Политика информационной безопасности

1. Оплата и реквизиты держателей

• Оплата на сайте принимается только через Систему быстрых платежей (СБП). Для оплаты покупатель переходит на защищённую платёжную страницу банка-эквайера, которую предоставляет платёжный сервис Paysido, и подтверждает платёж в приложении своего банка.
• Сайт не получает, не обрабатывает и не хранит данные банковских карт и счетов (реквизиты держателей). Полей для ввода таких реквизитов на сайте нет.
• От платёжного сервиса сайт получает только статус платежа, идентификатор операции и сумму.
• Защиту платёжных данных на платёжной странице, в том числе по требованиям стандарта PCI DSS там, где он применяется, обеспечивают платёжный сервис и банк-эквайер в своей инфраструктуре. Оператор такие данные не обрабатывает.

2. Защищённое соединение

• Сайт работает только по протоколу HTTPS. Запросы по незащищённому протоколу HTTP автоматически перенаправляются на HTTPS.
• Используются протоколы TLS 1.2 и TLS 1.3; устаревшие версии протокола отключены.
• Включён механизм HSTS: браузер, однажды открывший сайт, дальше обращается к нему только по защищённому соединению.
• Сертификат выпущен центром сертификации Let's Encrypt и своевременно обновляется.
• Обмен данными между сервером сайта и платёжным сервисом идёт по HTTPS, каждый запрос подписывается секретным ключом (HMAC-SHA256).

3. Какие данные мы получаем

• при оформлении заказа: адрес электронной почты;
• сведения о заказе: сервис, тариф, количество, сумма, номер заказа, статус и идентификатор платёжной операции, а также переданные вам данные доступа (логин, код или ключ активации);
• при обращении в поддержку: имя, адрес электронной почты, тема, номер заказа и текст обращения; в окне «Написать нам» — текст сообщения, контакт для ответа и адрес страницы, с которой вы написали;
• технические данные: IP-адрес, сведения о браузере, дата и время запроса — в журналах веб-сервера.

4. Хранение и доступ

• Данные заказов и обращений хранятся на сервере сайта. Они не публикуются и не передаются в рекламные или аналитические сервисы.
• Открытых интерфейсов для просмотра списков заказов на сайте нет. Страница заказа открывается только по личной ссылке со случайным ключом; по номеру заказа или адресу электронной почты её не открыть.
• Доступ к данным есть только у уполномоченных сотрудников и только в объёме, необходимом для их работы: оформление и выдача заказа, поддержка, возвраты.
• Доступ предоставляется персонально и отзывается сразу, когда в нём больше нет необходимости.
• Секретные ключи платёжного сервиса и других интеграций хранятся только в защищённой конфигурации сервера: их нет в коде страниц, они не передаются в браузер и не пересылаются по электронной почте.
• Данные доступа к цифровому товару показываются только на странице заказа по личной ссылке. Найти заказ без ссылки можно лишь по паре «номер заказа + адрес электронной почты», а число попыток поиска ограничено.

5. Сроки хранения и удаление

• Данные заказа — 5 лет с даты заказа.
• Переписка с поддержкой — не дольше: 1 год с момента закрытия обращения.
• Журналы веб-сервера — не более 90 дней, затем удаляются автоматически.
• По истечении сроков, а также после отзыва согласия данные удаляются или обезличиваются в течение 30 дней, кроме данных, которые Оператор обязан хранить по закону.

6. Передача данных

• Платёжному сервису и банку-эквайеру передаются только сведения, нужные для платежа: номер и состав заказа, сумма и адрес электронной почты для чека.
• Поставщику цифрового товара передаются только артикул и количество; адрес электронной почты — лишь когда без него нельзя активировать товар на учётной записи покупателя.
• Уведомления о новых заказах и обращениях приходят уполномоченным сотрудникам по защищённому шифрованному каналу и содержат только сведения, необходимые для обработки заказа.
• Данные передаются только по защищённым каналам связи. Пересылка данных покупателей в открытом виде по незащищённым каналам запрещена.

7. Защита сервера

• Межсетевой экран пропускает только необходимые соединения: веб-трафик по HTTPS и служебный доступ для администрирования.
• Включена защита от подбора паролей: после серии неудачных попыток входа адрес блокируется.
• Доступ к администрированию сервера есть только у уполномоченных лиц по защищённому соединению.
• Операционная система и программное обеспечение сервера регулярно обновляются, обновления безопасности устанавливаются в приоритетном порядке.
• Создаются резервные копии программного обеспечения и настроек сайта, чтобы восстановить работу после сбоя.
• Ведутся журналы обращений к сайту и ошибок; они используются для выявления атак и разбора инцидентов.

8. Защита платёжных уведомлений

• Содержимому уведомления о статусе оплаты сайт верит, только если оно подписано секретным ключом (HMAC-SHA256). Подпись сверяется способом, устойчивым к атакам по времени.
• Подписанные уведомления старше 5 минут отклоняются, чтобы старое уведомление нельзя было отправить повторно. Уведомление с неверной подписью отклоняется и не меняет статус заказа.
• Если уведомление не подписано, статус из него не берётся: сайт сам запрашивает статус операции у платёжного сервиса по защищённому каналу с подписанным запросом и меняет заказ только по его ответу.
• Каждый платёж создаётся с уникальным ключом идемпотентности, привязанным к заказу: повторное уведомление о том же статусе не меняет заказ повторно, а товар выдаётся один раз.

9. Действия при инциденте

• При подозрении на утечку или несанкционированный доступ затронутые учётные записи, ключи и сервисы немедленно блокируются, секретные ключи заменяются.
• Проводится расследование: по журналам устанавливаются причина, время и объём затронутых данных, уязвимость устраняется.
• Покупателей, чьи данные затронуты, мы уведомляем по электронной почте, указанной в заказе, и сообщаем, какие данные затронуты и что рекомендуем сделать.
• Если этого требует закон, об инциденте уведомляются уполномоченные органы, а также платёжный сервис и банк-эквайер.

10. Сообщить об уязвимости или инциденте

Если вы обнаружили уязвимость на сайте или подозреваете, что ваши данные использовали без вашего ведома, напишите на support@kvantoo.shop с темой «Безопасность». Опишите, что произошло, и укажите номер заказа, если он есть. Мы подтвердим получение и сообщим о результатах проверки.

11. Рекомендации покупателю

• Никому не сообщайте коды из СМС и пуш-уведомлений банка. Сотрудники Kvantoo никогда их не запрашивают.
• Перед оплатой проверьте адрес страницы в браузере и наличие защищённого соединения. Оплату подтверждайте только в официальном приложении своего банка.
• Сверьте сумму в приложении банка с суммой заказа на сайте.
• Указывайте свой адрес электронной почты и защитите его надёжным паролем — по нему вместе с номером заказа находится заказ. Не пересылайте ссылку на страницу заказа посторонним: по ней открываются данные доступа.
• Не передавайте полученные данные доступа третьим лицам и, если сервис это позволяет, смените пароль после первого входа.

12. Связанные документы

Состав, цели и сроки обработки персональных данных описаны в документах «Политика обработки персональных данных» (kvantoo.shop/privacy) и «Согласие на обработку персональных данных» (kvantoo.shop/consent). Условия заказа — в документах «Публичная оферта» и «Политика возврата».

Реквизиты оператора

• Полное наименование: Общество с ограниченной ответственностью «Ай-Кир»
• Сокращённое наименование: ОсОО «Ай-Кир»
• Страна регистрации: Кыргызская Республика
• Регистрационный номер: 161989-3301-ООО
• ИНН: 01310201610067
• Юридический адрес: Кыргызская Республика, город Бишкек, Первомайский район, ул. Волкова, 151
• Электронная почта: support@kvantoo.shop
• Сайт: kvantoo.shop