На главную Официальный документ
ОфертаКонфиденциальностьПерсональные данныеПолитика CookieKYC / AML
Privacy PolicyРедакция от 20 сентября 2026 г.
Политика конфиденциальности (Политика обработки данных сервиса «BUGOR STORE»)
Порядок сбора, хранения, обработки, передачи и защиты персональных данных и технической информации пользователей BUGOR.STORE.

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок сбора, хранения, использования, защиты, передачи и обработки информации и персональных данных пользователей (далее — «Пользователи») сервиса «BUGOR STORE» (далее — «Сервис», «Администрация», «Оператор»), доступного на сайте https://bugor.store, в Telegram-боте @iocard_bot и связанных веб-приложениях.

1.2. Использование Пользователем Сервиса, запуск бота @iocard_bot (команда /start), авторизация на веб-сайте, прохождение верификации Didit, оформление заявок или пополнение баланса означает безоговорочное согласие Пользователя с условиями настоящей Политики. В случае несогласия Пользователь обязан прекратить использование Сервиса и не начинать процедуру KYC.

1.3. Настоящая Политика действует совместно с Публичной офертой, Согласием на обработку персональных данных, Политикой KYC и AML и Политикой Cookie.

1.4. Одностороннее изменение Политики. Администрация имеет право вносить изменения в настоящую Политику в одностороннем порядке в любое время без предварительного специального уведомления. Новая редакция вступает в силу с момента публикации на сайте bugor.store или в интерфейсе бота @iocard_bot. Пользователь обязуется регулярно самостоятельно знакомиться с текстом Политики.

1.5. Администрация действует как оператор (контроллер) данных Пользователя в рамках Сервиса. Партнер по идентификации Didit действует как обработчик (processor) данных верификации по поручению Администрации.

2. Состав и категории обрабатываемых данных

2.1. Сервис придерживается принципа минимизации данных: собираются только сведения, необходимые для идентификации, оказания услуг, антифрода и исполнения Оферты.

2.2. При использовании Сервиса Администрация осуществляет сбор и обработку следующих категорий данных:

Учетные и контактные данные:

  • Уникальный цифровой идентификатор Telegram (Telegram User ID);
  • Имя пользователя Telegram (@username), имя и фамилия профиля (из открытого профиля мессенджера);
  • Адрес электронной почты (Email), если указан Пользователем.

Данные обязательной верификации (KYC) — через Didit:

  • Изображения документа, удостоверяющего личность (паспорт, национальное ID, водительское удостоверение, вид на жительство — в зависимости от доступного типа в Didit);
  • Извлеченные из документа сведения: ФИО, дата рождения, гражданство / страна выдачи, пол, номер и срок действия документа, MRZ и иные машиночитаемые поля;
  • Изображения лица, кадры и/или короткий видеопоток liveness-проверки, сигналы антиспуфинга;
  • Биометрические признаки, формируемые Didit для сопоставления лица с портретом документа (face match) и подтверждения присутствия живого человека;
  • Статус сессии верификации (Approved / Declined / In Review / истекла), идентификатор сессии, оценки риска, метки подделки документа или несовпадения лица;
  • Технические данные сессии Didit: IP, устройство, признаки VPN/Tor, отпечаток среды.

Технические и сетевые данные:

  • IP-адрес сетевого подключения и геолокация на уровне страны/города;
  • Данные файлов Cookie и локального хранилища (LocalStorage, SessionStorage);
  • Заголовок User-Agent (браузер, ОС, язык, разрешение экрана);
  • Цифровой отпечаток устройства / браузера (Device/Browser Fingerprint);
  • Системные журналы доступа (логи запросов, таймстемпы, рефереры, ошибки).

Финансовые и транзакционные данные:

  • Внутренний Баланс учетной записи и история его пополнений;
  • Идентификаторы транзакций в платежных шлюзах и блокчейн-сетях (TxID / хэши, номера счетов в СБП/эквайринге);
  • Маскированные идентификаторы выпущенных Виртуальных карт (полные чувствительные реквизиты карты не хранятся в открытом виде на внешних веб-серверах);
  • История операций по картам, статусы списаний, пополнений и отклоненных попыток (Declines).

Данные обращений в поддержку:

  • Тексты сообщений, скриншоты, файлы и технические логи, переданные Пользователем в @bugorsupport.

2.3. Специальные категории, не связанные с KYC (расовая/национальная принадлежность как самостоятельный признак, состояние здоровья, политические взгляды, религиозные убеждения, судимость), Сервис намеренно не собирает. Сведения о гражданстве и портрет могут содержаться в документе, представленном для KYC, и обрабатываются исключительно в целях идентификации.

2.4. Биометрические данные обрабатываются только в рамках процедуры Didit и только для целей, указанных в разделе 3. Сервис не использует биометрию для маркетинга, скоринга третьих лиц или общедоступного поиска.

3. Цели сбора и обработки данных

3.1. Обработка данных осуществляется в следующих целях:

  • Регистрация, аутентификация и ведение Личного кабинета;
  • Обязательная идентификация Пользователя (KYC), подтверждение возраста 18+, сверка личности с документом;
  • Противодействие мошенничеству, поддельным документам, deepfake/spoofing, мультиаккаунтам и передаче карт третьим лицам;
  • Выпуск и обслуживание Виртуальных карт, учет Баланса, расчет комиссий (включая Decline Fee 0.20 USD);
  • Соблюдение правил платежных шлюзов и запрет операций на запрещенных площадках;
  • Техническая поддержка и розыск платежей; заявки на возврат средств Пользователю Сервис не принимает и не обрабатывает;
  • Аналитика стабильности сайта и бота, защита инфраструктуры;
  • Исполнение требований применимого законодательства, санкционных режимов и запросов уполномоченных органов.

4. Правовые основания обработки

4.1. Правовыми основаниями обработки являются:

  • Исполнение договора — обработка необходима для исполнения Публичной оферты (аналог п. 5 ч. 1 ст. 6 ФЗ-152 / GDPR Art. 6(1)(b));
  • Согласие субъекта — выражается конклюдентными действиями и отдельным согласием на KYC/биометрию при старте сессии Didit (аналог п. 1 ч. 1 ст. 6 ФЗ-152 / GDPR Art. 6(1)(a); для биометрии — отдельное основание, аналогичное GDPR Art. 9(2)(a));
  • Законный интерес Администрации — защита инфраструктуры, предотвращение фрода и убытков (аналог п. 7 ч. 1 ст. 6 ФЗ-152 / GDPR Art. 6(1)(f)).

4.2. Отказ от предоставления данных KYC означает невозможность оказания платных услуг. Регистрация аккаунта при этом может быть сохранена в ограниченном статусе.

5. Порядок хранения, защита и передача данных

5.1. Безопасность и шифрование.
Администрация принимает организационные, технические и криптографические меры защиты:

  • Сетевые соединения защищены HTTPS / TLS;
  • Конфиденциальные параметры карт и токены шифруются в базах данных (AES/GCM либо сопоставимые алгоритмы);
  • Доступ к серверам ограничен политиками авторизации и SSH-ключами;
  • Сессии Didit обрабатываются в инфраструктуре партнера (по умолчанию — ЕС / AWS) с шифрованием at rest и in transit согласно практикам Didit.

5.2. Сроки хранения:

  • Технические сетевые логи (IP, User-Agent, Fingerprint, Cookie) — до 180 дней с даты фиксации;
  • Учетные и контактные данные (Telegram ID, Email) — весь период активности Личного кабинета;
  • Результаты KYC, извлеченные идентификационные поля и идентификаторы сессий Didit — не менее 3 (трех) лет с даты последней финансовой операции либо до истечения сроков, необходимых для защиты прав Сторон и антифрода; сырые биометрические материалы (селфи, liveness-видео) хранятся в контуре Didit в соответствии с настройками сессии партнера и удаляются/минимизируются по правилам Didit и поручению Оператора;
  • Финансовые и транзакционные данные — не менее 3 (трех) лет с даты последней транзакции.

5.3. Передача третьим лицам (подрядчикам).
Администрация не продает данные Пользователей и не передает их третьим лицам в маркетинговых целях. Передача допускается только следующим категориям:

  • Didit — партнер по идентификации (обработчик): документ, liveness, face match, антифрод-телеметрия сессии. Политика Didit: https://didit.me/terms/verification-privacy-notice/;
  • Партнерские финансовые институты и платежные шлюзы (СБП-шлюзы, эмитенты карт, криптопроцессинги) — в минимальном объеме для авторизации платежа;
  • Хостинг, CDN и Anti-DDoS — для доступности и защиты инфраструктуры;
  • Telegram Cloud API — в части запросов через бота @iocard_bot;
  • По правомерному требованию уполномоченных органов или суда — в соответствии с применимым законодательством.

5.4. Трансграничная передача возможна в страны места обработки подрядчиков (в том числе государства ЕС для Didit). Совершая акцепт и запуская KYC, Пользователь соглашается с такой передачей в объеме, необходимом для верификации и оказания услуг.

6. Использование файлов Cookie и аналитики

6.1. На веб-ресурсах Сервиса используются сессионные и постоянные файлы Cookie, а также локальные хранилища для авторизации, языковых настроек, защиты от CSRF и корректной работы виджетов оплаты и Didit. Подробности — в Политике Cookie.

6.2. Отключение Cookie в браузере может сделать невозможной авторизацию в веб-кабинете или прохождение KYC.

7. Права Пользователя

7.1. Пользователь имеет право:

  • Получать информацию об объеме и целях обработки своих данных;
  • Запрашивать актуализацию контактных данных (например, Email);
  • Направить запрос на удаление учетной записи и анонимизацию технического профиля через @bugorsupport при отсутствии неисполненных финансовых обязательств, открытых споров, чарджбэков и необходимости хранения данных для AML;
  • Отозвать согласие в порядке, описанном в Согласии. Отзыв согласия на KYC/биометрию влечет прекращение платного функционала и не обязывает Сервис удалить данные, которые Оператор вправе хранить по иным основаниям.

7.2. Запрос рассматривается в срок до 10 (десяти) рабочих дней, если иное не требуется по сложности идентификации заявителя.

8. Контакты по вопросам конфиденциальности