❀

SDCore · In Bot
Политика конфиденциальности

Дата вступления в силу: 10 июля 2026 г.

1. Кто оператор данных, а кто обработчик

WhatsApp и система SDCore. Оператором (контролёром) персональных данных является владелец магазина — организация, которая пользуется SDCore. Организация определяет, чьи данные и зачем вносятся в систему. SDCore выступает обработчиком (процессором) и действует только по поручению организации, чтобы сервис работал. В части WhatsApp SDCore является технологическим провайдером (Tech Provider) Meta: мы отправляем и получаем сообщения WhatsApp от имени магазина, на номере, принадлежащем магазину.

Threads. Здесь оператором выступаем мы сами — Rozy.kz («Цветы | Астана»): приложение работает с нашим собственным аккаунтом Threads и с публичными постами других людей. Это внутренний инструмент нашего магазина, а не потребительский продукт.

Мы не используем данные в собственных рекламных целях, не продаём их и не передаём для рекламы.

2. Какие данные обрабатываются

• Учётные данные сотрудников — логин, хэш пароля, роль, точка продаж.
• Операционные данные — товары, рецепты, продажи, заказы, смены, складские движения, оплаты.
• Данные покупателей магазина — имя, номер телефона, адрес доставки, текст открытки, история заказов и бонусный баланс. Вносятся сотрудником магазина или переносятся из переписки WhatsApp.
• Данные переписки WhatsApp — см. раздел 3.
• Публичные данные Threads — см. раздел 4.
• Идентификатор устройства — генерируется локально при привязке планшета к точке продаж.
• Технические журналы — записи о действиях пользователей в системе (кто, что и когда изменил).

3. Интеграция с WhatsApp (Meta)

Магазин подключает к SDCore свой номер WhatsApp Business. После этого система работает с перепиской строго в рамках заказа.

3.1. Какие данные мы получаем от WhatsApp

• номер телефона покупателя (WhatsApp ID) и его имя в профиле WhatsApp;
• содержимое сообщений, которые покупатель отправил на номер магазина: текст, подписи к вложениям, тип вложения, время и идентификатор сообщения;
• служебные сведения о номере магазина: отображаемый номер, статус качества, шаблоны сообщений его аккаунта WhatsApp Business (WABA).

3.2. Зачем мы их обрабатываем

• Приём заказа. Кассир видит, что покупатель написал в магазин, и переносит переписку в карточку заказа: получатель, адрес, дата и время доставки, текст открытки.
• Черновик заказа с помощью ИИ. Текст переписки за текущий день передаётся нашему поставщику языковой модели, чтобы автоматически заполнить поля заказа. Итог всегда проверяет и подтверждает сотрудник магазина. Подробнее — в разделе 7.
• Ответ покупателю. Магазин отправляет покупателю сообщения о заказе, в том числе фотографию готового букета — только в 24-часовом сервисном окне Meta, то есть в ответ на сообщение, которое покупатель написал первым.
• Управление подключением. Владелец магазина проверяет состояние подключённого номера и управляет шаблонами сообщений своего аккаунта WhatsApp Business.

3.3. Сколько хранится переписка

Содержимое переписки WhatsApp не сохраняется в нашей базе данных. Входящие и исходящие сообщения помещаются во временный кэш в оперативной памяти (Redis) и автоматически удаляются через 48 часов; хранятся не более 300 последних сообщений на переписку. Кэш нужен только для того, чтобы кассир мог перенести сегодняшний диалог в заказ.

В базе данных остаётся лишь то, что сотрудник сознательно сохранил в заказ (например, адрес доставки и текст открытки), и идентификатор чата WhatsApp, чтобы ответить покупателю по тому же номеру.

3.4. Чего мы не делаем с данными WhatsApp

• Не рассылаем рекламу и не пишем покупателям первыми вне разрешённых Meta шаблонов сообщений.
• Не продаём и не передаём переписку третьим лицам, кроме субобработчиков из раздела 7.
• Не используем содержимое переписки для рекламного таргетинга и не строим на его основе профили.
• Не передаём данные WhatsApp другим организациям-арендаторам SDCore: данные каждого магазина изолированы.

4. Интеграция с Threads (Meta)

Приложение «In Bot» работает с Threads только через официальный Threads API и только с публично доступными данными. Это внутренний инструмент нашего магазина: он не является потребительским продуктом и никому не пишет автоматически.

4.1. Публикация наших постов

Приложение публикует карточки наших собственных букетов в наш собственный аккаунт Threads @rozy.kz.astana. Для этого обрабатываются данные нашего аккаунта: идентификатор, имя пользователя, сведения профиля и наши собственные публикации.

4.2. Поиск публичных постов

Приложение ищет публичные посты Threads по ключевым словам (например, «нужен букет астана»), чтобы найти людей, публично выразивших намерение купить цветы в Астане, и показать эти публичные посты нашим сотрудникам. Дальше решение написать принимает человек и пишет вручную.

Из таких постов мы обрабатываем только поля, которые отдаёт API для публичных публикаций: идентификатор поста, публичный текст, имя автора, ссылку (permalink) и время публикации.

Найденные публичные посты пересылаются нашим сотрудникам в закрытый рабочий канал Telegram — чтобы менеджер увидел их и решил, отвечать ли. Иных данных в Telegram мы не передаём.

4.3. Чего мы не делаем с данными Threads

• Не обращаемся к закрытым профилям, приватным постам и личным сообщениям и не храним их.
• Не отправляем автоматические сообщения: первый контакт всегда делает сотрудник вручную.
• Не собираем пароли, платёжные данные и специальные категории персональных данных.
• Не продаём данные и не передаём их третьим лицам для рекламы.

4.4. Сколько хранятся данные Threads

Найденные публичные посты хранятся только на время, необходимое менеджеру для реакции, и для краткосрочной внутренней аналитики, после чего удаляются. Мы храним только минимальные публичные поля, перечисленные в п. 4.2.

5. Доступы устройства (мобильное приложение кассы)

• Локальная сеть — отправка чека на сетевой термопринтер магазина. Приложение не сканирует сеть в иных целях.
• Камера — сканирование QR-кодов заказов и съёмка фотографий, прикрепляемых к складским операциям и заказам.
• Фотогалерея — прикрепление существующих фотографий к заказам и складским операциям.

Геолокацию устройства кассира приложение не запрашивает. В кабинете курьера геопозиция запрашивается только на время доставки и только с согласия курьера.

6. Где данные хранятся и как защищены

• Данные размещаются на выделенном сервере под нашим управлением; передача — только по HTTPS/TLS.
• Пароли хранятся в виде хэшей; токены доступа к внешним API (в том числе к WhatsApp и Threads) шифруются в базе.
• Данные разных организаций изолированы друг от друга на уровне базы данных.
• Доступ сотрудников разграничен по ролям: например, курьер видит адрес и телефон получателя, но не видит состав заказа и суммы.
• Для офлайн-работы кассы часть данных временно кэшируется на устройстве и синхронизируется при восстановлении связи.
• Резервные копии создаются ежедневно и выгружаются в отдельное защищённое хранилище.
• Все изменения записываются в журнал аудита.

7. Кому мы передаём данные (субобработчики)

Мы привлекаем поставщиков услуг только в объёме, необходимом для работы функции, и обязываем их защищать данные. Каждый из них обрабатывает лишь то, что перечислено ниже.

Поставщик	Что передаётся	Зачем
Meta Platforms Ireland Ltd. — WhatsApp Business Platform	Номер телефона покупателя, содержимое отправляемых сообщений и фотографий	Доставка сообщений WhatsApp от имени магазина
Meta Platforms Ireland Ltd. — Threads API	Содержимое наших собственных публикаций	Публикация постов в наш аккаунт; получение публичных постов по ключевым словам
OpenAI, L.L.C.	Текст переписки за текущий день (когда сотрудник нажимает «Перенести переписку»)	Автоматическое заполнение черновика заказа. Согласно условиям поставщика, данные, переданные через API, не используются для обучения его моделей
Yandex Maps API (ООО «Яндекс»)	Строка адреса доставки (без имени и телефона)	Подсказка и геокодирование адреса
OpenStreetMap Foundation (Nominatim)	Строка адреса доставки (без имени и телефона)	Геокодирование адреса — запасной путь, когда Яндекс не дал результата
Wolt Enterprises Oy (Wolt Drive)	Адрес и телефон получателя — только если магазин заказывает курьера Wolt	Доставка заказа
Telegram Messenger Inc.	Публичные посты Threads, найденные по ключевым словам (см. раздел 4). Данные WhatsApp в Telegram не передаются	Показ найденных публичных постов сотрудникам в закрытом рабочем канале

Мы не передаём данные третьим лицам в маркетинговых целях и не продаём их.

8. Сроки хранения

• Содержимое переписки WhatsApp — 48 часов, затем удаляется автоматически.
• Публичные посты Threads — только на время реакции менеджера и краткосрочной аналитики, затем удаляются.
• Заказы, продажи и бонусы — пока действует договор с организацией и пока этого требует законодательство о бухгалтерском учёте.
• Журналы аудита и технические логи — ограниченный срок, после чего удаляются по расписанию.

9. Удаление данных

Подробные пошаговые инструкции — на отдельной странице: Удаление данных. Кратко:

• Покупатель магазина может запросить доступ к своим данным, их исправление или удаление — обратившись напрямую в магазин (он является оператором) либо написав нам на ussinovdanat@mail.ru с темой «Удаление данных» и указав номер телефона, под которым он известен магазину.
• Автор публичного поста в Threads может запросить удаление хранимых у нас записей о его посте — прислав ссылку на пост и/или имя пользователя на тот же адрес.

Мы обрабатываем запрос и удаляем данные в течение 30 дней, уведомляя заявителя о результате. Переписка WhatsApp удаляется автоматически через 48 часов и отдельного запроса не требует.

Организация может в любой момент отключить интеграцию с WhatsApp в разделе «Интеграции»: токен доступа удаляется из нашей базы, приём и отправка сообщений прекращаются.

10. Чего мы не делаем

• Не показываем рекламу в приложениях.
• Не используем сторонние трекеры и рекламную аналитику.
• Не продаём данные и не передаём их третьим лицам в маркетинговых целях.
• Не запрашиваем геолокацию устройства кассира.

11. Дети

Сервис предназначен для сотрудников магазинов и не адресован детям младше 16 лет. Мы сознательно не собираем данные детей.

12. Изменения политики

Актуальная версия всегда доступна по этому адресу. При существенных изменениях мы обновляем дату вступления в силу.

13. Контакты

По вопросам конфиденциальности и удаления данных: ussinovdanat@mail.ru

Оператор: Rozy.kz («Цветы | Астана»), Астана, Казахстан.

---

Privacy Policy (English)

Effective date: 10 July 2026

1. Controller and processor

WhatsApp and the SDCore system. The shop owner (the organization) using SDCore is the data controller. SDCore acts as a processor and handles data solely on the organization's instructions in order to operate the service. For WhatsApp, SDCore acts as a Meta Tech Provider: we send and receive WhatsApp messages on the shop's behalf, using a phone number that belongs to the shop.

Threads. Here we are the controller ourselves — Rozy.kz («Цветы | Астана»): the app operates on our own Threads account and on other people's public posts. It is an internal tool for our flower shop, not a consumer product.

We do not use the data for our own advertising, do not sell it, and do not share it for advertising.

2. Data we process

• Employee accounts — login, password hash, role, assigned store.
• Operational data — products, recipes, sales, orders, shifts, inventory movements, payments.
• Shop customers' data — name, phone number, delivery address, greeting-card text, order history, loyalty balance. Entered by shop staff or imported from a WhatsApp conversation.
• WhatsApp conversation data — see section 3.
• Public Threads data — see section 4.
• Device identifier — generated locally when a tablet is bound to a store.
• Audit logs — who changed what and when.

3. WhatsApp (Meta) integration

A shop connects its own WhatsApp Business phone number to SDCore. From then on the system works with the conversation strictly in the context of an order.

3.1. What we receive from WhatsApp

• the customer's phone number (WhatsApp ID) and their WhatsApp profile name;
• the content of messages the customer sends to the shop's number: text, media captions, media type, timestamp and message ID;
• metadata about the shop's number: display phone number, quality rating, and the message templates of its WhatsApp Business Account (WABA).

3.2. Why we process it

• Taking the order. The cashier sees that the customer wrote to the shop and turns the conversation into an order: recipient, address, delivery date and time, greeting-card text.
• AI-assisted order draft. The text of today's conversation is sent to our language-model provider to pre-fill the order fields. A shop employee always reviews and confirms the result. See section 7.
• Replying to the customer. The shop sends the customer messages about the order, including a photo of the finished bouquet — only inside Meta's 24-hour service window, i.e. in reply to a message the customer sent first.
• Managing the connection. The shop owner checks the health of the connected number and manages the message templates of their WhatsApp Business Account.

3.3. How long conversations are kept

WhatsApp message content is not stored in our database. Inbound and outbound messages are placed in a temporary in-memory cache (Redis) and are deleted automatically after 48 hours; at most the 300 most recent messages per conversation are kept. The cache exists only so the cashier can turn today's conversation into an order.

The database retains only what an employee deliberately saved into the order (for example, the delivery address and the card text) and the WhatsApp chat identifier, so the shop can reply to the same number.

3.4. What we never do with WhatsApp data

• We do not send marketing messages and do not message customers first outside message templates approved by Meta.
• We do not sell conversations or disclose them to third parties other than the subprocessors in section 7.
• We do not use message content for ad targeting and do not build profiles from it.
• We do not share WhatsApp data across SDCore tenants: each shop's data is isolated.

4. Threads (Meta) integration

"In Bot" uses only the official Threads API and only publicly available data. It is an internal tool for our flower shop: it is not a consumer product and it never messages anyone automatically.

4.1. Publishing our own posts

The app publishes cards of our own bouquets to our own Threads account @rozy.kz.astana. For this we process our own account data: account id, username, profile info and our own posts.

4.2. Public post discovery

The app searches public Threads posts by keyword (e.g. "нужен букет астана") to identify people who publicly express interest in buying flowers in Astana, and shows those public posts to our staff. A human then decides whether to reply, and does so manually.

From such posts we process only the fields the API returns for public posts: post id, public text, author username, permalink and timestamp.

The public posts we find are forwarded to our staff in a private internal Telegram channel, so a manager can see them and decide whether to reply. We send no other data to Telegram.

4.3. What we never do with Threads data

• We do not access private profiles, private posts or direct messages, and we do not store them.
• We send no automated messages: the first contact is always made manually by a human employee.
• We do not collect passwords, payment data or special-category personal data.
• We do not sell data and do not share it with third parties for advertising.

4.4. How long Threads data is kept

Public posts identified as relevant are stored only for as long as the manager needs to act on them and for short-term internal analytics, after which they are deleted. We retain only the minimal public fields listed in 4.2.

5. Device permissions (POS mobile app)

• Local Network — sending receipts to the shop's network thermal printer. The app does not scan the network for any other purpose.
• Camera — scanning order QR codes and taking photos attached to orders and inventory operations.
• Photo Library — attaching existing photos to orders and inventory operations.

The app does not request the cashier device's location. The courier portal requests location only during a delivery and only with the courier's consent.

6. Storage and security

• Data is hosted on a dedicated server under our control and transmitted only over HTTPS/TLS.
• Passwords are stored as hashes; access tokens for external APIs, including WhatsApp and Threads, are encrypted at rest.
• Each organization's data is isolated from every other organization's at the database level.
• Staff access is role-based: a courier sees the recipient's address and phone but not the order contents or amounts.
• For offline POS operation, some data is cached on the device and synced when connectivity returns.
• Backups run daily and are uploaded to separate, secured storage.
• All changes are written to an audit log.

7. Subprocessors

We engage service providers only to the extent a feature requires it, and we require them to protect the data.

Provider	Data shared	Purpose
Meta Platforms Ireland Ltd. — WhatsApp Business Platform	Customer phone number, content of outgoing messages and photos	Delivering WhatsApp messages on the shop's behalf
Meta Platforms Ireland Ltd. — Threads API	Content of our own posts	Publishing posts to our own account; retrieving public posts by keyword
OpenAI, L.L.C.	Text of today's conversation, when an employee taps "Import conversation"	Pre-filling the order draft. Per the provider's terms, data submitted through the API is not used to train its models
Yandex LLC — Yandex Maps API	Delivery address string (no name, no phone)	Address autocomplete and geocoding
OpenStreetMap Foundation (Nominatim)	Delivery address string (no name, no phone)	Address geocoding — fallback path used when Yandex returns no result
Wolt Enterprises Oy — Wolt Drive	Recipient address and phone — only if the shop books a Wolt courier	Order delivery
Telegram Messenger Inc.	Public Threads posts found by keyword (see section 4). No WhatsApp data is sent to Telegram	Showing the public posts we find to our staff in a private internal channel

We do not share data with third parties for marketing purposes and we do not sell it.

8. Retention

• WhatsApp message content — 48 hours, then deleted automatically.
• Public Threads posts — only while the manager acts on them and for short-term analytics, then deleted.
• Orders, sales and loyalty records — for the term of the agreement with the organization and as long as accounting law requires.
• Audit and technical logs — for a limited period, then deleted on a schedule.

9. Data deletion

Step-by-step instructions are on a dedicated page: Data Deletion. In short:

• A shop's customer may request access to, correction of, or deletion of their data by contacting the shop directly (it is the data controller), or by emailing us at ussinovdanat@mail.ru with the subject "Data deletion" and the phone number the shop knows them by.
• The author of a public Threads post may request deletion of the records we hold about that post by sending the post link and/or their username to the same address.

We process such a request and delete the data within 30 days, and inform the requester of the outcome. WhatsApp conversations are deleted automatically after 48 hours and need no separate request.

An organization may disconnect the WhatsApp integration at any time in the "Integrations" section: the access token is removed from our database and messaging stops.

10. What we do not do

• We show no ads in our apps.
• We use no third-party trackers or advertising analytics.
• We do not sell data or share it for marketing.
• We do not request the cashier device's location.

11. Children

The service is intended for shop employees and is not directed to children under 16. We do not knowingly collect children's data.

12. Changes

The current version is always available at this address. We update the effective date on material changes.

13. Contact

Privacy and data-deletion requests: ussinovdanat@mail.ru

Operator: Rozy.kz («Цветы | Астана»), Astana, Kazakhstan.