Политика конфиденциальности

1. Кто мы

Владелец персональных данных — CarCash Parts, направление кузовных запчастей бренда CarCash. Сайт carcash-parts.com.ua, контактная почта hello@carcash.com.ua.

2. Какие данные мы собираем

• Имя и номер телефона — чтобы перезвонить по вашей заявке. Номер храним в формате E.164.
• VIN — необязательно. Нужен, чтобы определить авто точнее, чем по названию модели.
• Перечень выбранных узлов кузова и, если вы его укажете, город — это и есть суть заявки.
• Технические данные сессии: хеш IP-адреса и хеш заголовка User-Agent. Нужны, чтобы ограничить автоматические обращения. Самих адресов мы не храним.
• Файлы cookies — только функциональные: язык интерфейса и текущий подбор. Рекламных пикселей и внешней аналитики на сайте сейчас нет.

3. Основания обработки

• Ваше согласие, данное галочкой под формой заявки.
• Исполнение договора о подборе и поставке запчастей.
• Законный интерес — защита сервиса от автоматизированных злоупотреблений.

4. Кому мы передаём данные

VIN передаётся в vPIC — бесплатный государственный сервис NHTSA (США) — чтобы расшифровать марку, модель и год. Вместе с ним не передаётся ни ваше имя, ни номер телефона: сервис получает только сам код.

Других получателей сейчас нет. SMS-провайдера, рекламных пикселей и внешней аналитики мы не подключали. Когда они появятся, эта страница обновится вместе с датой редакции.

Данные не передаём третьим лицам в рекламных целях — ни с вашего согласия, ни без него.

5. Сроки хранения

• Заявки, завершившиеся сделкой, — 3 года.
• Заявки без сделки — 12 месяцев, дальше контакты удаляются, а обезличенная статистика остаётся.
• Журнал запросов VIN — 90 дней, дальше остаются только поколение авто и дата.
• Логи веб-сервера — 30 дней.

6. Ваши права

Запрос присылайте на hello@carcash.com.ua. Ответ — в срок до 30 календарных дней.

• Узнать, какие данные о вас мы храним.
• Исправить неточные или устаревшие данные.
• Удалить свои данные.
• Отозвать ранее данное согласие.
• Пожаловаться Уполномоченному Верховной Рады Украины по правам человека.

7. Как мы защищаем данные

Имя, номер телефона и VIN шифруются ещё до записи в базу — AES-256-GCM, отдельный одноразовый код на каждую запись. Поиск по телефону в нашей админке идёт не по самому номеру, а по слепому индексу HMAC-SHA256 на отдельном ключе: по нему можно найти совпадение, но нельзя восстановить номер.

VIN не попадает в адрес страницы, в параметры перехода, в логи и в аналитику. Это намеренное ограничение: по VIN можно узнать историю авто, и оставлять его в адресной строке означает отдать его всем, кому вы перешлёте ссылку.

Соединение с сайтом — только защищённое, по TLS. Доступ к базе есть только у тех, кто непосредственно обрабатывает заявки.

8. Изменения политики

Дата последней редакции указана вверху страницы. Вместе с вашим согласием мы храним именно эту дату, поэтому всегда видно, какой текст вы видели, когда ставили галочку.