержку при подозрении на компрометацию;
• принимать вебхуки только по HTTPS и проверять подпись и время каждого запроса;
• обрабатывать персональные данные покупателей, полученные через API, по Приложению 3; не хранить их дольше необходимого.

4.2. Продавец отвечает за все действия, совершённые с использованием его ключей, до момента их отзыва, включая действия подрядчиков.

5. Лимиты

5.1. На дату редакции действуют лимиты (актуальные значения публикуются в документации; об их уменьшении BAKAI Store сообщает не позднее чем за 15 дней):

• 600 запросов в минуту и 200 000 запросов в сутки на один ключ;
• до 1000 позиций в одном запросе на изменение цен или остатков;
• медиафайлы: до 20 ссылок или 10 файлов в одном запросе, фото — до 15 МБ, до 30 фото и видео в карточке; ссылка прямой загрузки действует 60 минут; не прикреплённые к карточке загрузки удаляются примерно через 6 часов.

5.2. При превышении лимитов запросы отклоняются (код 429). Систематическое превышение, попытки обхода лимитов, массовые запросы без необходимости являются нарушением.

6. Вебхуки

6.1. Продавец может подписаться на события: новые и оплаченные заказы, подтверждение, отмена, доставка, смена статуса отправления, заявки и решения по возвратам, низкий остаток, статус и модерация карточек, обработка медиа, проверочное событие. События с данными заказов и возвратов отправляются ключу API только при наличии области orders.read.

6.2. Каждый запрос подписывается: заголовок вида t=<время>,v1=<HMAC-SHA256 секрета от «время.тело»>. Продавец обязан проверять подпись и отбрасывать запросы со старым временем.

6.3. Недоставленное событие повторяется с нарастающими паузами (от 1 минуты до 24 часов, около 2 суток, 9 попыток); затем событие получает статус «не доставлено» и может быть повторено вручную из журнала. BAKAI Store не гарантирует порядок доставки событий; Продавец должен обрабатывать повторы идемпотентно.

6.4. Смена адреса вебхука и секрета в Личном кабинете подтверждается кодом из SMS владельца; владельцы получают уведомление о новом адресе.

6.5. BAKAI Store вправе временно приостановить отправку вебхуков (в том числе на этапе запуска); события при этом сохраняются в журнале.

7. Запрещённые действия

Запрещается: использовать API для доступа к данным других продавцов или покупателей вне своих заказов; сбор (скрейпинг) данных витрины; передача ключей третьим лицам для их собственных целей; нагрузочное тестирование рабочего контура без согласования; попытки обхода авторизации, областей доступа и лимитов; загрузка через API контента, нарушающего Правила для продавцов.

8. Изменения API

8.1. BAKAI Store развивает API и вправе изменять его. О несовместимых изменениях BAKAI Store уведомляет Продавцов в документации и Личном кабинете не позднее чем за 30 дней, кроме изменений, необходимых для устранения уязвимостей. После выхода новой версии API прежняя версия поддерживается не менее 90 дней; дата окончания поддержки публикуется в документации.

8.2. Добавление новых полей и событий не считается несовместимым изменением.

9. Ответственность и доступность

9.1. API предоставляется «как есть». BAKAI Store принимает разумные меры для его доступности, но не гарантирует бесперебойную работу и не отвечает за убытки Продавца из-за временной недоступности API, задержки вебхуков или ошибок в интеграции Продавца, кроме умышленного нарушения или грубой неосторожности BAKAI Store; в остальном применяется п. 14.3 Агентского договора.

9.2. Источником истины по заказам, остаткам и финансам являются данные BAKAI Store; при расхождении с учётной системой Продавца применяются данные BAKAI Store, если не доказано иное.

10. Приостановление доступа

BAKAI Store вправе без предварительного уведомления отозвать ключ или приостановить доступ к API при: подозрении на компрометацию ключа; нарушении разделов 4, 5 или 7; угрозе безопасности Маркетплейса; приостановлении работы Продавца по Агентскому договору. BAKAI Store уведомляет владельцев Продавца о причине.

11. Реквизиты и контакты

ОсОО «Бакай Маркет», ИНН 02304202510203, г. Бишкек, Свердловский район, ул. Московская, 84; технические вопросы по API — info@bakai.store, чат «Поддержка» в Личном кабинете; сообщения об уязвимостях — info@bakai.store.