Политика обработки персональных данных

Маркетплейс BAKAI Store: витрина bakai.store, витрина в приложении BAKAI Банка, сайт для продавцов seller.bakai.store, Личный кабинет продавца, CRM для партнёров и сотрудников, Telegram-бот, Merchant API

Заменяет «Политику информационной безопасности» (последнее обновление 01.01.2025) на сайте для продавцов и все прежние тексты о конфиденциальности BAKAI Store.

1. Общие положения

1.1. Настоящая Политика определяет, какие персональные данные обрабатывает ОсОО «Бакай Маркет» (далее — «Оператор», «мы»), для чего, на каких основаниях, кому их передаёт, сколько хранит и как субъект персональных данных может реализовать свои права.

1.2. Политика разработана в соответствии с Цифровым кодексом Кыргызской Республики от 31 июля 2025 года № 178 (далее — «Цифровой кодекс»), прежде всего главами 10 и 11 (ст. 69–91), действующим с 6 февраля 2026 года. Закон Кыргызской Республики «Об информации персонального характера» от 14 апреля 2008 года № 58 утратил силу с той же даты (ст. 2 Закона Кыргызской Республики от 31 июля 2025 года № 179 «О введении в действие Цифрового кодекса Кыргызской Республики»).

1.3. Политика действует на всех сервисах Маркетплейса BAKAI Store, перечисленных выше (далее вместе — «Сервисы»). Политика не распространяется на сайты и приложения третьих лиц, в том числе на приложение и сайт BAKAI Банка и Служб доставки — у них свои политики.

1.4. Оператор является владельцем персональных записей в смысле п. 6 ст. 1 Цифрового кодекса: он определяет цели и способы обработки. Лица, которым Оператор поручает обработку (хостинг, хранение файлов, SMS, ИИ), являются обработчиками и действуют по договору с Оператором (ст. 86 Цифрового кодекса). Сведения об Операторе вносятся в реестр, который ведёт уполномоченный орган по персональным данным (ст. 90 Цифрового кодекса), в установленном им порядке.

1.5. Уполномоченный орган (отраслевой регулятор) в сфере персональных данных — Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики (dpa.gov.kg).

1.6. Термины: персональные данные — информация о физическом лице, которое можно прямо или косвенно идентифицировать; обработка — любые действия с персональными данными (сбор, запись, хранение, изменение, использование, передача, ограничение, удаление); трансграничная передача — передача персональных данных за пределы Кыргызской Республики. Термины применяются в значении ст. 1 Цифрового кодекса.

2. Чьи данные мы обрабатываем

Сервисы предназначены для лиц, достигших 18 лет. Мы не собираем намеренно данные детей.

3. Какие данные мы обрабатываем

3.1. Покупатели

• Номер телефона (вход по SMS-коду), имя, адреса доставки, город, язык интерфейса.
• При входе из приложения BAKAI Банка — идентификатор клиента Банка, имя, номер телефона и (при наличии) email. Иные данные профиля клиента Банка (ПИН, дата рождения, пол, данные документа, удостоверяющего личность, адрес регистрации, гражданство) Оператор не сохраняет; если они необходимы Банку для рассрочки, Банк обрабатывает их у себя как самостоятельный владелец персональных записей.
• Заказы, состав, суммы, способы оплаты и доставки, статусы, возвраты, чеки. Данные банковской карты вводятся только на странице банка и Оператору не передаются.
• Сведения о рассрочке и кредите: факт заявки, срок, статус решения (решение принимает Банк ил).
• Отзывы, вопросы, оценки, фото к отзывам.
• Переписка с продавцами по отправлениям и с поддержкой: тексты, фото (метаданные EXIF, включая геометку, удаляются).
• Фото для поиска товара по фото (хранится не более 15 минут).
• Диалоги со Store AI (ИИ-помощником).
• Баллы, промокоды, кэшбек, участие в реферальной программе и в марафонах.
• Отметка о подтверждении возраста для категории товаров для взрослых.
• Технические данные: IP-адрес, сведения о браузере и устройстве, идентификаторы сессий, cookies и аналоги (см. Политику использования файлов cookies), журналы безопасности, токены push-уведомлений.

3.2. Посетители сайта для продавцов и заявители

• ИНН (компании или ИП), телефон, email, отметка согласия с временем, IP-адресом и версией документа.
• Телефон для обратного звонка, переписка со Store AI и оператором.
• Реферальный код, по которому пришёл посетитель, метки UTM, обезличенный идентификатор посетителя.
• Аналитические идентификаторы (Google Analytics 4, Google Tag Manager, Meta Pixel) — только если посетитель согласился на аналитические или маркетинговые cookies.

3.3. Представители продавцов

• ФИО, должность, основание полномочий руководителя; данные документа, удостоверяющего личность, и иные данные документов, загруженных для проверки продавца: паспорт руководителя, устав, справка Министерства юстиции или свидетельство ИП, банковские реквизиты, а также сведения, распознанные из них автоматически.
• ИНН, ОКПО, адрес, расчётный счёт, БИК (для ИП — это персональные данные).
• Телефон и email для входа, подписи и уведомлений; данные подписания документов (дата, время, канал, маскированный номер, отпечаток подписи).
• Учётные записи сотрудников продавца (имя, телефон, роль), журнал их действий.
• Переписка с персональным менеджером и поддержкой: тексты, фото, файлы, голосовые сообщения (до 3 минут).
• Ключи Merchant API (хранится только хеш), адреса вебхуков, журнал запросов.

3.4. Партнёры

• ФИО, телефон, ИНН (при наличии), email, сведения о статусе (физическое лицо, ИП).
• QR-код для выплат и сведения о получателе, история начислений, выплат и удержанного подоходного налога.
• Реферальный код, переходы по ссылке (в обезличенном виде), приведённые продавцы.
• Журнал действий в CRM, в том числе открытия калькулятора вознаграждения; водяной знак с данными пользователя на материалах CRM.

3.5. Пользователи Telegram-бота

• Идентификатор чата и пользователя Telegram, имя пользователя, сообщения боту, отметка о согласии (дата, версия документа, ссылка).

3.6. Участники акций

• Идентификатор участника, количество билетов и выполненных заданий; в публичной таблице мест — ID участника и последние 5 цифр телефона (только с согласия при вступлении); данные победителя, необходимые для вручения приза и исполнения обязанностей налогового агента.

Мы не обрабатываем намеренно специальные категории персональных данных (ст. 80 Цифрового кодекса: о здоровье, религиозных и политических взглядах, биометрию для идентификации и т. п.). Если покупатель сам сообщит такие сведения в переписке, они используются только для ответа на обращение.

4. Цели и правовые основания обработки

Основания — по ч. 1 ст. 79 Цифрового кодекса. Согласие запрашивается только для целей, для которых нет иного основания (ч. 2 и 3 ст. 79), и отдельно от других условий.

Автоматизированные решения. Автоматическая модерация карточек товаров и фото в переписке (Store AI и правила) может отклонить карточку или не доставить сообщение. Вы вправе получить сведения о логике такого решения, возразить против него и потребовать его пересмотра человеком (ст. 57, п. 10 ч. 1 ст. 73, ст. 84 Цифрового кодекса): обращение — через «Поддержку» или в Личном кабинете. Решений, порождающих для покупателей юридические последствия, исключительно на основании автоматизированной обработки мы не принимаем.

5. Согласие

5.1. Согласие даётся отдельной отметкой в форме или кнопкой в Telegram-боте и не может быть отмечено заранее. Мы фиксируем дату и время, IP-адрес (для веб-форм) или идентификатор Telegram и версию текста — это позволяет подтвердить факт получения согласия (ч. 4 ст. 79 Цифрового кодекса). Журнал согласий не изменяется.

5.2. Тексты согласий опубликованы отдельным документом «Согласие на обработку персональных данных» (bakai.store/legal/consent).

5.3. Согласие можно отозвать в любой момент тем же или более простым способом, чем оно дано (ч. 5 ст. 79): в настройках уведомлений, в «Поддержке» или письмом (раздел 9). Отзыв не влияет на законность обработки до отзыва и не прекращает обработку на других основаниях (договор, закон).

6. Кому мы передаём данные

Мы передаём данные только в объёме, необходимом для цели. Обработчики действуют по договорам, соответствующим ст. 86 Цифрового кодекса; самостоятельные владельцы (продавцы, Банк, Службы доставки) обрабатывают данные по своим основаниям.

7. Трансграничная передача

7.1. Передача в страны, включённые уполномоченным органом в перечень стран с адекватной защитой персональных данных, осуществляется без ограничений (ч. 1–3 ст. 89 Цифрового кодекса). Перед передачей мы проверяем, включена ли страна получателя в перечень.

7.2. Передача в иные страны осуществляется по основаниям ч. 4 ст. 89 Цифрового кодекса: когда она необходима для исполнения договора с вами (например, хранение файлов в облаке, доставка сообщения через выбранный вами мессенджер) или с вашего согласия (например, обработка диалога со Store AI провайдером ИИ, аналитика). После передачи данные обрабатываются по праву страны получателя (ч. 5 ст. 89); мы заключаем с обработчиками договоры с обязательствами по защите данных.

7.3. Для минимизации передачи: в Store AI передаются только тексты, необходимые для ответа; в журналах и при отправке ошибок номера телефонов, ФИО, ПИН/ИНН, паспортные данные, адреса и банковские реквизиты заменяются маской; фото в переписке передаются для проверки без метаданных.

8. Сроки хранения

Данные хранятся не дольше, чем требуется для цели, затем удаляются или обезличиваются. Сроки утверждены приказом Оператора и реализованы в автоматической очистке:

9. Права субъектов и как их реализовать

9.1. Вы вправе (ст. 72–76, 83–85 Цифрового кодекса):

• получить сведения о том, обрабатываются ли ваши данные, об их составе, источнике, целях, получателях и сроках, а также копию данных — в течение 7 рабочих дней с момента запроса;
• потребовать исправления или дополнения неточных или неполных данных — в течение 7 рабочих дней;
• потребовать удаления данных, если для их обработки нет оснований (в том числе после отзыва согласия), — мы удаляем такие данные незамедлительно, кроме данных, которые обязаны хранить (раздел 8);
• потребовать ограничения обработки на время проверки — мы уведомим вас об установлении и снятии ограничения не позднее 1 рабочего дня;
• возразить против обработки, в том числе для маркетинга и против автоматизированного решения; по возражению мы прекращаем обработку или в течение 7 рабочих дней сообщаем мотивированное решение;
• получить свои данные в структурированном машиночитаемом виде (переносимость);
• отозвать согласие;
• обжаловать действия Оператора в Государственное агентство по защите персональных данных при Кабинете Министров КР или в суд.

9.2. Как подать запрос: письмом на info@bakai.store с номера телефона или адреса, связанного с учётной записью, через раздел «Поддержка» или письменно по адресу: г. Бишкек, Свердловский район, ул. Московская, 84. Для подтверждения личности мы можем запросить дополнительные сведения; это не продлевает установленные сроки ответа.

9.3. Отписаться от маркетинговых сообщений можно в настройках уведомлений и по ссылке (команде) отказа в каждом сообщении; после отказа рассылка прекращается незамедлительно. Сервисные уведомления о заказах, возвратах денег и сообщениях продавцов направляются, пока они нужны для исполнения заказа.

9.4. Удаление учётной записи не удаляет данные, которые мы обязаны хранить по закону (раздел 8), и сообщения в переписке, которые видят другие участники; такие данные ограничиваются и, где возможно, обезличиваются.

10. Меры защиты

10.1. Мы применяем правовые, организационные и технические меры (ст. 88 Цифрового кодекса), в том числе:

• назначение ответственного за организацию обработки персональных данных и учёт операций обработки;
• шифрование чувствительных полей (ПИН, телефон, ИНН, документы) в базе данных и шифрование документов в хранилище;
• передачу данных только по защищённым каналам (TLS); внутренние сервисы доступны только во внутренней сети;
• разграничение доступа по ролям: персональные данные в документах продавцов видят только сотрудники с отдельным правом; маскирование ИНН и счетов в интерфейсе;
• одноразовые коды для входа и подтверждения важных действий, уведомления владельцам о смене счёта для выплат и выпуске ключей API, задержку выплат на новый счёт;
• журналирование действий сотрудников и неизменяемый журнал согласий;
• маскирование персональных данных в технических журналах и отчётах об ошибках;
• удаление метаданных (EXIF) из фото, подписанные временные ссылки на файлы (5 минут);
• автоматическую проверку переписки на передачу контактов и ссылок;
• обучение сотрудников и обязательства о конфиденциальности.

10.2. Инциденты. Об инциденте, затрагивающем права субъектов (в том числе утечке персональных данных), Оператор уведомляет уполномоченный орган в течение 72 часов с момента его обнаружения (ч. 5 ст. 63 Цифрового кодекса), а обработчики уведомляют Оператора не позднее 48 часов (ч. 6 ст. 63). Если инцидент создаёт риск для ваших прав, мы также уведомляем вас без неоправданной задержки и сообщаем, какие меры приняты и что можете сделать вы.

11. Cookies и аналоги

Мы используем cookies и локальное хранилище браузера. Подробно — в Политике использования файлов cookies (bakai.store/legal/cookies). Аналитические и маркетинговые cookies устанавливаются только с согласия.

12. Искусственный интеллект

Store AI — функции на основе моделей ИИ сторонних провайдеров (раздел 6). Store AI отвечает на вопросы, подбирает товары, проверяет карточки товаров и фото в переписке. В чате всегда указано, что отвечает ИИ. Ответы Store AI носят справочный характер; по сложным вопросам диалог передаётся оператору-человеку. Не отправляйте в чат пароли, коды из SMS и данные карт.

13. Изменение Политики

13.1. Мы можем изменять Политику; новая редакция публикуется по каноническому адресу с датой и версией, прежние редакции доступны в архиве. О существенных изменениях мы уведомляем пользователей на Сервисах не позднее чем за 7 дней и, если меняются цели обработки на основании согласия, запрашиваем новое согласие.

13.2. Политика пересматривается не реже одного раза в год.

14. Реквизиты и контакты