Политика конфиденциальности Cifra Card

Статус: release-блокер

1. Кто обрабатывает данные

Оператор: Не задано — production-релиз заблокирован

Адрес: Не задано — production-релиз заблокирован

Сайт: https://cifracard.com

Обращения: Не задано — production-релиз заблокирован

2. Какие данные использует сервис

• идентификаторы учётной записи и контактный email;
• данные аутентификации и события безопасности;
• сведения о заказах, платежах, возвратах и выданных продуктах;
• сведения, требуемые провайдером идентификации, когда отдельная операция требует KYC;
• технические журналы: IP-адрес, user agent, время запроса, идентификаторы сессии и события аудита;
• необязательные аналитические события — только при настроенном счётчике и после выбора пользователя в баннере cookie.

PAN, CVC, одноразовые коды, пароли и провайдерские ключи не должны попадать в публичные страницы, аналитические события или журналы.

3. Для чего нужны данные

• создание и защита учётной записи;
• создание, исполнение и отображение заказов;
• проверка платежей, вебхуков и повторных запросов;
• выдача виртуальных карт, eSIM и цифровых товаров через провайдеров;
• предотвращение злоупотреблений, расследование ошибок и аудит;
• исполнение применимых договорных и юридических требований.

4. Получатели данных

Данные передаются только в объёме, необходимом для конкретной операции: платёжным провайдерам, поставщикам виртуальных карт, eSIM и цифровых товаров, провайдерам идентификации, инфраструктуры и доставки email. Самостоятельные условия таких поставщиков применяются там, где они выступают отдельными операторами.

5. Cookie и аналитика

Обязательные cookie поддерживают сессию, CSRF-защиту и выбранные настройки. Реферальные, UTM- и consent-cookie изолированы пространством имён Cifra Card. Аналитический скрипт, preconnect, noscript и цели не выводятся, если идентификатор аналитики отсутствует; при наличии они включаются только согласно выбору пользователя.

6. Срок хранения и права

Сроки хранения зависят от типа данных, состояния договора, требований платёжных и финансовых правил, безопасности и применимого права. Подтверждённые сроки, юрисдикция, основания обработки и порядок реализации прав субъекта должны быть добавлены юридической командой до production.

7. Защита данных

Сервис использует разграничение пользовательской и административной аутентификации, параметризованные SQL-запросы, проверку подписи вебхуков, идемпотентность финансовых операций, аудит действий и изолированные провайдерские границы. Эти меры не заменяют обязательное юридическое и инфраструктурное согласование production-среды.

8. Обновление документа

Финальная редакция должна содержать подтверждённые реквизиты оператора, применимое право, сроки хранения и рабочий канал обращений. До этого проект может использоваться только в локальной и тестовой среде.