Политика конфиденциальности и обработки персональных данных

1Общие положения

1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных физических лиц, осуществляемой ООО «NAVO BNPL» (далее — Оператор, Сервис, NAVO BNPL).

1.2. Политика разработана в соответствии с Законом Республики Узбекистан «О персональных данных» № ЗРУ-547 от 02.07.2019 (в действующей редакции, с учётом изменений, внесённых Законом № ЗРУ-1125 от 26.03.2026), Гражданским кодексом Республики Узбекистан, Законом «О противодействии легализации доходов, полученных от преступной деятельности, финансированию терроризма и финансированию распространения оружия массового уничтожения», Постановлением Кабинета Министров Республики Узбекистан № 71 от 08.02.2020, Постановлением Кабинета Министров Республики Узбекистан № 415 от 29.07.2026 и иными нормативно-правовыми актами Республики Узбекистан.

1.3. Политика распространяется на все персональные данные, которые Оператор получает и обрабатывает в связи с:

• предоставлением сервиса рассрочки (BNPL) физическим лицам;
• использованием веб-сайта Оператора, мобильного приложения и иных цифровых интерфейсов Сервиса;
• взаимодействием с торгово-сервисными предприятиями (Merchant), партнёрами и контрагентами;
• маркетинговыми и информационными коммуникациями.

1.4. Настоящая Политика является общедоступным документом. Действующая редакция размещается на официальном сайте Оператора и в мобильном приложении.

1.5. Использование Сервиса, регистрация в нём, подача заявки на рассрочку либо акцепт Публичной оферты означают, что субъект персональных данных ознакомлен с настоящей Политикой и понимает порядок обработки своих персональных данных.

1.6. Настоящая Политика не является публичной офертой и не заменяет согласие субъекта персональных данных на обработку его персональных данных, которое предоставляется отдельно в порядке, предусмотренном законодательством.

2Термины и определения

2.1. Персональные данные (ПД) — зафиксированная на электронном, бумажном и (или) ином материальном носителе информация, относящаяся к определённому физическому лицу или дающая возможность его идентификации.

2.2. Субъект персональных данных (Субъект) — физическое лицо, к которому относятся персональные данные: Клиент Сервиса, заявитель, представитель Merchant, посетитель сайта или пользователь мобильного приложения.

2.3. Клиент — физическое лицо, заключившее с Оператором договор на условиях Публичной оферты и (или) получившее доступ к лимиту рассрочки.

2.4. Обработка ПД — осуществление одного или совокупности действий по сбору, систематизации, хранению, изменению, дополнению, использованию, предоставлению, распространению, передаче, обезличиванию и уничтожению персональных данных.

2.5. Оператор — ООО «NAVO BNPL», осуществляющее обработку персональных данных.

2.6. Merchant (Продавец) — юридическое лицо или индивидуальный предприниматель, реализующее товары (работы, услуги) с оплатой через Сервис.

2.7. Платформа — платёжная платформа партнёра (в том числе Multicard, Rahmat), через которую осуществляются идентификация Клиента и (или) платёжные операции.

2.8. Скоринг — автоматизированная оценка кредитоспособности Субъекта, осуществляемая с использованием внутренней модели Оператора на основе верифицированных данных.

2.9. КАТМ — кредитное бюро «Кредит-ахборот таҳлилий маркази» (Кредитно-информационный аналитический центр), предоставляющее кредитные отчёты и скоринговые баллы.

2.10. myID — государственная система биометрической идентификации Республики Узбекистан.

2.11. ПИНФЛ — персональный идентификационный номер физического лица.

2.12. Cookies — небольшие текстовые файлы, сохраняемые браузером Субъекта при посещении сайта Оператора.

3Оператор персональных данных

3.1. Оператором персональных данных является:

ООО «NAVO BNPL»

• ИНН: 313034345
• Юридический адрес: Республика Узбекистан, г. Ташкент, Яшнабадский район, ул. Мухтумкули, 1
• Электронная почта: info@navonasiya.uz

3.2. Оператор осуществляет регистрацию баз персональных данных в Государственном реестре баз персональных данных в случаях и порядке, установленных статьёй 20 Закона «О персональных данных» и Постановлением Кабинета Министров Республики Узбекистан № 71 от 08.02.2020.

3.3. Оператор назначает ответственное лицо за организацию обработки и защиты персональных данных. Обращения по вопросам обработки персональных данных направляются на адрес: info@navonasiya.uz с пометкой «Персональные данные».

4Правовые основания обработки персональных данных

4.1. Оператор обрабатывает персональные данные на следующих правовых основаниях:

4.1.1. Согласие субъекта персональных данных, предоставленное в электронной форме при регистрации в Сервисе, подаче заявки на рассрочку либо акцепте Публичной оферты.

4.1.2. Исполнение договора, стороной которого является Субъект, а также совершение действий, необходимых для заключения такого договора (рассмотрение заявки, оценка платёжеспособности, установление лимита).

4.1.3. Исполнение обязанностей, возложенных на Оператора законодательством, в том числе требований в сфере противодействия легализации доходов, полученных от преступной деятельности, и финансированию терроризма (ПОД/ФТ), идентификации клиентов, бухгалтерского и налогового учёта, предоставления сведений в кредитное бюро.

4.1.4. Защита законных интересов Оператора, включая предотвращение мошенничества, обеспечение информационной безопасности, взыскание просроченной задолженности, защиту прав в суде.

4.2. Обработка данных для маркетинговых целей осуществляется исключительно на основании отдельного согласия Субъекта, которое может быть отозвано в любой момент без последствий для доступа к Сервису.

4.3. Предоставление персональных данных, необходимых для идентификации и оценки платёжеспособности, является обязательным условием оказания услуг. Отказ от предоставления таких данных либо отзыв согласия влечёт невозможность предоставления Сервиса.

5Категории субъектов и обрабатываемых персональных данных

5.1. Клиенты и заявители (физические лица):

5.2. Представители и уполномоченные лица Merchant, партнёров и контрагентов: фамилия, имя, отчество; должность; реквизиты документа, подтверждающего полномочия; рабочие контактные данные; ЭЦП и сведения о подписании документов в системе электронного документооборота.

5.3. Посетители сайта и пользователи мобильного приложения: технические данные (п. 5.1), сведения о поведении на сайте и в приложении, данные, добровольно указанные в формах обратной связи.

5.4. Оператор не обрабатывает специальные категории персональных данных (о расовом или национальном происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни), за исключением случаев, прямо предусмотренных законодательством.

5.5. Оператор не осуществляет самостоятельный сбор и хранение биометрических данных Субъекта. Биометрическая идентификация проводится через государственную систему myID и (или) Платформу; Оператор получает результат идентификации и сопутствующие идентификационные сведения. Биометрические и генетические данные, если таковые обрабатываются, хранятся исключительно на территории Республики Узбекистан в соответствии со статьёй 27-1 Закона «О персональных данных».

6Источники получения персональных данных

6.1. Персональные данные могут быть получены Оператором:

6.1.1. непосредственно от Субъекта — при регистрации, подаче заявки, заполнении форм, обращении в службу поддержки;

6.1.2. из государственной системы идентификации myID — ФИО, ПИНФЛ, дата рождения, адрес регистрации и проживания, результат идентификации;

6.1.3. из кредитного бюро КАТМ (InfoScore) — кредитная история, скоринговый балл, сведения о действующих обязательствах и просрочках;

6.1.4. от платёжных систем и банков-эмитентов (Humo, Uzcard) — транзакционная история и сведения о платёжных инструментах;

6.1.5. от оператора Платформы (Multicard, Rahmat) — данные регистрации и идентификации, результаты KYC, данные платёжных инструментов, сведения об операциях и платёжном поведении;

6.1.6. от Merchant — сведения о приобретаемых товарах (работах, услугах) и параметрах операции;

6.1.7. автоматически — при использовании сайта и мобильного приложения (технические данные, cookies);

6.1.8. из иных законных источников, включая государственные информационные системы и общедоступные источники.

6.2. Субъект подтверждает достоверность и актуальность предоставляемых данных и обязуется своевременно информировать Оператора об их изменении.

7Цели обработки персональных данных

7.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

7.2. Обработка персональных данных в целях, несовместимых с указанными выше, не осуществляется. Обработка данных, избыточных по отношению к заявленным целям, не допускается.

8Автоматизированная обработка и скоринг

8.1. Оператор применяет автоматизированную обработку персональных данных, в том числе принятие решений на основе исключительно автоматизированной обработки, при рассмотрении заявки на рассрочку.

8.2. Логика принятия решения. Заявка последовательно проходит:

• проверку по жёстким правилам (hard stop) — в частности, наличие просроченной задолженности 60 и более дней, наличие обязательств в судебном статусе, статусе списания или ненаращивания по данным КАТМ;
• расчёт скорингового балла на основании профиля Субъекта (данные myID), кредитной истории (данные КАТМ) и фактического платёжного поведения (транзакционные данные карты Humo/Uzcard);
• расчёт максимально допустимого лимита исходя из свободного денежного потока Субъекта за вычетом действующей кредитной нагрузки.

8.3. Правовые последствия. Результатом автоматизированного решения является одобрение либо отказ в предоставлении лимита рассрочки, а также определение размера лимита и допустимых параметров операции.

8.4. Ручное рассмотрение заявок в стандартном процессе не предусмотрено.

8.5. Права Субъекта в отношении автоматизированных решений. Субъект вправе:

• получить информацию об общих принципах и основных факторах, повлиявших на принятое решение;
• заявить возражение против принятого решения;
• потребовать проверки корректности исходных данных и, при выявлении недостоверных данных, — их исправления и повторной оценки.

8.6. Оператор не раскрывает конкретные веса переменных, пороговые значения и внутреннюю методологию скоринговой модели, поскольку данные сведения составляют коммерческую тайну и их раскрытие создаёт риск мошенничества.

8.7. Оператор не несёт ответственности за содержание сведений, полученных из внешних источников (КАТМ, myID, платёжные системы). Оспаривание таких сведений осуществляется Субъектом непосредственно у соответствующего источника.

9Передача персональных данных третьим лицам

9.1. Оператор вправе передавать персональные данные следующим категориям получателей исключительно в объёме, необходимом для достижения целей, указанных в разделе 7:

9.2. Передача персональных данных третьим лицам осуществляется на основании договора, содержащего обязательства получателя по обеспечению конфиденциальности и защиты персональных данных не ниже уровня, обеспечиваемого Оператором, а также обязательство обрабатывать данные исключительно в согласованных целях.

9.3. Оператор не осуществляет продажу персональных данных и не передаёт их третьим лицам в целях, не предусмотренных настоящей Политикой, за исключением случаев, прямо предусмотренных законодательством.

9.4. При наличии просроченной задолженности сведения о ней могут быть переданы третьим лицам в целях взыскания, а также отражены в кредитной истории Субъекта.

10Хранение данных на территории Республики Узбекистан и трансграничная передача

10.1. Обработка персональных данных граждан Республики Узбекистан осуществляется с использованием технических средств, размещённых на территории Республики Узбекистан, в объёме, установленном статьёй 27-1 Закона «О персональных данных».

10.2. Биометрические и генетические данные, а также иные категории данных, для которых законодательством установлено требование обязательной локализации, хранятся исключительно на территории Республики Узбекистан.

10.3. Иные персональные данные могут обрабатываться за пределами Республики Узбекистан при соблюдении хотя бы одного из следующих условий:

• иностранное государство включено в перечень государств, обеспечивающих адекватную защиту персональных данных, утверждённый Постановлением Кабинета Министров Республики Узбекистан № 415 от 29.07.2026;
• применяются стандартные договорные условия либо корпоративные правила, утверждённые в установленном порядке;
• Оператор либо получатель данных соответствует признанным международным стандартам управления персональными данными (в том числе ISO/IEC 27001, ISO/IEC 27701).

10.4. Трансграничная передача персональных данных в государства, не обеспечивающие адекватную защиту персональных данных, осуществляется только при наличии письменного согласия Субъекта либо в иных случаях, прямо предусмотренных законодательством.

10.5. При выявлении факта утечки персональных данных при трансграничной передаче Оператор уведомляет уполномоченный государственный орган в течение 24 (двадцати четырёх) часов с момента обнаружения и представляет детальную информацию об инциденте в течение 72 (семидесяти двух) часов.

11Сроки обработки и хранения персональных данных

11.1. Персональные данные хранятся в форме, позволяющей идентифицировать Субъекта, не дольше, чем этого требуют цели их обработки.

11.2. Установлены следующие сроки хранения:

11.3. По истечении срока хранения либо при достижении целей обработки персональные данные подлежат уничтожению или обезличиванию, за исключением случаев, когда законодательство требует их дальнейшего хранения либо данные необходимы для защиты прав Оператора в рамках неурегулированного спора.

11.4. Уничтожение персональных данных осуществляется способом, исключающим возможность их последующего восстановления, с оформлением соответствующего акта.

12Права субъекта персональных данных

12.1. В соответствии со статьёй 30 Закона «О персональных данных» Субъект имеет право:

12.1.1. знать о наличии у Оператора своих персональных данных, а также получать информацию об их составе и содержании;

12.1.2. получать информацию об условиях, целях, способах и сроках обработки своих персональных данных, а также о лицах, которым они передаются;

12.1.3. требовать уточнения, изменения, дополнения либо исправления неточных, неполных или устаревших персональных данных;

12.1.4. требовать блокирования (временного прекращения обработки) персональных данных, если они являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

12.1.5. требовать уничтожения персональных данных при отсутствии законных оснований для их дальнейшей обработки;

12.1.6. отозвать ранее данное согласие на обработку персональных данных;

12.1.7. возражать против обработки персональных данных в целях маркетинга;

12.1.8. получить разъяснения относительно результата автоматизированной оценки (скоринга) в объёме, предусмотренном пунктом 8.5 настоящей Политики;

12.1.9. обжаловать действия или бездействие Оператора в уполномоченный государственный орган либо в суд.

12.2. Порядок реализации прав. Обращение направляется Субъектом:

• через интерфейс Сервиса (мобильное приложение или личный кабинет);
• на адрес электронной почты info@navonasiya.uz;
• в письменной форме по адресу: г. Ташкент, Яшнабадский район, ул. Мухтумкули, 1.

12.3. Обращение должно содержать сведения, позволяющие идентифицировать Субъекта (ФИО, ПИНФЛ либо номер телефона, привязанный к учётной записи), суть требования и способ получения ответа. Оператор вправе запросить дополнительные сведения для подтверждения личности заявителя.

12.4. Сроки рассмотрения:

• требование об уточнении, изменении, дополнении или исправлении персональных данных исполняется в течение 3 (трёх) дней с момента получения;
• иные обращения рассматриваются в срок не более 15 (пятнадцати) дней с момента получения, если законодательством не установлен иной срок.

12.5. В удовлетворении требования может быть отказано, если его исполнение противоречит требованиям законодательства (в том числе в сфере ПОД/ФТ, бухгалтерского учёта, формирования кредитной истории) либо нарушает права и законные интересы третьих лиц. Отказ предоставляется в письменной форме с указанием мотивов.

13Отзыв согласия на обработку персональных данных

13.1. Субъект вправе отозвать согласие на обработку персональных данных путём направления письменного уведомления Оператору способами, указанными в пункте 12.2.

13.2. Отзыв согласия влечёт прекращение обработки персональных данных, за исключением данных, обработка которых осуществляется на иных законных основаниях: исполнение договора, требование законодательства, защита законных интересов Оператора.

13.3. Отзыв согласия может повлечь ограничение или прекращение доступа к Сервису.

13.4. Отзыв согласия не освобождает Субъекта от исполнения ранее принятых обязательств, включая обязательства по оплате задолженности. Персональные данные, необходимые для взыскания задолженности и исполнения требований законодательства, продолжают обрабатываться до истечения соответствующих сроков.

13.5. Согласие на получение маркетинговых сообщений может быть отозвано отдельно и в любой момент — через настройки приложения, по ссылке отписки в сообщении либо по обращению на info@navonasiya.uz. Отзыв такого согласия не влияет на доступ к Сервису.

14Меры по защите персональных данных

14.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.

14.2. Организационные меры:

• назначение лица, ответственного за организацию обработки и защиты персональных данных;
• утверждение внутренних документов, регламентирующих обработку персональных данных;
• разграничение и ролевая модель доступа сотрудников к персональным данным по принципу минимально необходимых полномочий;
• заключение с сотрудниками и контрагентами обязательств о неразглашении;
• периодическое обучение сотрудников и внутренний контроль соблюдения требований.

14.3. Технические меры:

• шифрование данных при передаче (TLS) и при хранении;
• токенизация и маскирование платёжных реквизитов; полные номера платёжных карт Оператором не хранятся;
• многофакторная аутентификация и защита учётных записей;
• межсетевое экранирование, антивирусная защита, мониторинг событий безопасности;
• ведение журналов доступа к персональным данным;
• регулярное резервное копирование и тестирование восстановления;
• контроль защищённости и устранение выявленных уязвимостей.

14.4. Реагирование на инциденты. При выявлении инцидента, связанного с несанкционированным доступом к персональным данным, Оператор проводит внутреннее расследование, принимает меры по локализации и устранению последствий, уведомляет уполномоченный государственный орган в установленные законодательством сроки и, при наличии риска для прав и интересов Субъектов, информирует затронутых Субъектов.

15Обработка данных на сайте и в мобильном приложении

15.1. При посещении сайта и использовании мобильного приложения Оператор автоматически получает технические данные, указанные в пункте 5.1 настоящей Политики.

15.2. Cookies и аналогичные технологии используются в следующих целях:

15.3. Субъект вправе управлять использованием cookies через настройки браузера или баннер согласия на сайте. Отключение строго необходимых cookies может сделать работу Сервиса невозможной.

15.4. Оператор вправе использовать сторонние сервисы аналитики и мониторинга. Такие сервисы обрабатывают данные в соответствии с собственными политиками конфиденциальности; Оператор обеспечивает передачу им данных в минимально необходимом объёме и, где это возможно, в обезличенном виде.

15.5. Сайт и приложение могут содержать ссылки на ресурсы третьих лиц. Оператор не несёт ответственности за обработку персональных данных на таких ресурсах.

16Маркетинговые коммуникации

16.1. Оператор направляет Субъекту сервисные уведомления (о статусе заявки, лимите, графике платежей, задолженности, изменениях условий и безопасности учётной записи) на основании договора. Отказ от сервисных уведомлений невозможен, поскольку они необходимы для исполнения договора.

16.2. Рекламные и маркетинговые сообщения направляются только при наличии отдельного согласия Субъекта и содержат указание на способ отказа от их дальнейшего получения.

17Обработка персональных данных несовершеннолетних

17.1. Сервис предназначен для дееспособных физических лиц, достигших возраста, установленного условиями Публичной оферты и внутренними правилами Оператора.

17.2. Оператор не осуществляет целенаправленный сбор персональных данных лиц, не достигших 18 лет. При выявлении факта обработки таких данных без надлежащего правового основания Оператор прекращает их обработку и уничтожает соответствующие данные.

18Ответственность

18.1. Оператор несёт ответственность за нарушение требований законодательства о персональных данных в соответствии с Кодексом Республики Узбекистан об административной ответственности, Уголовным кодексом Республики Узбекистан и иными нормативно-правовыми актами Республики Узбекистан.

18.2. Оператор не несёт ответственности за последствия, возникшие вследствие предоставления Субъектом недостоверных или неактуальных данных, а также вследствие несоблюдения Субъектом требований безопасности при использовании учётной записи (передача логина, пароля, кодов подтверждения третьим лицам).

19Изменение Политики

19.1. Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке.

19.2. Актуальная редакция Политики размещается на официальном сайте Оператора и в мобильном приложении с указанием даты вступления в силу.

19.3. Существенные изменения, затрагивающие права Субъектов, доводятся до их сведения не менее чем за 10 (десять) календарных дней до вступления в силу посредством уведомления в Сервисе, по электронной почте либо SMS.

19.4. Продолжение использования Сервиса после вступления изменений в силу означает ознакомление Субъекта с новой редакцией Политики.

20Заключительные положения

20.1. К настоящей Политике применяется право Республики Узбекистан.

20.2. Настоящая Политика применяется совместно с Публичной офертой Оператора, согласием на обработку персональных данных и иными документами, регулирующими использование Сервиса. В случае противоречия в части обработки персональных данных приоритет имеет настоящая Политика.

20.3. Если отдельное положение Политики будет признано недействительным, это не влечёт недействительности остальных положений.

20.4. Все вопросы, обращения и жалобы по вопросам обработки персональных данных направляются по контактам, указанным в разделе 21.

21Реквизиты и контакты Оператора

ООО «NAVO BNPL»

• ИНН: 313034345
• Адрес: Республика Узбекистан, г. Ташкент, Яшнабадский район, ул. Мухтумкули, 1
• Р/с: 20208000907466097001
• Банк: Мирзо-Улугбекский филиал АКБ «Капиталбанк»
• МФО: 01158
• Электронная почта: info@navonasiya.uz
• Вопросы по персональным данным: info@navonasiya.uz (с пометкой «Персональные данные»)

Субъект персональных данных вправе обратиться с жалобой в уполномоченный государственный орган в сфере персональных данных Республики Узбекистан или в суд.