Политика конфиденциальности

Владельцем персональных записей и оператором сайта buyro.ru является ОсОО "Пэй Флоу", адрес: Кыргызская Республика, г. Бишкек, Первомайский район, пер. Клубный, д. 18, кв. 5 (далее — «Оператор»).

Политика применяется к сайту buyro.ru, его публичной ленте, профилю, сохранённым фильтрам, промо-ссылкам и подключаемым функциям Telegram и сведений о заказах. Она подготовлена с учётом Цифрового кодекса Кыргызской Республики от 31 июля 2025 года № 178 и иных применимых требований.

Сторонние сайты и приложения после перехода из buyro обрабатывают данные по собственным правилам.

• При обычном просмотре: IP-адрес, User-Agent, дата и время запроса, запрошенная страница, технические события, сведения об ошибках и защите от злоупотреблений.
• Для промо-атрибуции: источник и код перехода, время редиректа и подтверждения посещения, случайный анонимный идентификатор браузерной сессии. Промо-механизм не записывает в событие сырой IP, полный Referer, номер телефона или текст поискового запроса.
• Для SMS-входа и профиля: номер телефона, необязательное отображаемое имя, внутренний ID, статус профиля, даты регистрации, входа и активности.
• Для безопасности: сведения о попытках входа, сроках и результате проверки, криптографические хеши токенов сессии, а также защищённые отпечатки IP-адреса и User-Agent. Сам одноразовый SMS-код в базе buyro не хранится.
• При добровольной привязке Telegram: подтверждённый Telegram ID, имя, username, фотография профиля, способ и время привязки. Пароль Telegram, access token и ID token постоянно не сохраняются.
• Для раздела заказов, если он подключён: ID и номер заказа, контейнер, статус, позиции, вес и тип товара, а также технические даты обновления кэша. Эти данные показываются только связанному пользователю.
• Для сохранённых фильтров: название набора, выбранные страны, марки, категории, поисковая строка, период актуальности и дата создания.
• Для оплаты индивидуального счёта: номер счёта, товар, назначение, сумма, идентификатор и подтверждённый статус платежа. Если Пользователь вошёл в Buyro до первого запуска оплаты, счёт связывается с внутренним ID его аккаунта. Контакт плательщика передаётся платёжному провайдеру и не сохраняется в базе Buyro; IP посетителя может передаваться провайдеру через доверенную серверную инфраструктуру. Реквизиты банковской карты Buyro не получает.
• Для администрирования: сведения о блокировке, активных сессиях и журнал действий уполномоченных администраторов.
• В исходных предложениях: текст и медиа из рабочих Telegram-публикаций. Если автор сам разместил там персональные данные, они могут попасть в сохранённую копию исходной публикации.

• непосредственно от Пользователя — при вводе телефона, входе и настройке профиля;
• автоматически от браузера и сетевой инфраструктуры — при запросе страниц, использовании cookie и локального хранилища;
• от Telegram — только при добровольной привязке профиля либо из публикаций подключённого рабочего канала;
• из связанной учётной системы 1С — только для авторизованного пользователя с подтверждённой Telegram-привязкой и при включённой функции заказов;
• от уполномоченных сотрудников — при обеспечении безопасности, поддержке и администрировании.

Оператор обрабатывает данные только в объёме, необходимом для следующих целей:

• показ публичной ленты, работа поиска, фильтров и постоянных ссылок;
• создание профиля, SMS-аутентификация, поддержание сессии и предоставление персональных функций;
• привязка Telegram и показ связанных сведений о заказах по инициативе Пользователя;
• сохранение фильтров и настроек между устройствами;
• оценка эффективности отдельных промо-размещений без привязки визита к продаже;
• оформление индивидуальных счетов, проведение и сверка платежей, показ подтверждённых покупок в личном кабинете и обработка обращений по оплате;
• предотвращение мошенничества, защита пользователей и инфраструктуры, диагностика ошибок;
• исполнение требований закона, рассмотрение обращений и защита законных требований.

Основанием служат заключение и исполнение Пользовательского соглашения, действия по инициативе Пользователя до отдельной сделки, обязанности Оператора по закону и законный интерес в безопасной и устойчивой работе сервиса, когда он не нарушает права Пользователя. Согласие запрашивается отдельно только тогда, когда для конкретной необязательной обработки нет другого предусмотренного законом основания.

buyro не принимает на основе персональных данных автоматических решений, которые создают для Пользователя юридические последствия. Автоматические лимиты безопасности могут временно остановить повторную отправку SMS, но не определяют права Пользователя по сделке.

Сайт использует необходимые first-party cookie и локальное хранилище:

• защищённая HttpOnly cookie сохраняет вход на устройстве, обычно до 400 дней с продлением при использовании;
• короткая cookie помогает безопасно завершить добровольную привязку Telegram;
• анонимная promo-session действует до 30 дней, а cookie подтверждения одного визита — до 15 минут;
• localStorage и sessionStorage могут хранить состояние фильтров, позицию ленты, техническое состояние входа и другие настройки текущего браузера.

Эти технологии нужны для входа, безопасности, непрерывности интерфейса и минимальной first-party аналитики. В текущей версии сайта не используются Google Analytics, Яндекс Метрика, рекламные пиксели или продажа профилей посетителей. При включении защиты Cloudflare Turnstile её техническая обработка выполняется только во время проверки от ботов.

Пользователь может удалить cookie и данные сайта в настройках браузера. После этого потребуется повторный вход, а сохранённое только в браузере состояние может быть потеряно.

В необходимом объёме данные могут обрабатываться или получать следующие категории лиц:

• Timeweb и поставщики базы данных или файлового хранилища — для размещения и работы сайта;
• платёжный провайдер, обслуживающие банки и участники СБП — для проведения и подтверждения платежа, рассмотрения возвратов и оформления платёжных документов;
• Notificore и операторы связи — для отправки и проверки сервисного SMS-кода;
• Telegram — при добровольной привязке профиля, работе подключённого бота и переходе в Telegram;
• оператор учётной системы 1С — при запросе связанного раздела заказов, если функция включена;
• Cloudflare — если для защиты SMS-формы включена проверка Turnstile;
• Telegram, MAX, VK и оператор телефонной связи — когда Пользователь сам выбирает внешний канал обращения;
• государственные органы и иные лица — только при наличии законного и обоснованного требования.

Оператор не продаёт персональные данные. Обработчики получают только сведения, необходимые для порученной функции, и должны соблюдать конфиденциальность и предусмотренные законом меры защиты.

Отдельные перечисленные выше поставщики инфраструктуры и внешние сервисы могут обрабатывать данные за пределами Кыргызской Республики. Такая обработка ограничивается объёмом, необходимым для работы выбранной Пользователем функции, и осуществляется на применимом основании: для исполнения пользовательского соглашения, выполнения действия по запросу Пользователя, при наличии отдельного согласия либо договорных гарантий обработчика — в зависимости от конкретного случая и требований статьи 89 Цифрового кодекса Кыргызской Республики.

При добровольном переходе во внешний сервис дальнейшая обработка также регулируется законодательством и правилами страны и владельца соответствующего сервиса.

• активный SMS-челлендж обычно действует до 5 минут; события отправки после 2 дней и завершённые челленджи после 30 дней подлежат технической очистке при очередном регламентном обслуживании;
• активная сессия профиля обычно действует до 400 дней и продлевается при использовании; истёкшая или отозванная запись подлежит очистке после дополнительного периода до 30 дней;
• promo-cookie действует до 30 дней, pending-cookie — до 15 минут;
• отдельный сохранённый фильтр хранится до его удаления Пользователем;
• профиль, Telegram-привязка, сведения о заказах и журналы хранятся, пока это необходимо для соответствующей функции, безопасности, исполнения соглашения, обязательного учёта или защиты требований.

Если для категории не установлен точный срок, он определяется продолжительностью цели обработки, активностью отношений с Пользователем, обязательными сроками по закону и периодом возможной защиты требований. После прекращения оснований данные удаляются или обезличиваются, кроме записей, которые закон разрешает сохранить для обязательного учёта, рассмотрения требований, статистики или защиты прав.

Оператор применяет организационные и технические меры с учётом характера данных и риска: HTTPS, разграничение доступа, серверное хранение секретов, HttpOnly и Secure cookie, криптографические хеши токенов, защищённые отпечатки сетевых признаков, журналирование административных действий, лимиты отправки SMS и резервное копирование.

Ни один способ передачи или хранения не исключает риск полностью. При инциденте Оператор принимает меры по ограничению последствий и выполняет предусмотренные законом обязанности по уведомлению.

Пользователь вправе:

• узнать, обрабатываются ли его данные, получить информацию об обработке и копию относящихся к нему записей;
• потребовать исправить или дополнить неточные данные;
• потребовать перенос данных в случаях, предусмотренных законом;
• потребовать удалить данные, когда цель или основание обработки прекратились;
• возразить против определённого способа или цели обработки и потребовать её ограничения;
• отозвать ранее данное согласие; это не прекращает обработку, для которой сохраняется другое законное основание;
• обратиться в Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики или в суд.

Запрос можно направить через официальный канал Оператора в Telegram либо письменно по адресу Оператора. Для защиты данных других лиц Оператор вправе проверить личность и полномочия заявителя. Информация, доступ и ответ на возражение предоставляются в срок до семи рабочих дней, если иной срок не установлен законом; данные удаляются при наличии предусмотренного законом основания.

Сайт регулятора: dpa.gov.kg.

Сервис ориентирован на профессиональный рынок и не предназначен для самостоятельного использования детьми. Оператор сознательно не запрашивает специальные сведения о детях. Если обработка данных ребёнка всё же необходима и отсутствует иное законное основание, она допускается только с соблюдением специальных требований и получением согласия законного представителя в предусмотренных законом случаях.

Актуальная редакция постоянно доступна по адресу buyro.ru/privacy. При существенных изменениях, связанных с условиями пользовательского соглашения, информация публикуется заранее с соблюдением применимого срока уведомления.

По вопросам обработки данных можно обратиться к ОсОО "Пэй Флоу" через официальный канал в Telegram либо направить письменное обращение по адресу: Кыргызская Республика, г. Бишкек, Первомайский район, пер. Клубный, д. 18, кв. 5.

ОГРН:

326149-3301-ООО

ИНН:

9909762323