Безопасность и персональные данные
Раздел объясняет, какие данные платформа собирает, где они хранятся, кто к ним имеет доступ и на каком правовом основании это происходит.
Этот текст описывает устройство платформы и не является юридической консультацией. Формулировки согласий, сроки хранения и состав договорных обязательств фиксируются в договоре и в политике конфиденциальности.
Кто оператор персональных данных#
Оператором персональных данных выступает Simple Loyalty Pass. Гость даёт согласие в пользу платформы; заведение получает доступ к данным своих гостей в рамках программы лояльности — на основании договора с платформой и согласия гостя.
Такая схема выбрана осознанно: гость в SLP имеет единый профиль, а карта заведения — это членство в конкретной программе. Схема «каждое заведение — самостоятельный оператор» с единым профилем гостя несовместима.
Практическое следствие для заведения: обязанности оператора (уведомление регулятора, размещение политики, обработка обращений гостей об удалении данных) в части платформы лежат на нас, а не на вас.
Какие данные мы храним#
| Данные | Зачем | Откуда |
|---|---|---|
| Номер телефона (подтверждённый) | ключ гостя, идентификация в Wi-Fi, карта лояльности | портал, приложение |
| Имя, дата рождения, e-mail | обращение к гостю, поздравления | гость указывает сам |
| История покупок: суммы, позиции, даты, заведение | начисления, уровни, аналитика, сегменты | закрытые чеки с кассы |
| Бонусные операции: начисления, списания, сгорания, корректировки | учёт баланса, разбор спорных ситуаций | бонусный движок |
| Данные сессии Wi-Fi: адрес устройства, IP, время | требование закона о связи, аналитика посещений | Wi-Fi-портал |
| Согласия: тип, версия документа, дата, канал | правовое основание обработки | портал, приложение |
| Брони: имя, телефон, комментарии, история неявок | работа хостес | борд броней, приложение |
Мы не храним данные банковских карт гостей и не проводим платежи гостей: оплата бонусами — это внутренний учёт, а не денежная операция.
Где хранятся данные#
Все персональные данные размещаются на серверах в России — в соответствии с требованием о локализации.
Данные разделены по целям: журналы сетевого доступа (обязанность по законодательству о связи) и данные программы лояльности хранятся раздельно, потому что у них разные основания обработки и разные сроки хранения.
Согласия гостя: их два#
Это принципиальный момент, который часто путают.
1. Согласие на обработку персональных данных. Обязательно для участия в программе лояльности. Без него гость не получает карту и не копит бонусы.
2. Согласие на рекламные рассылки. Отдельное, добровольное. Отказ от рекламы не лишает гостя карты и бонусов — он просто не получает маркетинговых сообщений.
Оба согласия версионируются: фиксируется, какую именно редакцию документа и когда принял гость. Отозвать согласие можно в любой момент из приложения.
Отдельно про Wi-Fi. Подтверждение номера телефона при подключении к публичной сети — это законная обязанность заведения, а не согласие на маркетинг. Поэтому интернет выдаётся сразу после подтверждения номера, даже если гость отказался от участия в программе лояльности. Экран согласий показывается уже после выдачи доступа.
Как платформа проверяет согласие#
Проверка встроена в рассылочный движок, а не оставлена на дисциплину сотрудников:
- каждое сообщение классифицируется как сервисное или рекламное;
- рекламное уходит только тем, у кого активно согласие на рекламу;
- действуют ограничение частоты (не более одного рекламного сообщения в день) и тихие часы (с 22:00 до 10:00 по времени заведения).
Обойти эти правила из кабинета нельзя.
Доступ сотрудников заведения#
- Вход в кабинет — телефон и пароль плюс подтверждение входящим звонком с этого же номера (двухфакторная аутентификация обязательна, отключить её нельзя). Браузер запоминается на 30 дней; смена пароля сбрасывает это доверие на всех устройствах сразу.
- Права по ролям. Владелец, Управляющий, Администратор, Маркетолог, Хостес — у каждой роли свой набор разделов. Всё, что не разрешено роли явно, запрещено. Маркетолог не имеет доступа к операциям с бонусами, хостес — только к броням.
- Изоляция заведений. Данные ограничены заведением на уровне базы данных: сотрудник одного заведения не может получить данные другого, даже через ошибку в интерфейсе.
- Планшет борда броней авторизуется отдельно: устройство привязывается разовым кодом, а сотрудник входит коротким PIN-кодом. Полноценные права кабинета через борд не выдаются.
Журнал действий#
Каждое ручное действие с деньгами и доступом записывается: кто, когда, что именно изменил (значение до и после) и с каким комментарием.
Комментарий обязателен и без него операция не сохранится для действий: ручное начисление бонусов, корректировка баланса, добавление и удаление из чёрного списка, изменение правил программы и лестницы уровней, ручное сторно, блокировка карты.
Журнал доступен только на чтение — его нельзя отредактировать или очистить, в том числе владельцу.
Защита каналов#
| Участок | Как защищён |
|---|---|
| Приложение гостя ↔ платформа | подтверждение по номеру телефона, шифрованное соединение |
| Кабинет ↔ платформа | пароль + одноразовый код, шифрованное соединение, права по ролям |
| Плагин кассы ↔ платформа | индивидуальный токен терминала, шифрованное соединение |
| Обновления плагина | подписанные релизы: касса не примет неподписанное обновление |
| Доступ к облаку iiko заведения | учётные данные хранятся в защищённом хранилище секретов |
| Wi-Fi-портал | подписанные параметры перехода, ограничение частоты отправки кодов |
Отдельно: токены касс отзываются при деактивации точки — потерянный или скомпрометированный терминал отключается от платформы, при этом сама касса продолжает работать.
Отказоустойчивость и резервные копии#
- Приложение работает на нескольких серверах: отказ одного не останавливает сервис.
- База данных резервируется по расписанию, копии складываются в отдельное хранилище; процедура восстановления регулярно проверяется на репетициях.
- Отказ платформы не блокирует кассу и не мешает заведению обслуживать гостей.
Права гостя#
Гость может:
- отозвать согласие на рекламу, сохранив карту и бонусы;
- отозвать согласие на обработку данных и потребовать удаления;
- посмотреть свою историю операций и баланс в приложении.
Обращения гостей по вопросам персональных данных обрабатывает платформа как оператор.