Политика конфиденциальности

Оператор персональных данных по Personal Data Protection Act B.E. 2562 (2019) Таиланда (Thai PDPA) — PHUKET 24 ONLINE CO., LTD., бренд TVR Border Run («мы», «Компания»).

Tax ID: 0835561011742. Адрес: 96/7 Moo 7, Soi Saiyuan, Rawai, Phuket 83130, Thailand.

По вопросам данных и реализации прав: info@tvr.asia. Это контактный адрес по вопросам данных; он не означает назначения отдельного Data Protection Officer.

Политика относится к сайту, заявкам на бордер-ран, Telegram-боту, Telegram Mini App, входу и личному кабинету, переписке и уведомлениям о поездках. Она описывает обработку данных физических лиц.

Заявка и организация поездки

Имя и указанные контакты: телефон, WhatsApp, Telegram, email, Line или другой выбранный канал; язык; маршрут, формат и дата поездки, тип штампа, число взрослых и возраст детей, выбранные места и питание, комментарий, ссылка на геолокацию или место сбора. Сохраняются расчёт стоимости, статус заявки и связанные с её обработкой сведения, включая заметки менеджера.

Имя, хотя бы один контакт и основные параметры поездки нужны для обработки заявки. Не передавайте в комментариях сведения о здоровье, убеждениях и другие специальные категории данных, не требующиеся для поездки. Форма не предусматривает их отдельного сбора.

Telegram, вход и кабинет

При использовании бота, входе через Telegram или Mini App обрабатываются Telegram ID, username при наличии, имя и фамилия профиля, язык и данные проверки подлинности Telegram. Бот использует временное состояние диалога для прохождения шагов заявки.

При входе по email обрабатываются адрес, подтверждение адреса и одноразовая ссылка. Для сессии сохраняются технический идентификатор, данные браузера (User-Agent), время создания, последнего использования и окончания действия. Запрос ссылки также сохраняет IP и User-Agent.

Кабинет объединяет способы входа, заявки, имя, контакты и настройки уведомлений. Контакты пополняются из входа и заявок, их можно править в профиле. Сохранённые места — ссылки на места сбора из прошлых заявок. При явной привязке способа входа, уже связанного с другим аккаунтом, код объединяет аккаунты и их историю.

Письма, сообщения и технические данные

Обрабатываются адрес получателя, содержание служебного письма и состояние доставки: ссылка входа или подтверждения, письмо о принятой заявке, напоминания о поездке и окончании штампа, уведомления о заявке. Настройки включают также новости; уведомления по выбранным категориям и каналам зависят от настроек аккаунта. В письмах предусмотрена отписка. Переписка с менеджером обрабатывается через выбранный вами канал связи.

IP используется, чтобы ограничивать слишком частые запросы; для этого хранятся не сами адреса, а их хеши. Обрабатываются также время запросов, технические события и ошибки в журналах. Это нужно для работы сервиса и защиты от злоупотреблений.

• Приём и сопровождение заявки, расчёт поездки, связь с вами, организация сбора и поездки, служебные уведомления — действия по вашему запросу до заключения договора и его исполнение (Section 24(3) Thai PDPA).
• Работа кабинета и способов входа, сохранение настроек, предотвращение спама и несанкционированного доступа, диагностика ошибок — законный интерес Компании в работоспособном и безопасном сервисе (Section 24(5)).
• Необязательная аналитика посещений — предварительное согласие (Section 19). Отказ не ограничивает заявку, вход или связь с менеджером.
• Выполнение применимых требований закона и защита юридических требований — юридическая обязанность (Section 24(6)) и законный интерес (Section 24(5)).

Настроить уведомления можно в кабинете и боте; почтовую отписку — по ссылке в письме. Отписка от уведомлений не отменяет обработку запроса на вход или вашей заявки.

Необходимые cookies и настройки

• tvr_session — сессия кабинета, 90 дней; срок продлевается при обновлении действующей сессии. Cookie имеет HttpOnly и SameSite=Lax, в production используется Secure. Выход удаляет cookie и серверную сессию.
• tvr_locale и tvr_theme — выбранные язык и тема, до одного года. Тема также может сохраняться в Telegram CloudStorage.
• tvr_cookie_consent, когда включён механизм cookie-согласия, сохраняет разрешение или отказ от аналитики на один год. Это сохранение выбора, а не аналитическое отслеживание.

Черновик заявки

Для восстановления заявки используется localStorage браузера (tvr:draft:v1), а в Telegram при доступности — CloudStorage (tvr_draft_v1). Черновик может содержать контакты, параметры поездки и место сбора. Автоматический срок истечения черновика не задан. Локальные данные можно удалить средствами браузера; CloudStorage является отдельным хранилищем Telegram, очистка браузера не означает его очистку.

Необязательная аналитика

Если включены аналитические модули, их скрипты и cookies загружаются только после разрешения аналитики, в том числе в Mini App. Выбор можно изменить через «Настройки cookies» в подвале при доступности этого механизма. При отзыве разрешения страница перезагружается и дальнейшая аналитическая обработка прекращается. Отзыв не отменяет законность предшествующей обработки и сам по себе не гарантирует удаления уже собранных данных.

Google Analytics 4 и Яндекс Метрика

При включённых настройках и вашем согласии эти сервисы могут получать сведения о посещениях и просмотрах страниц, URL, источнике перехода, времени события, cookie-идентификаторах, IP, приблизительном местоположении, браузере и устройстве. Это псевдонимные, а не гарантированно анонимные данные. Данные заявки и контакты не предназначены для передачи в аналитику.

Интеграция Метрики предусмотрена без Вебвизора и карты кликов. Отключённый сервис не должен загружаться. Срок хранения аналитики определяется настройками соответствующего аккаунта и правилами поставщика.

Google reCAPTCHA v3

Когда защита включена, reCAPTCHA v3 используется при отправке заявки и запросе ссылки входа по email. Это строго необходимая защита от автоматизированных запросов, не зависящая от согласия на аналитику. Google может обрабатывать IP, параметры браузера и устройства, сигналы взаимодействия и cookie _GRECAPTCHA; токен нужен для проверки запроса.

Проверка защищает отправку формы и вход, а не принимает решение о возможности поездки или въезда в страну. Если защита мешает отправить заявку, свяжитесь с менеджером через контакты.

Доступ в необходимом объёме получают сотрудники и менеджеры TVR, сопровождающие заявки; поставщики технической инфраструктуры, включая хостинг AWS; поставщик почтовой доставки через SMTP; Telegram при работе бота, входа, Mini App и CloudStorage; Google при включённой reCAPTCHA; Google и Яндекс при согласии на включённую аналитику. Выбранные вами мессенджеры и другие каналы связи обрабатывают сообщения по собственным правилам.

Передача государственным органам и другим получателям возможна, когда этого требует применимое законодательство. Поставщики, действующие по нашему поручению, должны использовать данные в согласованных целях и обеспечивать надлежащую защиту. Мы не продаём персональные данные.

Google, Яндекс, Telegram, почтовые и инфраструктурные поставщики могут обрабатывать данные за пределами Таиланда. Для такого поставщика должен быть определён допустимый механизм передачи по Sections 28 и 29 Thai PDPA: достаточная защита, договорные или другие надлежащие гарантии либо применимое законное исключение.

Если конкретная передача требует согласия из-за недостаточной защиты в стране назначения, мы запросим отдельное информированное согласие с разъяснением рисков. Настоящая политика сама по себе таким согласием не является.

Автоматические сроки в сервисе

• Ссылка входа или привязки email действует 15 минут; ссылка из письма о принятой заявке — 72 часа. Это сроки действия, а не обещание немедленного удаления записей.
• Сессия кабинета действует 90 дней с продлением при использовании. Истёкшие ссылки и сессии автоматически удаляются примерно через сутки после окончания срока.
• Счётчики лимитов email и IP для запроса ссылки живут один час; лимиты обмена Telegram-входа — 60 секунд. Записи защиты от повторного использования Telegram Login действуют 10 минут и очищаются после истечения при последующих проверках.
• Временное состояние диалога с ботом хранится 24 часа; это не срок хранения аккаунта или заявки.
• Записи защиты от повторной отправки заявки действуют 24 часа; истёкшие записи очищаются при создании заявок.
• Письмо ждёт отправки не дольше 15 минут (вход и привязка email), 72 часов (подтверждение заявки) или 7 дней (остальные письма). Отправленные и устаревшие письма удаляются из очереди; письма, которые не удалось отправить после пяти попыток, удаляются через 30 дней. Это сроки нашей очереди отправки, а не вашего почтового ящика или почтового сервиса.
• Отменённые заявки удаляются ежедневной задачей вместе со связанными напоминаниями и токенами. Завершённые поездки автоматически удалением не охвачены.
• Файловые журналы приложения ротируются с настройкой хранения 5 дней. Эта настройка не задаёт срок хранения всех инфраструктурных журналов или резервных копий.

Другие данные

Для аккаунтов, профиля, завершённых заявок, связанной переписки, резервных копий и инфраструктурных журналов единый автоматический срок удаления кодом не задан. Данные хранятся, пока нужны для описанных целей, исполнения обязанностей или защиты юридических требований; после прекращения необходимости подлежат удалению, уничтожению или необратимому обезличиванию, если дальнейшее хранение не требуется по закону. Данные обязательного учёта хранятся в предусмотренные применимым законодательством сроки. Cookies и черновики описаны в разделе 5; аналитика — в разделе 6.

В пределах условий Thai PDPA вы можете отозвать согласие, запросить доступ и копию данных, сведения об их источнике, переносимость, исправление, удаление или обезличивание, ограничение обработки, возразить против обработки и подать жалобу в Office of the Personal Data Protection Commission Таиланда (PDPC).

Напишите на info@tvr.asia: укажите суть запроса и сведения, позволяющие найти ваш аккаунт или заявку. Для защиты данных может потребоваться разумное подтверждение личности или полномочий. Запрос доступа или копии рассматривается без неоправданной задержки и, при отсутствии законного основания для отказа, не позднее 30 дней после получения полного запроса. Права могут быть ограничены законом или правами других лиц.

Мы применяем проверку подлинности Telegram, одноразовые ссылки, проверку сессий и разграничение доступа к заявкам. Эти меры снижают риск неправомерного доступа; абсолютная безопасность не гарантируется. При инциденте применяются обязанности уведомления по Thai PDPA.

Возраст детей указывает взрослый для расчёта стоимости и организации поездки, мест и питания. Не указывайте данные ребёнка сверх необходимого. Мы не основываем обработку на самостоятельном согласии ребёнка, когда закон требует участия родителя или законного представителя. По вопросам данных ребёнка обращайтесь на info@tvr.asia.

При переходе на внешние карты, сайты и мессенджеры действуют правила их владельцев. Политика обновляется при изменении сервиса и обработки; актуальная редакция с датой публикуется здесь. При необходимости нового согласия оно запрашивается отдельно.

Вопросы и требования: info@tvr.asia. Вы также вправе обратиться в PDPC: официальные сервисы комиссии.