Политика информационной безопасности

01.1. Область применения

Политика распространяется на все процессы обработки информации в Сервисе:

• веб-приложение (панель управления рестораном) и мобильные приложения;
• публичные страницы: QR-меню, онлайн-меню, страница статуса заказа гостя;
• программные интерфейсы (API) и интеграции с платёжными системами и сервисами уведомлений;
• сотрудников Оператора и подрядчиков, имеющих доступ к информации.

02.2. Организационные меры

• доступ к информации предоставляется по ролевой модели в соответствии с должностными обязанностями (принцип минимальных привилегий);
• с сотрудниками и подрядчиками заключаются соглашения о конфиденциальности;
• проводится обучение сотрудников по вопросам информационной безопасности;
• назначены лица, ответственные за информационную безопасность и реагирование на инциденты;
• регулярно проводится пересмотр прав доступа и внутренний аудит.

03.3. Технические меры

• шифрование данных при передаче по протоколу TLS/HTTPS;
• хранение паролей только в виде необратимых хеш-значений;
• подтверждение входа одноразовыми кодами (OTP) по SMS;
• ограничение числа попыток входа и защита от автоматизированных атак (rate limiting, проверка CAPTCHA, антибот-защита);
• изоляция данных между ресторанами (мультитенантная архитектура);
• межсетевые экраны, веб-приложение фаервол (WAF), антивирусная защита;
• регулярное обновление программного обеспечения и устранение уязвимостей;
• журналирование действий пользователей и мониторинг подозрительной активности;
• безопасная разработка: проверка кода, разделение сред разработки и эксплуатации, управление доступом к исходному коду.

04.4. Контроль доступа

• доступ предоставляется на основании ролей: владелец сети, владелец ресторана, менеджер, официант, повар, кассир и другие;
• доступ прекращается при увольнении сотрудника или завершении договора с рестораном;
• права доступа периодически пересматриваются;
• все действия с чувствительными данными фиксируются в журналах аудита.

05.5. Защита данных

• резервное копирование данных с шифрованием и регулярным тестированием восстановления;
• контроль целостности данных;
• уничтожение или обезличивание данных по истечении сроков хранения;
• использование надёжных провайдеров облачной инфраструктуры, обеспечивающих сертифицированную защиту.

06.6. Платёжная безопасность

Оператор не получает и не хранит данные платёжных карт. Оплата производится через платёжные системы Payme и Click, соответствующие требованиям законодательства Республики Узбекистан о платёжных системах.

Фискальные чеки формируются с использованием сертифицированных средств фискализации в соответствии с Налоговым кодексом Республики Узбекистан.

07.7. Реагирование на инциденты

• непрерывный мониторинг доступности и безопасности Сервиса;
• при выявлении инцидента — незамедлительная локализация и устранение последствий;
• уведомление уполномоченного органа и субъектов персональных данных об инцидентах в порядке, установленном законодательством;
• проведение анализа причин инцидента и принятие мер по предотвращению повторения;
• информирование затронутых пользователей и рекомендации по защите.

08.8. Обязанности пользователей

• использовать надёжные пароли и не передавать данные доступа третьим лицам;
• незамедлительно сообщать о подозрении на несанкционированный доступ на sales@waitly.uz;
• использовать Сервис только с доверенных устройств и защищённых сетей;
• не распространять конфиденциальную информацию, доступ к которой получен в ходе использования Сервиса.

09.9. Заключительные положения

Оператор регулярно пересматривает и совершенствует меры информационной безопасности. Актуальная редакция Политики доступна по адресу https://waitly.uz/security.

По вопросам информационной безопасности обращайтесь на sales@waitly.uz.