Политика конфиденциальности

Оператор: [USTIO ООО / "Ustio" Общество с ограниченной ответственностью] (далее — «Оператор», «мы», «нас», «наш») Юридический адрес: [TBD, г. Ташкент, Республика Узбекистан] ИНН (ИНН налогоплательщика): [TBD] Государственная регистрация: [TBD] Электронная почта (вопросы защиты персональных данных): privacy@ustio.app Электронная почта общей поддержки: support@ustio.app Telegram (официальный канал): @ustio_uz

Дата вступления в силу: [ДАТА ПУБЛИКАЦИИ] Версия: 1.0

1. Введение и сфера применения

Настоящая Политика конфиденциальности (далее — «Политика») регулирует сбор, обработку, хранение, передачу и раскрытие персональных данных Оператором в связи с сервисом Ustio (далее — «Сервис»), доступным посредством:

• мобильного приложения Ustio для Android и iOS (далее — «Мобильное приложение»);
• веб-сайта по адресу https://ustio.app и его поддоменов (далее — «Сайт»);
• любых программных интерфейсов, панелей управления, средств коммуникации, каналов поддержки или связанных сервисов, которыми мы управляем (вместе с Мобильным приложением и Сайтом — «Платформа»).

Сервис представляет собой маркетплейс, который связывает заказчиков, нуждающихся в бытовых, профессиональных или ремесленных услугах (далее — «Заказчики»), с независимыми поставщиками услуг (далее — «Исполнители»). Настоящая Политика распространяется как на Заказчиков, так и на Исполнителей, а также на любого посетителя Сайта (каждый — «Пользователь» или «Вы»).

Создавая аккаунт, используя Сервис, отправляя запрос на услугу, отправляя предложение в ответ на запрос, или продолжая просмотр Сайта после баннера cookie, Вы подтверждаете, что прочли, поняли и приняли изложенные в настоящей Политике практики и что Вы предоставляете согласия, описанные в Политике, в случаях, когда согласие требуется.

Настоящая Политика составлена с учётом соответствия:

• Закону Республики Узбекистан № ЗРУ-547 от 2 июля 2019 года «О персональных данных» (с изменениями и дополнениями) (далее — «Закон о ПД»);
• Постановлению Кабинета Министров Республики Узбекистан № 1107 от 31 декабря 2020 года и последующим подзаконным актам в сфере защиты персональных данных;
• Закону Республики Узбекистан № ЗРУ-684 от 22 мая 2020 года «Об электронной коммерции»;
• Закону Республики Узбекистан «О телекоммуникациях» и применимым подзаконным актам;
• Закону Республики Узбекистан «О защите прав потребителей» (№ ЗРУ-221, с изменениями);
• требованиям Государственной инспекции по контролю в сфере информатизации и телекоммуникаций (далее — «Инспекция») и реестру персональных данных, ведущемуся уполномоченным государственным органом.

Если Вы находитесь в иной юрисдикции или являетесь гражданином иной юрисдикции, к Вам могут применяться дополнительные средства защиты согласно праву такой юрисдикции. В пределах, не противоречащих праву Республики Узбекистан, настоящая Политика составлена так, чтобы отвечать также материальным требованиям Регламента (ЕС) 2016/679 (далее — «GDPR»).

2. Определения

В настоящей Политике следующие термины имеют указанное ниже значение:

• «Персональные данные» — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, включая, но не ограничиваясь: номер телефона, имя, адрес, документ, удостоверяющий личность, фотографию, историю транзакций, идентификаторы устройства и IP-адрес.
• «Специальная категория Персональных данных» — Персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзе, биометрические данные, данные о здоровье или данные о половой жизни либо сексуальной ориентации физического лица, сведения о судимостях, а также любые данные, классифицированные таковыми Законом о ПД и соответствующими подзаконными актами.
• «Обработка» — любая операция или совокупность операций, совершаемых с Персональными данными, как с использованием средств автоматизации, так и без них, включая сбор, запись, систематизацию, накопление, хранение, изменение, извлечение, использование, раскрытие, передачу, ограничение, удаление и уничтожение.
• «Субъект данных» — физическое лицо, к которому относятся Персональные данные (Пользователь).
• «Оператор» — юридическое лицо, которое самостоятельно или совместно с другими определяет цели и способы Обработки.
• «Обработчик» — третье лицо, осуществляющее Обработку Персональных данных от имени Оператора.
• «Согласие» — свободно данное, конкретное, информированное и однозначное волеизъявление Субъекта данных, которым он соглашается на Обработку относящихся к нему Персональных данных.
• «Сервис» — маркетплейс-платформа Ustio, описанная в разделе 1.

Термины, написанные с заглавной буквы и не определённые в настоящей Политике, имеют значение, придаваемое им в наших Условиях использования.

3. Реквизиты и контактные данные Оператора

Оператор является контролёром Обработки всех Персональных данных, обрабатываемых в связи с Сервисом, за исключением случаев, когда явно указано, что третье лицо выступает в качестве независимого контролёра.

Полные контактные данные Оператора указаны в начале настоящей Политики. Обращения, касающиеся Обработки Персональных данных, в том числе по реализации Ваших прав, изложенных в разделе 12, направляются на privacy@ustio.app либо в письменной форме по юридическому адресу.

Оператор включён в реестр операторов персональных данных, ведущийся уполномоченным государственным органом Республики Узбекистан; регистрационный номер будет предоставлен по запросу после его присвоения.

Оператор назначил лицо, ответственное за защиту персональных данных. Обращения, направленные на privacy@ustio.app, рассматриваются этим лицом.

4. Персональные данные, которые мы собираем

Мы собираем Персональные данные, которые необходимы, адекватны, релевантны и ограничены целями, для которых они Обрабатываются. Категории Обрабатываемых нами Персональных данных описаны ниже. Некоторые категории необходимы для функционирования Сервиса; другие зависят от опциональных функций и от роли Пользователя (Заказчик или Исполнитель).

4.1 Информация, которую Вы предоставляете напрямую

(а) Регистрация аккаунта и аутентификация

• Номер мобильного телефона (в международном формате E.164, например +998901234567). Обязательно.
• Хэшированное (одностороннее необратимое) представление номера телефона, используемое для предотвращения мошенничества и ограничения частоты запросов. Обязательно.
• Одноразовый пароль («OTP»), который мы отправляем Вам по SMS для аутентификации. OTP хранится в течение короткого времени и удаляется при успешной проверке или истечении срока действия.
• Предпочтительный язык приложения (узбекский, русский или английский). Обязательно для локализации; по умолчанию — узбекский.

(б) Завершение профиля

• Имя и фамилия. Обязательно.
• Адрес электронной почты. Необязательно; требуется, только если Вы хотите включить функции на основе e-mail, такие как чеки и доставка экспорта данных по e-mail. Мы храним флаг, указывающий, был ли подтверждён Ваш адрес электронной почты.
• Дата рождения. Необязательно. Вы должны быть старше восемнадцати (18) лет для использования Сервиса (см. раздел 9).
• Пол (выбор из: мужской, женский, иной, предпочитаю не указывать). Необязательно.
• Аватар / фотография профиля. Необязательно.

(в) Данные о местонахождении и адресе

• Город проживания и код района, используемые Сервисом для показа локально релевантных категорий и для подбора Заказчиков с Исполнителями, работающими в том же районе. Обязательно.
• Текстовое описание адреса («текст адреса»), предоставленное в момент подачи запроса на услугу. Необязательно.
• Координаты широта/долгота, полученные из адреса, который Вы указали, если Вы решите включить обогащение местонахождения. Необязательно.

(г) Запросы Заказчиков на услуги

• Свободное текстовое описание необходимой работы («примечание»). Необязательно.
• Ответы на структурированные вопросы категории (например, тип работы, материалы, площадь в квадратных метрах, срочность). Необязательно, за исключением случаев, когда выбранная категория обязывает их предоставить.
• Фотографии, загруженные Вами. Необязательно.
• Предпочтительные каналы связи (телефон, Telegram или оба). Минимум один канал обязателен.
• Опциональный индикатор «срочно».
• Желаемый срок действия запроса (по умолчанию четырнадцать (14) дней, может быть изменён Вами в установленных нами пределах).

(д) Профиль Исполнителя и предложения

• Биография Исполнителя («bio»), языки, годы опыта, часы работы.
• Категории услуг, которые Вы предлагаете (максимум на одного Исполнителя — в настоящее время тридцать (30) категорий).
• Зона обслуживания: город и коды районов, в которых Вы принимаете работу.
• Текст и цена индивидуальных предложений, отправленных в ответ на запросы Заказчиков. Сообщение предложения подлежит автоматизированной и человеческой модерации, в том числе обнаружению попыток обмена частными контактными данными вне Платформы.

(е) Данные «Знай своего клиента» (только Исполнители) — специальная категория

• Тип документа (например, паспорт, национальная ID-карта).
• Изображение лицевой стороны документа, удостоверяющего личность.
• Изображение оборотной стороны документа (в применимых случаях).
• Фотография «селфи», показывающая Ваше лицо, используемая для проверки соответствия владельца документа зарегистрированному Исполнителю.
• Опциональные административные заметки, записанные нашими проверяющими (они видны только нам).

Данные документа, удостоверяющего личность, и фотография селфи классифицируются нами как специальная категория Персональных данных в смысле статьи 3 Закона о ПД и эквивалентных подзаконных актов. Мы Обрабатываем эти данные только с Вашего явного Согласия, полученного в процессе верификации, только для целей, указанных в подпункте 5.1(в), и только в течение ограниченного срока хранения, указанного в разделе 8.

(ж) Коммуникации

• Содержимое внутренних сообщений и предложений, которыми Вы обмениваетесь через Платформу.
• Записи разговоров с поддержкой клиентов, которые Вы инициировали (включая содержимое сообщений и любые приложенные файлы).
• Идентификатор Telegram-чата, если Вы решите связать Ваш аккаунт Telegram с Сервисом.
• Настройки уведомлений (по каналам: push, e-mail, SMS, Telegram; по категориям; «не беспокоить» часы).

(з) Данные о платежах и кошельке

• Баланс кошелька, история пополнений, удержания платы за лиды и другие транзакции кошелька. Баланс кошелька выражается в узбекских сумах (UZS) и отражает суммы, зачисленные в кошелёк для оплаты платы за лиды.
• Для пополнений через Click или Payme: идентификаторы транзакций, статус платежа и сырой payload, возвращённый поставщиком платежей в их webhook callback. Мы не получаем и не храним Ваш полный номер платёжной карты (PAN), код проверки карты (CVV/CVC) или полный срок действия карты: они обрабатываются исключительно поставщиком платежей в их сертифицированной PCI-DSS среде.

(и) Отзывы и оценки

• Оценка в виде звёзд, которую Вы выставляете после завершения услуги.
• Опциональный текстовый отзыв и теги.
• История версий редактирований, которые Вы делаете в пределах окна редактирования, которое мы предоставляем.

(к) Согласия и предпочтения

• Запись согласий, которые Вы предоставили или отозвали, включая тип согласия, версию соответствующего документа, время действия, IP-адрес, использованный во время действия, и строку User Agent использованного устройства.

4.2 Информация, собираемая автоматически

(а) Информация об устройстве и подключении

• Идентификатор устройства, сгенерированный Вашим устройством или Мобильным приложением. Этот идентификатор не связан с MAC-адресом Вашего оборудования или другими постоянными аппаратными идентификаторами.
• Платформа устройства и версия операционной системы.
• Версия приложения.
• IP-адрес.
• User Agent Вашего браузера или Мобильного приложения.

(б) Учётные данные push-уведомлений

• Токен Firebase Cloud Messaging («FCM»), выданный Google для Вашей установки Мобильного приложения. Токен используется исключительно для доставки запрошенных Вами push-уведомлений и периодически обновляется Вашим устройством.

(в) Токены аутентификации

• Краткосрочный «токен доступа», содержащий идентификатор пользователя, роль, локаль и уникальный идентификатор токена («jti»). Токены доступа не сохраняются на сервере после выдачи; их целостность проверяется криптографически при каждом запросе.
• Хэшированное представление «токена обновления», используемого для выдачи новых токенов доступа. Сырой токен обновления доставляется на Ваше устройство один раз при выдаче и не подлежит восстановлению из наших систем.

(г) Диагностические и аналитические события

• События уровня приложения, такие как «открытие приложения», «просмотр экрана», «успешный вход», и соответствующие свойства события (например, путь экрана с персональными идентификаторами, замаскированными до шаблона :id). Свойства событий разработаны так, чтобы не идентифицировать; мы не включаем свободный текст пользовательского ввода в события аналитики.
• Отчёты об ошибках, включая стек вызовов, breadcrumbs, идентификатор пользователя, маршрут, на котором произошла ошибка, и минимальный контекст устройства. Отчёты об ошибках фильтруются для удаления категорий ввода, которые с вероятностью содержат Персональные данные (например, тело запросов аутентификации).

(д) Серверные журналы

• Записи API-запросов, кодов ответов, задержек и идентификаторов трассировки, используемых для отладки и реагирования на инциденты. Эти журналы сохраняют User Agent и IP-адрес для целей расследований безопасности.

(е) Cookie на Сайте

См. раздел 11 относительно нашей политики cookie.

4.3 Информация, получаемая от третьих лиц

• От Eskiz.uz (нашего поставщика SMS-шлюза): квитанции о доставке и сбоях OTP-сообщений.
• От Click и Payme (наших партнёров по приёму платежей): webhook-обратные вызовы, содержащие статус транзакции, идентификаторы продавца транзакции и ограниченные замаскированные метаданные карты, предоставленные ими.
• От Firebase Cloud Messaging: статус доставки push-уведомлений.
• От Telegram: идентификатор чата, соответствующий Вашему аккаунту Telegram, после того как Вы активно связали свой аккаунт нажатием на ссылку, созданную для Вас внутри Мобильного приложения.
• От других Пользователей: отзывы, оценки, жалобы и сообщения о Вашем поведении на Платформе.

Мы не покупаем Персональные данные у брокеров данных и не получаем Персональные данные из общедоступных источников, полученных путём скрейпинга.

5. Цели и правовые основания Обработки

Обработка Ваших Персональных данных осуществляется только в указанных ниже конкретных, заявленных и законных целях. Для каждой цели указаны (i) категории Обрабатываемых Персональных данных, (ii) правовое основание согласно Закону о ПД и иному применимому законодательству и (iii) последствия отказа предоставить Персональные данные.

5.1 Предоставление Сервиса

(а) Аутентификация и управление аккаунтом

• Категории данных: подпункты 4.1(а), 4.1(б), 4.2(а)–(в).
• Правовое основание: статья 17 Закона о ПД (необходимость для исполнения договора, стороной которого является Субъект данных); Ваше Согласие при регистрации.
• Последствия отказа: Сервис не может предоставляться без данных аутентификации; Вы не сможете зарегистрироваться или использовать Сервис.

(б) Работа маркетплейса

• Категории данных: подпункты 4.1(в), 4.1(г), 4.1(д), 4.1(и).
• Правовое основание: статья 17 Закона о ПД (необходимость для исполнения договора); законный интерес Оператора и других Пользователей в надлежащем функционировании маркетплейса, в соответствии со статьёй 17 Закона о ПД.
• Последствия отказа: без этих категорий данных Вы не сможете публиковать запросы, отправлять предложения или обмениваться сообщениями с другими Пользователями.

(в) Верификация личности Исполнителя (KYC) — специальная категория Персональных данных

• Категории данных: подпункт 4.1(е).
• Правовое основание: Ваше явное Согласие, данное в процессе KYC; исполнение договора с Исполнителями; законный интерес в предотвращении мошенничества и защите Заказчиков от выдачи себя за другое лицо; соответствие законодательству Республики Узбекистан о противодействии отмыванию денег и о защите прав потребителей.
• Последствия отказа: Исполнители не смогут стать «верифицированными», не смогут разблокировать платные предложения и не смогут работать в Сервисе. KYC обязательно для Исполнителей и не запрашивается у Заказчиков.

(г) Обработка платежей и начисление платы за лиды

• Категории данных: подпункт 4.1(з).
• Правовое основание: статья 17 Закона о ПД (исполнение договора); соблюдение законодательства Республики Узбекистан о бухгалтерском учёте и налогах; законный интерес в обнаружении мошенничества и злоупотреблений возвратами платежей.
• Последствия отказа: Исполнители не смогут пополнять кошельки и подавать платные предложения; в остальном Сервисом можно будет пользоваться.

5.2 Коммуникации

(а) Уведомления, связанные с Сервисом (push, e-mail, Telegram, в приложении)

• Категории данных: подпункты 4.1(а), 4.1(б), 4.1(и), 4.2(б).
• Правовое основание: статья 17 Закона о ПД (исполнение договора); законный интерес в информировании Пользователей о событиях, касающихся их запросов, предложений и статуса аккаунта.
• Последствия отказа: Вы можете отписаться от опциональных каналов в настройках; транзакционные уведомления (такие как результат KYC, разрешение спора и события безопасности аккаунта) являются существенными и могут продолжать доставляться.

(б) Маркетинговые коммуникации

• Категории данных: контактные данные и индикатор Ваших интересов.
• Правовое основание: Ваше отдельное явное Согласие. Маркетинговые коммуникации не отправляются без предварительного Согласия.
• Последствия отказа: нет; Вы будете продолжать получать только транзакционные уведомления.

5.3 Безопасность, целостность и предотвращение злоупотреблений

• Категории данных: подпункты 4.1, 4.2, 4.3 в применимом объёме.
• Правовое основание: законный интерес Оператора и других Пользователей в поддержании Сервиса безопасным и законным; соблюдение законов Республики Узбекистан, включая обязательства по модерации контента; защита несовершеннолетних; предотвращение мошенничества.
• Деятельность по Обработке включает, в частности: автоматизированную и человеческую проверку свободных текстовых полей и фотографий на наличие запрещённого контента (в том числе шаблонов уклонения от обмена контактными данными); обнаружение многоаккаунтных злоупотреблений; обнаружение мошенничества с платёжными картами; обнаружение поддельных отзывов; расследование жалоб.

5.4 Аналитика, производительность и улучшение продукта

• Категории данных: подпункт 4.2(г), псевдонимные идентификаторы и агрегированные метрики, полученные из подпунктов 4.1(в)–(д).
• Правовое основание: Ваше Согласие, запрашиваемое при первом запуске Мобильного приложения и через баннер cookie Сайта; законный интерес в эксплуатации и улучшении Сервиса в той мере, в какой Обработка строго псевдонимизирована и агрегирована.
• Последствия отказа: Вы можете отказать в согласии на аналитику без последствий для Вашей возможности пользоваться Сервисом.

5.5 Соблюдение правовых обязательств

• Категории данных: подпункты 4.1(а)–(г), 4.1(е), 4.1(з), 4.1(к); журналы аудита (см. раздел 8).
• Правовое основание: соблюдение законов Республики Узбекистан, включая бухгалтерское, налоговое, потребительское, антиотмывочное, антифродовое и электронно-коммерческое законодательство; ответ на законные запросы компетентных государственных органов.
• Последствия отказа: некоторые функции (в частности, функции платежей) не могут быть предоставлены.

5.6 Установление, осуществление или защита правовых требований

• Категории данных: в объёме, относящемся к требованию, включая транзакционную историю, коммуникации, журналы аудита, IP-адреса и данные верификации личности.
• Правовое основание: законный интерес Оператора в защите своих прав и в защите от требований.
• Срок хранения: как указано в разделе 8.

Мы не осуществляем какое-либо автоматизированное принятие решений, которое имеет правовые последствия для Вас или аналогичным образом существенно влияет на Вас в смысле статьи 22 GDPR. Решения по верификации KYC, разрешению споров, приостановке аккаунта и активации категорий принимаются людьми при поддержке автоматизированных средств.

6. Получатели Персональных данных

Мы раскрываем Персональные данные только перечисленным ниже получателям и только в объёме, необходимом для целей, описанных в разделе 5. Мы требуем, чтобы все Обработчики действовали на основании письменных соглашений, обязывающих их защищать Персональные данные на уровне, как минимум, эквивалентном уровню, установленному настоящей Политикой и Законом о ПД.

6.1 Внутренние получатели

• Сотрудники, должностные лица, подрядчики и уполномоченные агенты Оператора, которым необходим доступ к Персональным данным для выполнения своих обязанностей, при строгом ролевом контроле доступа, на основе принципа минимально необходимых полномочий и под договорными обязательствами о конфиденциальности.

6.2 Поставщики услуг, действующие как Обработчики от нашего имени

6.3 Другие Пользователи

• Заказчики и Исполнители видят Персональные данные друг друга только в объёме, необходимом для работы маркетплейса, а именно: имя (без фамилии для Заказчиков в карточках предложений), код города и района, свободный текстовый комментарий (если есть), фотографии, загруженные Вами как часть запроса или профиля, оценки и отзывы, опубликованные Вами, и идентификаторы каналов связи только после того, как обе стороны согласились разблокировать контакт (см. раздел 7 Условий использования).

6.4 Государственные органы и иные третьи лица

Мы можем раскрывать Персональные данные:

• Инспекции, Государственному налоговому комитету, правоохранительным органам, судам и иным компетентным государственным органам Республики Узбекистан на основании законного запроса, судебного решения или иного обязательного правового акта;
• нашим профессиональным консультантам (юристам, аудиторам, бухгалтерам) при строгом соблюдении конфиденциальности;
• любому приобретателю в связи с продажей всего или существенной части нашего бизнеса или активов при условии, что приобретатель примет на себя обязательства, не менее защитные, чем настоящая Политика.

Мы не продаём Персональные данные рекламодателям или иным третьим лицам за денежное или иное ценное вознаграждение.

7. Трансграничная передача

Мы Обрабатываем Персональные данные граждан Республики Узбекистан и физических лиц, проживающих на территории Республики Узбекистан, на территории Республики Узбекистан в соответствии с требованиями локализации данных Закона о ПД.

Определённые вспомогательные операции по Обработке, описанные в разделе 6.2, осуществляются за пределами территории Республики Узбекистан. Каждая такая трансграничная передача осуществляется только:

(а) когда это необходимо для исполнения договора между Вами и Оператором (статья 27 Закона о ПД); (б) когда Вы предоставили явное Согласие на передачу в момент регистрации или в момент включения соответствующей функции; или (в) когда это требуется законом Республики Узбекистан или международным договором, участником которого является Республика Узбекистан.

Мы оценили каждого трансграничного получателя как обеспечивающего адекватный уровень защиты Персональных данных посредством сочетания (i) договорных гарантий (в частности, дополнительных соглашений об обработке данных и стандартных договорных оговорок в применимых случаях), (ii) технических гарантий (шифрование при передаче, шифрование в покое, ролевой контроль доступа, журналирование аудита) и (iii) организационных гарантий.

Принятие настоящей Политики в момент регистрации означает Ваше Согласие по Закону о ПД на трансграничные передачи, описанные в настоящем разделе 7. Вы можете отозвать такое Согласие в любое время путём письма на privacy@ustio.app, в этом случае функции, опирающиеся на трансграничную Обработку, будут отключены, а Ваш аккаунт может быть приостановлен, если такая Обработка существенна для его работы.

8. Сроки хранения

Мы храним Персональные данные только в течение необходимого для целей, описанных в разделе 5, срока, после чего удаляем данные или необратимо анонимизируем их. Применяемые нами сроки хранения приведены ниже.

Если Персональные данные хранятся дольше срока существования аккаунта (например, платёжные записи или журналы аудита), мы применяем строгий контроль доступа и Обрабатываем данные только для остаточной цели, которая оправдала их хранение.

9. Дети

Сервис предназначен исключительно для физических лиц в возрасте не менее восемнадцати (18) лет. Мы сознательно не Обрабатываем Персональные данные лиц моложе восемнадцати (18) лет. Если Вам нет восемнадцати (18) лет, Вы не должны регистрироваться или использовать Сервис.

Если нам станет известно, что мы Обработали Персональные данные лица младше восемнадцати (18) лет, мы безотлагательно удалим эти данные и закроем аккаунт. Если Вы полагаете, что несовершеннолетний зарегистрировался в Сервисе, обратитесь к нам по privacy@ustio.app, чтобы мы могли провести расследование и принять необходимые меры.

10. Безопасность

Мы применяем технические и организационные меры, соответствующие характеру, объёму, контексту и целям Обработки, а также рискам различной вероятности и тяжести для прав и свобод Субъектов данных. Эти меры включают, не ограничиваясь:

• шифрование транспортного уровня (TLS 1.2 или выше) на всех соединениях с нашими публичными точками;
• шифрование в покое баз данных и томов объектного хранилища;
• одностороннее хэширование номеров телефонов, используемых для индексирования и ограничения частоты запросов;
• одностороннее хэширование токенов обновления перед сохранением;
• ролевой контроль доступа для сотрудников и подрядчиков, предоставляемый на принципе минимально необходимых полномочий и периодически пересматриваемый;
• двухфакторную аутентификацию для административных консолей и доступа к инфраструктуре;
• сегментацию сети между серверами приложений и серверами баз данных;
• межсетевой экран веб-приложений и контроль ограничения частоты запросов на публичных точках;
• комплексное журналирование аудита административных действий;
• автоматизированную модерацию контента, поддерживаемую человеческой проверкой;
• управление секретами и учётными данными через менеджер секретов и периодическую ротацию;
• сканирование уязвимостей, мониторинг зависимостей и патчинг безопасности;
• регулярные внешние шифрованные резервные копии с периодическими учениями по восстановлению;
• документированные процедуры реагирования на инциденты и уведомления о нарушениях.

Несмотря на эти меры, ни один метод передачи через Интернет и ни один метод электронного хранения не является стопроцентно (100%) безопасным. Хотя мы стремимся использовать коммерчески приемлемые средства для защиты Ваших Персональных данных, мы не можем гарантировать их абсолютную безопасность.

В случае нарушения безопасности персональных данных, которое может повлечь риск для Ваших прав и свобод, мы уведомим компетентный государственный орган и, в случаях, когда это требуется Законом о ПД, затронутых Субъектов данных без неоправданной задержки и в соответствии со сроками, указанными в применимых нормативных актах.

11. Cookie и аналогичные технологии (только Сайт)

Когда Вы посещаете Сайт, мы и наши уполномоченные партнёры используем cookie и аналогичные технологии следующим образом.

11.1 Строго необходимые cookie

Эти cookie требуются для работы Сайта (например, для запоминания Вашего языкового предпочтения и того, что Вы закрыли баннер cookie). Они не могут быть отключены в наших системах без того, чтобы части Сайта не перестали работать. Они не сохраняют напрямую идентифицирующие Персональные данные.

11.2 Аналитические cookie

Эти cookie позволяют нам измерять посещения и источники трафика, чтобы улучшать Сайт. Они устанавливаются только после того, как Вы дали Согласие через баннер cookie.

11.3 Маркетинговые cookie

В настоящее время мы не используем маркетинговые cookie. Если мы начнём использовать их в будущем, мы обновим настоящую Политику и запросим Ваше Согласие.

Вы можете в любое время управлять настройками cookie, перейдя по ссылке в нижней части Сайта или очистив cookie в Вашем браузере. Мобильное приложение не использует HTTP-cookie; аналитика в Мобильном приложении регулируется правилами раздела 5.4 и раздела 13.

12. Ваши права как Субъекта данных

С учётом ограничений и исключений, предусмотренных Законом о ПД и иным применимым законодательством, Вы обладаете следующими правами в отношении Ваших Персональных данных.

12.1 Право на доступ

Вы имеете право получать от нас подтверждение того, Обрабатываются ли Персональные данные, относящиеся к Вам, или нет, и в случае их Обработки — доступ к Персональным данным и информацию об Обработке.

Мы предоставляем самостоятельный доступ к большинству Ваших Персональных данных через Мобильное приложение (в разделе «Настройки → Конфиденциальность и данные»). По запросу мы также предоставим структурированный машиночитаемый архив Ваших Персональных данных (см. подпункт 12.6).

12.2 Право на исправление

Вы имеете право требовать от нас без неоправданной задержки исправления неточных Персональных данных, относящихся к Вам. Большинство полей профиля можно изменить непосредственно в Мобильном приложении. Для полей, которые нельзя изменить напрямую (например, телефонный номер, связанный с аккаунтом), обращайтесь на privacy@ustio.app.

12.3 Право на удаление

Вы имеете право требовать удаления Персональных данных, относящихся к Вам. Вы можете начать удаление аккаунта непосредственно в Мобильном приложении («Настройки → Удалить аккаунт»); после подтверждения Ваш аккаунт переходит в период ожидания тридцать (30) дней, в течение которого Вы можете отменить удаление, после чего Персональные данные, описанные в разделе 8, необратимо анонимизируются.

Мы можем сохранять определённые Персональные данные даже после того, как Вы потребовали удаления, если сохранение необходимо (i) для соблюдения правового обязательства, (ii) для установления, осуществления или защиты правовых требований или (iii) для архивирования в общественных интересах. В таких случаях сохранённые Персональные данные доступны только лицам, имеющим к ним доступ в силу их функций.

12.4 Право на ограничение Обработки

Вы имеете право требовать, чтобы мы ограничили Обработку Ваших Персональных данных в случаях, когда (i) оспаривается точность Персональных данных, на период, позволяющий нам проверить точность, (ii) Обработка является незаконной и Вы возражаете против удаления или (iii) нам больше не нужны Персональные данные для целей Обработки, но Вам они требуются для установления, осуществления или защиты правовых требований.

12.5 Право на возражение

Вы имеете право возразить, по причинам, относящимся к Вашей конкретной ситуации, против Обработки относящихся к Вам Персональных данных, основанной на законных интересах Оператора. Мы прекратим такую Обработку, если только мы не докажем убедительные законные основания, превосходящие Ваши интересы, права и свободы, или необходимость для установления, осуществления или защиты правовых требований.

Вы имеете абсолютное право в любое время возражать против Обработки относящихся к Вам Персональных данных в целях прямого маркетинга; после такого возражения мы прекратим Обрабатывать Ваши Персональные данные в этих целях.

12.6 Право на переносимость данных

Вы имеете право получить Персональные данные, которые Вы нам предоставили, в структурированном, общепринятом и машиночитаемом формате. Мы предоставляем самостоятельный инструмент экспорта данных в Мобильном приложении («Настройки → Конфиденциальность и данные → Экспортировать мои данные»), который создаёт архив, содержащий Ваши Персональные данные в форматах JSON и CSV. Ссылка на архив доставляется Вам (i) внутри Мобильного приложения и (ii) на Вашу подтверждённую электронную почту, действительна ограниченное время и затем безвозвратно удаляется из наших систем.

По операционным причинам (нагрузка на сервер, предотвращение злоупотреблений) инструмент экспорта данных может вызываться не чаще, чем один раз в двадцать четыре (24) часа.

12.7 Право на отзыв Согласия

Когда Обработка основана на Вашем Согласии, Вы имеете право отозвать такое Согласие в любое время, без ущерба для законности Обработки, основанной на Вашем Согласии, до его отзыва. Отзыв определённых Согласий (например, Согласия на трансграничные передачи) может сделать невозможным дальнейшее предоставление Сервиса; в этом случае мы проинформируем Вас о последствиях и можем приостановить или закрыть Ваш аккаунт.

12.8 Право на подачу жалобы

Вы имеете право подать жалобу в компетентный государственный орган Республики Узбекистан, ответственный за защиту персональных данных, в частности в Государственную инспекцию по контролю в сфере информатизации и телекоммуникаций, и, в применимых случаях, в надзорный орган Вашего обычного места жительства.

12.9 Как осуществлять Ваши права

Вы можете осуществлять описанные выше права:

• используя самостоятельные инструменты в Мобильном приложении, где они доступны;
• написав на privacy@ustio.app с адреса электронной почты, зарегистрированного на Ваш аккаунт, или указав в Вашем запросе информацию, достаточную для нашей проверки Вашей личности;
• написав на наш юридический адрес, указанный в начале настоящей Политики.

Мы ответим на Ваш запрос в течение тридцати (30) календарных дней с момента получения. Если запрос особенно сложен или Вы подали несколько запросов, мы можем продлить этот срок ещё на шестьдесят (60) календарных дней, о чём уведомим Вас в течение первоначального тридцатидневного периода с указанием причин продления.

Осуществление этих прав бесплатно, за исключением случаев, когда запросы явно необоснованны или чрезмерны (в частности, ввиду их повторяющегося характера), в этом случае мы можем взимать разумную плату или отказать в действии по запросу.

13. Разрешения мобильного приложения

Мобильное приложение запрашивает следующие разрешения устройства. Каждое разрешение запрашивается только при необходимости предоставления вызванной Вами функции, и Вы можете в любое время отозвать любое разрешение через настройки Вашего устройства.

Отказ от разрешения отключает только соответствующую функцию; Вы можете продолжать пользоваться остальной частью Сервиса.

14. Изменения настоящей Политики

Мы можем время от времени вносить изменения в настоящую Политику, в частности для отражения изменений в законодательстве, в наших практиках или в категориях осуществляемой нами Обработки. Текущая версия всегда доступна в Мобильном приложении и на Сайте.

Если изменение является существенным, мы заблаговременно уведомим Вас через один или несколько каналов: in-app баннер при следующем запуске, push-уведомление или e-mail на Вашу подтверждённую электронную почту. Изменение вступит в силу в дату, указанную в уведомлении; если Вы не согласны, Вы можете закрыть Ваш аккаунт до этой даты.

Незначительные и поясняющие изменения могут вступать в силу немедленно по публикации. Поля «Дата вступления в силу» и «Версия» в начале настоящей Политики указывают на самое последнее изменение.

Мы храним предыдущие версии настоящей Политики не менее десяти (10) лет и предоставляем их по запросу.

15. Контакты

По вопросам, касающимся настоящей Политики или Обработки Ваших Персональных данных, Вы можете связаться с нами:

• по электронной почте privacy@ustio.app (специальный адрес для запросов по конфиденциальности);
• по электронной почте support@ustio.app для общей поддержки;
• путём письма на наш юридический адрес, указанный в начале настоящей Политики;
• через Telegram-канал @ustio_uz.

Мы не требуем использования Telegram-канала для каких-либо запросов по конфиденциальности; мы ответим через канал, через который Вы с нами связались.

Приложение A — Текст согласия, используемый при регистрации

«Настоящим подтверждаю, что я прочёл и понял Политику конфиденциальности Ustio, включая описание категорий обрабатываемых Персональных данных, целей Обработки, получателей (в том числе находящихся за пределами Республики Узбекистан) и моих прав как Субъекта данных. Я даю согласие на Обработку моих Персональных данных в целях, изложенных в разделе 5 Политики конфиденциальности, включая трансграничные передачи, описанные в разделе 7. Мне исполнилось не менее восемнадцати (18) лет.»

Приложение Б — Текст согласия, используемый перед подачей KYC

«Я подтверждаю, что документ, удостоверяющий личность, и фотография селфи, которые я собираюсь подать, относятся ко мне лично. Я даю согласие на Обработку этих изображений Оператором в целях верификации личности и предотвращения мошенничества, включая их раскрытие уполномоченным сотрудникам и проверяющим Оператора, на сроки хранения, указанные в разделе 8 Политики конфиденциальности. Я понимаю, что эти изображения составляют специальную категорию Персональных данных.»

Приложение В — Глоссарий упомянутых органов и законов

• Закон о ПД: Закон Республики Узбекистан № ЗРУ-547 от 2 июля 2019 года «О персональных данных» (с изменениями).
• Закон об электронной коммерции: Закон Республики Узбекистан № ЗРУ-684 от 22 мая 2020 года «Об электронной коммерции».
• Закон о защите прав потребителей: Закон Республики Узбекистан № ЗРУ-221 (с изменениями) «О защите прав потребителей».
• Инспекция: Государственная инспекция по контролю в сфере информатизации и телекоммуникаций при Кабинете Министров Республики Узбекистан.
• GDPR: Регламент Европейского Парламента и Совета (ЕС) 2016/679 от 27 апреля 2016 года о защите физических лиц в отношении Обработки персональных данных и о свободном перемещении таких данных.

Конец Политики конфиденциальности.