Политика конфиденциальности

Как BirdSings собирает, обрабатывает и защищает ваши персональные данные — действует по всему миру, с дополнительными правами для жителей ЕС/ЕЭП, Великобритании, Швейцарии, Калифорнии, Бразилии и других стран.

1. Кто мы

BirdSings («мы») управляет магазином по адресу https://birdsings.com. Контролер данных: privacy@birdsings.com. Запросы к представителю ЕС/Великобритании и DPO направляются на этот же адрес.

2. Что мы собираем

• Данные заказа: e-mail, имя для счета, страна, ID купленных звуков, ID транзакции. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).
• Эксплуатационные данные: язык, тема, корзина (в localStorage браузера, не на наших серверах, если вы не вошли). Правовое основание: законный интерес (ст. 6(1)(f)).
• Рассылка: e-mail и явное согласие. Правовое основание: согласие (ст. 6(1)(a)). Отзывается в любой момент.
• Веб-аналитика: сейчас не включена. Если мы добавим опциональную аналитику, она будет работать только по opt-in и после обновления этой политики.
• Сигналы против мошенничества: хешированный IP, страна по IP, User-Agent при оплате. Правовое основание: законный интерес в предотвращении мошенничества (Преамбула 47 GDPR).

3. Что мы НЕ собираем

• Мы не храним данные карт — Stripe обрабатывает все карты в среде PCI-DSS Level 1.
• Мы не продаем, не сдаем в аренду и не передаем ваши данные. (Для Калифорнии: это исключает «sale» и «share» по CCPA/CPRA.)
• Мы не отслеживаем вас на других сайтах и не используем рекламные трекеры.
• Мы сознательно не собираем данные лиц младше 16 лет. Если такие данные попали, сообщите — удалим.

4. Cookies

Текущее состояние:

• Необходимые (всегда активны): корзина, язык, тема. Сайт без них не работает — без opt-out.
• Аналитика: сейчас не загружается. Опциональные статистические cookies не устанавливаются.
• Маркетинг: пока отсутствует. При введении потребуется явное согласие.

Изменить выбор можно в любое время, удалив cookie согласия или написав нам.

5. Токены против пиратства

При покупке мы выпускаем токен загрузки, привязанный к вашему заказу. Токен фиксирует первый IP-адрес и User-Agent, успешно скачавшие файл, чтобы предотвратить совместное использование аккаунта. IP обрабатывается только для предотвращения мошенничества и удаляется через 30 дней после истечения токена.

6. Ваши права

Если вы проживаете в ЕС, ЕЭП, Великобритании или Швейцарии (GDPR / UK GDPR / FADP):

• Право доступа — копия ваших данных.
• Право исправления.
• Право удаления («право на забвение»).
• Право переносимости.
• Право ограничения и возражения против обработки на основе законного интереса.
• Право отозвать согласие на рассылку в любой момент.
• Право не подвергаться исключительно автоматизированным решениям (мы их не принимаем).

Если вы проживаете в Калифорнии (CCPA/CPRA): права знать, удалять, исправлять, отказаться от продажи/обмена (мы не продаем и не обмениваем) и недискриминации.

Если вы проживаете в Бразилии (LGPD), Турции (KVKK) или в другой юрисдикции с аналогичными законами: применимы равноценные права доступа, исправления, удаления, переноса и возражения.

Запросы на privacy@birdsings.com. Отвечаем в течение 30 дней (45 для Калифорнии, где допускается продление).

7. Сроки хранения

• Документы по заказам: 10 лет (максимальный налоговый срок среди стран продаж; местные минимумы короче). Затем удаление или анонимизация.
• Токены загрузки: 12 часов активны + 30 дней журнала аудита.
• Подписчики рассылки: до отписки, затем анонимизация.
• Сигналы антимошенничества: 90 дней; при подтвержденном chargeback — 24 месяца.

8. Международные передачи

Ваши данные могут обрабатываться за пределами вашей страны, в т.ч. в США. Мы опираемся на Стандартные договорные положения ЕС (2021/914), UK International Data Transfer Addendum, швейцарские оговорки FDPIC и, где применимо, сертифицированные механизмы передачи данных конкретных поставщиков.

9. Третьи лица — обработчики

• Stripe (платежи) — Ирландия/США. SCC + DPF.
• Cloudflare Workers / Static Assets / R2 (хостинг, edge-доставка и хранение файлов).
• Resend (транзакционные письма) — США. SCC + DPF.

10. Безопасность

TLS 1.3 при передаче, AES-256 при хранении. Stripe обрабатывает карты. Доступ к продакшн-системам ограничен авторизованным персоналом под письменной конфиденциальностью. О нарушении персональных данных, влекущем риск для субъектов, уведомляем компетентный надзорный орган в течение 72 часов с момента осведомленности, если применимо.

11. Жалоба

Вы можете подать жалобу в свой надзорный орган. Примеры:

• Россия — Роскомнадзор (rkn.gov.ru).
• ЕС/ЕЭП — орган страны проживания (список: edpb.europa.eu).
• Великобритания — ICO (ico.org.uk).
• Швейцария — FDPIC (edoeb.admin.ch).
• Калифорния — Attorney General (oag.ca.gov/privacy).
• Бразилия — ANPD (gov.br/anpd).
• Турция — KVKK (kvkk.gov.tr).

12. Изменения

Мы вправе обновлять политику. О существенных изменениях сообщаем на баннере сайта не менее чем за 30 дней до вступления в силу, если закон не требует более короткий срок.