Политика конфиденциальности и обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет, какие персональные данные собираются и обрабатываются при использовании сайта Flashback (далее — Сайт), для каких целей, как они хранятся и защищаются, а также права лиц, чьи данные обрабатываются.

1.2. Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» и иными нормативными правовыми актами Республики Казахстан.

1.3. Термины «персональные данные», «субъект», «оператор», «обработка», «сбор», «хранение», «уничтожение», «обезличивание» используются в значениях, установленных указанным Законом.

2. Оператор персональных данных

2.1. Собственником и оператором персональных данных является ИП «АЛИШЕР Е», ИИН 970804301535 (далее — Оператор). Оператор является продавцом билетов на Сайте; его сведения и адрес размещены на странице «Продавец и организатор».

2.2. Мероприятия, билеты на которые продаются на Сайте, Оператор проводит под брендом Flashback Concert Group.

2.3. Контакты для обращений по вопросам персональных данных указаны в разделе 15.

3. Какие данные мы обрабатываем

3.1. Данные покупателя при оформлении заказа: имя и фамилия, номер телефона, адрес электронной почты.

3.2. Данные заказа: мероприятие, категория и количество билетов, сумма, статус заказа, дата и время оформления, номера и коды билетов, сведения о проходе на мероприятие, версии принятых документов, дата и время согласий.

3.3. Данные о платеже: сумма, валюта, статус и идентификаторы операции, полученные от платёжного сервиса. Номер банковской карты, срок её действия и код CVV Сайт не получает и не хранит — они вводятся на стороне платёжного сервиса.

3.4. Технические данные: IP-адрес (для защиты от злоупотреблений и ограничения частоты запросов), идентификатор сессии браузера, служебные журналы работы Сайта. Ссылки на страницы заказов в журналы не записываются.

3.5. Данные обращений: сведения, которые покупатель сообщает при обращении в службу поддержки по телефону, в мессенджерах или письменно.

3.6. Оператор не собирает биометрические данные, сведения о здоровье, религиозных или политических убеждениях и не требует данных документов, удостоверяющих личность, при покупке билета. Проверка документа на входе возможна только в случаях, указанных в правилах мероприятия (например, при возрастных ограничениях), без сохранения его данных на Сайте.

4. Цели обработки

4.1. Оформление, бронирование и оплата заказа; заключение и исполнение договора купли-продажи билетов.

4.2. Выдача электронных билетов, направление билетов и уведомлений о заказе, переносе, отмене или изменении мероприятия — по электронной почте, SMS или в мессенджерах.

4.3. Контроль прохода на мероприятие и предотвращение повторного использования билетов.

4.4. Рассмотрение обращений, проведение возвратов и сверка платежей.

4.5. Обеспечение безопасности Сайта, защита от мошенничества и автоматизированных злоупотреблений.

4.6. Исполнение обязанностей, установленных законодательством Республики Казахстан, в том числе в сфере бухгалтерского и налогового учёта.

4.7. Рекламные и маркетинговые рассылки Оператор не направляет. Если они появятся, для них будет запрашиваться отдельное необязательное согласие.

5. Правовые основания и согласие

5.1. Персональные данные обрабатываются на основании согласия субъекта, а также в случаях, когда обработка необходима для исполнения требований законодательства Республики Казахстан.

5.2. Согласие даётся в электронной форме при оформлении заказа отдельной отметкой, которая не проставлена заранее. Текст согласия опубликован на странице «Согласие на сбор и обработку персональных данных». Без согласия оформить заказ нельзя, поскольку без контактных данных невозможно выдать билет и связаться с покупателем.

5.3. Оператор сохраняет факт согласия, дату и время его получения и версию текста согласия.

5.4. Согласие на обработку персональных данных даётся отдельно от подтверждения ознакомления с публичной офертой и Правилами покупки.

6. Оформление заказов и электронные билеты

6.1. Доступ к заказу и билетам предоставляется по секретной ссылке, известной только покупателю, и в разделе «Мои билеты» того браузера, в котором оформлялся заказ. Доступ к заказу по номеру телефона, адресу электронной почты или номеру заказа не предоставляется.

6.2. На странице заказа адрес электронной почты и телефон покупателя показываются частично скрытыми.

6.3. Электронный билет содержит название мероприятия, дату, место, категорию, номер билета и заказа, QR-код и код ручного ввода. Имя, телефон и электронная почта покупателя в билет не включаются.

6.4. При проходе на мероприятие сотрудники проверяют билет; Оператор фиксирует факт и время прохода и сотрудника, проводившего проверку.

7. Платежи

7.1. Онлайн-платежи принимает платёжный сервис (банк или платёжная организация), с которым у Оператора заключён договор.

7.2. Платёжному сервису передаются сведения, необходимые для проведения платежа и возврата: сумма, валюта, номер заказа и технический идентификатор платежа. Платёжные данные карты покупатель вводит непосредственно на стороне платёжного сервиса, который обрабатывает их по своим правилам.

7.3. Оператор получает от платёжного сервиса только результат операции и её идентификаторы.

8. Передача данных третьим лицам

8.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам для рекламы.

8.2. Данные могут передаваться в объёме, необходимом для целей раздела 4:

• платёжному сервису — для проведения платежей и возвратов (раздел 7);
• сервису электронной почты Gmail (Google LLC) — для доставки писем с билетами и уведомлений: адрес электронной почты, имя, сведения о заказе и билеты в формате PDF;
• поставщику услуг хостинга — для размещения Сайта и баз данных;
• сотрудникам и привлечённым Оператором лицам, допущенным к обработке на условиях конфиденциальности, — для проведения мероприятия, контроля прохода и поддержки покупателей;
• государственным органам — в случаях, предусмотренных законодательством Республики Казахстан.

9. Хранение данных и трансграничная передача

9.1. Законодательство Республики Казахстан требует хранить персональные данные в базе, находящейся на территории Республики Казахстан.

9.2. Письма с билетами доставляются через сервис электронной почты. Обработка писем таким сервисом может осуществляться за пределами Республики Казахстан. В этом случае адрес электронной почты, имя, сведения о заказе и билеты в формате PDF передаются для доставки письма за пределы Республики Казахстан (трансграничная передача) на основании согласия покупателя.

Сервис электронной почты: Gmail (Google LLC).

9.3. Иная трансграничная передача персональных данных осуществляется только в случаях и порядке, предусмотренных законодательством Республики Казахстан.

10. Сроки хранения и уничтожение

10.1. Персональные данные хранятся до достижения целей их сбора и обработки (исполнение договора, проведение мероприятия, рассмотрение обращений и возвратов), если иной срок не установлен законодательством Республики Казахстан.

10.2. Сведения о заказах, платежах и возвратах, необходимые для бухгалтерского и налогового учёта, хранятся в течение сроков, установленных законодательством Республики Казахстан, в обезличенном виде, когда это допускается.

10.3. Данные заказов с незавершённым возвратом или обращением не обезличиваются до их завершения.

10.4. Сессия браузера, в которой хранится история заказов раздела «Мои билеты», действует до 12 часов.

10.5. При отзыве согласия или достижении целей обработки данные уничтожаются или обезличиваются, если их хранение не требуется законодательством.

11. Меры защиты

11.1. Оператор применяет правовые, организационные и технические меры защиты, в том числе:

• доступ к заказам и билетам только по секретным ссылкам и в сессии браузера покупателя;
• хранение ссылок доступа к заказам в базе данных только в защищённом виде;
• разграничение прав сотрудников и двухфакторная аутентификация для служебного доступа;
• журналирование действий сотрудников с заказами, билетами и возвратами;
• исключение ссылок на заказы и секретных кодов из служебных журналов;
• ограничение частоты запросов и защита форм от подделки межсайтовых запросов;
• отказ от хранения платёжных данных банковских карт.

11.2. Передача данных между браузером и Сайтом осуществляется по защищённому протоколу HTTPS.

12. Файлы cookie

12.1. Сайт использует только технические cookie, без которых он не работает:

• sessionid — сессия браузера: история заказов в разделе «Мои билеты»; хранится до 12 часов;
• csrftoken — защита форм от подделки запросов;
• fb_staff_device — только для сотрудников: доверенное устройство при входе.

12.2. Аналитические и рекламные cookie и сторонние счётчики на Сайте не используются. Если они появятся, Политика будет обновлена, а для необязательных cookie будет запрашиваться согласие.

12.3. Удаление cookie в браузере приводит к потере истории заказов в разделе «Мои билеты»; доступ по ссылке из письма сохраняется.

13. Права субъекта персональных данных

13.1. Субъект вправе в порядке, установленном законодательством Республики Казахстан:

• знать о наличии у Оператора своих персональных данных и получать информацию об их обработке;
• требовать изменения и дополнения своих персональных данных при наличии оснований;
• требовать блокирования и уничтожения персональных данных, обработка которых осуществляется с нарушением законодательства;
• отозвать согласие на обработку персональных данных, кроме случаев, предусмотренных законом;
• обжаловать действия Оператора в уполномоченном органе в сфере защиты персональных данных или в суде;
• осуществлять иные права, предусмотренные законодательством.

13.2. Обращения рассматриваются в сроки, установленные законодательством Республики Казахстан. Для защиты данных Оператор вправе попросить подтвердить, что обращение направлено самим субъектом (например, с адреса или номера, указанного в заказе).

14. Отзыв согласия

14.1. Согласие отзывается обращением к Оператору по контактам раздела 15 с указанием номера заказа и контактных данных, указанных в нём.

14.2. В течение пятнадцати рабочих дней Оператор прекращает обработку персональных данных, если их хранение или обработка не требуется законодательством Республики Казахстан, либо направляет мотивированный отказ.

14.3. Согласие не может быть отозвано, если это противоречит законам Республики Казахстан либо при наличии неисполненного обязательства. Отзыв согласия до мероприятия может сделать невозможным направление уведомлений о заказе; оплаченные билеты при этом не отменяются.

15. Контакты для обращений

15.1. Телефон, WhatsApp и Telegram службы поддержки: +7 708 593 60 34, режим работы 10:00–22:00. Порядок обращения — на странице «Контакты».

15.2. Письменные обращения направляются по адресу Оператора, указанному на странице «Продавец и организатор».

16. Несовершеннолетние

16.1. Оформлять заказы на Сайте должны совершеннолетние дееспособные лица. Если билет приобретается для несовершеннолетнего, заказ оформляет и даёт согласие его законный представитель.

16.2. Оператор сознательно не собирает данные несовершеннолетних без согласия законных представителей. При обнаружении таких данных они удаляются по обращению законного представителя.

17. Обновление Политики

17.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с указанием даты.

17.2. Версия согласия, принятая покупателем, сохраняется вместе с заказом. Изменения, требующие нового согласия, применяются только после его получения.