«Клап Комеди Клаб Монголиа» ХХК (цаашид «бид» эсвэл «Clap Comedy Club») нь ClapComedyClub.mn вебсайтын хэрэглэгчдийн хувийн мэдээллийг хамгаалах, аюулгүй байдлыг хангах, луйврын эрсдэлээс сэргийлэх асуудалд онцгой ач холбогдол өгдөг. Энэхүү бодлого нь бидний цуглуулдаг мэдээлэл, түүнийг ашиглах зорилго, аюулгүй байдлын арга хэмжээг тодорхойлно.
1. Цуглуулдаг мэдээлэл
- Бүртгэлийн мэдээлэл: овог нэр, и-мэйл, утасны дугаар.
- Захиалгын мэдээлэл: захиалсан шоу/контент, тоо хэмжээ, төлсөн мөнгөн дүн, гүйлгээний ID.
- Төлбөрийн мэдээлэл: картын мэдээллийг бид хадгалдаггүй. Бүх төлбөр QPay төлбөрийн систем дээр шууд хийгддэг.
- Техникийн мэдээлэл: IP хаяг, төхөөрөмжийн төрөл, browser, нэвтрэх лог, контент үзсэн түүх.
2. Мэдээллийг ашиглах зорилго
- Захиалга баталгаажуулах, тасалбар/контентын эрх олгох.
- Хэрэглэгчийн дэмжлэг үзүүлэх.
- Шинэ шоу, гишүүнчлэлийн талаар мэдэгдэх (зөвшөөрөлтэй үед).
- Хууль зөрчилт, луйвар, аюулгүй байдлын зөрчлөөс сэргийлэх.
3. Гуравдагч талуудтай хуваалцах
- QPay – төлбөр баталгаажуулалт. PCI DSS стандартын дагуу үйл ажиллагаа явуулдаг лиценз бүхий банкны түнш.
- DigitalOcean – серверийн дэд бүтэц ба контент түгээлт.
- SendGrid – системийн и-мэйл (баталгаажуулалт, нууц үг сэргээх) илгээх.
- Бид хэрэглэгчийн хувийн мэдээллийг зар сурталчилгааны зорилгоор худалдаалдаггүй.
4. Аюулгүй байдлын арга хэмжээ
Хэрэглэгчдийн мэдээллийг хамгаалахын тулд бид дараах техникийн болон зохион байгуулалтын арга хэмжээг авч ажилладаг:
- HTTPS/TLS шифрлэлт — сайт болон сервер хоорондын бүх дамжуулалт шифрлэгдсэн байна.
- Картын мэдээлэл бидний сервер дээр огт хадгалагддаггүй — бүх төлбөр PCI DSS стандарт бүхий QPay системээр дамжина.
- Bcrypt алгоритмаар хэрэглэгчийн нууц үгийг хааш-лах (hash) хэлбэрээр хадгалдаг — анхны үсгээ ч сэргээх боломжгүй.
- JWT (JSON Web Token)-д суурилсан session удирдлага, хугацаа дуусах хязгаар.
- Серверийн талд хэрэглэгчийн оролтыг бүрэн шалгадаг (validation), SQL injection, XSS зэрэг халдлагаас сэргийлдэг.
- Админ болон энгийн хэрэглэгчийн эрхийг тусгаарлах (role-based access control).
- Серверийн орчин, тохиргоо, нэвтрэх түлхүүрүүдийг тусгай нууцалсан environment файлд хадгалдаг.
5. Луйврын эсрэг арга хэмжээ
- Бүх төлбөрийг сервер талаас QPay-ийн API-аар давхар баталгаажуулдаг. Хэрэглэгчийн талаас илгээсэн «төлсөн» баталгаанд бид найддаггүй.
- Захиалгын дүн, ID, төлөвийг сервер дээр шалгасны дараа л тасалбар эсвэл контентын эрх олгогдоно.
- Нэвтрэх болон холбоо барих хэлбэрүүд дээр rate limiting (давталтын хязгаарлалт) тогтоосон бөгөөд brute-force халдлагаас сэргийлдэг.
- Сэжигтэй үйлдэл (олон удаа буруу нууц үг, өөр өөр төхөөрөмжөөс нэвтрэх) бүртгэгдэж шалгагдана.
- Цуцлагдсан, амжилтгүй болсон төлбөрүүд автоматаар тэмдэглэгдэх ба эрх олгогдохгүй.
6. Хэрэглэгчийн эрх
- Бүртгэлтэй мэдээллээ үзэх, шинэчлэх.
- Аккоунтаа хаах хүсэлт гаргах. Энэ тохиолдолд хувийн мэдээллийг хууль ёсны үүрэг (татвар, санхүүгийн бүртгэл г.м.) дуустал хадгалж, дараа нь устгана.
- Маркетингийн и-мэйлээс хүссэн үедээ татгалзах.
7. Cookie ба session
Сайтад нэвтэрсэн төлвийг хадгалах, хэлний тохиргоог санах зорилгоор cookie ашигладаг. Browser-ийн тохиргооноос cookie-г хүссэн үедээ устгах боломжтой, гэхдээ нэвтрэх шаардлагатай хэсгүүд хязгаарлагдмал ажиллана.
8. Бодлогын шинэчлэл
Нууцлалын бодлого нь хууль, бүтээгдэхүүний өөрчлөлтөөс хамаарч шинэчлэгдэж болно. Чухал өөрчлөлтийг сайт болон и-мэйлээр зарлана.
9. Холбоо барих
Хувийн мэдээлэл, нууцлалтай холбоотой санал, гомдол хүлээн авах: