Политика обработки персональных данных
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Оператором.
1.2. Оператор: Индивидуальный предприниматель Щукин Максим Андреевич, ИНН 644928924460, ОГРНИП 324645700055311, e-mail: maksim.shukin@mail.ru, телефон: +7 996 200-08-38 (далее — «Оператор»).
1.3. Политика действует в отношении сервиса «Промокоды dsgnmax» (https://promocode.dsgnmax.ru, включая личный кабинет, программные интерфейсы, скрипт для сайтов и расширение для браузера; далее — «Сервис») и применяется ко всей информации, которую Оператор может получить о субъектах персональных данных в связи с использованием Сервиса.
1.4. Оператор ставит своей важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
2. Основные понятия
В Политике используются понятия, определённые Законом о персональных данных: «персональные данные», «обработка персональных данных», «оператор», «предоставление персональных данных», «блокирование», «уничтожение» и другие. Дополнительно:
- Пользователь — лицо, зарегистрировавшее аккаунт в Сервисе (владелец магазина или его представитель), а также посетитель сайта Сервиса;
- Конечный покупатель — физическое лицо, совершающее покупки в магазине Пользователя (в том числе получатель подарочного сертификата), данные которого поступают в Сервис из настроенной Пользователем передачи заказов платформы Tilda.
3. Категории субъектов и состав обрабатываемых данных
3.1. Пользователи Сервиса
- имя (и/или наименование компании), адрес электронной почты, пароль (в защищённом виде);
- данные магазинов: название, адрес сайта, идентификатор проекта Tilda, настройки;
- сведения об оплатах: тариф, суммы, даты, статус платежа, идентификаторы платежей (данные банковских карт Оператору не передаются и им не хранятся — см. п. 6.2);
- переписка с Оператором и обращения в поддержку.
3.2. Конечные покупатели магазинов Пользователей
- адрес электронной почты покупателя и/или получателя сертификата, имя получателя;
- сведения о заказе: состав, сумма, дата, применённый промокод, идентификатор заказа.
Важно: в отношении данных Конечных покупателей оператором персональных данных является Пользователь (владелец магазина), который самостоятельно определяет цели их обработки. Оператор обрабатывает такие данные по поручению Пользователя на основании части 3 статьи 6 Закона о персональных данных и договора (оферты) Сервиса — исключительно для выдачи и доставки кодов сертификатов, учёта применений промокодов и ведения журналов заказов Пользователя. По вопросам обработки своих данных Конечным покупателям следует обращаться к владельцу соответствующего магазина; Оператор оказывает владельцу магазина необходимое содействие в реализации прав субъектов.
3.3. Технические данные (все посетители)
- IP-адрес, данные о браузере и устройстве, дата и время обращений, адреса запрашиваемых страниц;
- идентификаторы, сохраняемые в браузере (localStorage/cookie) для поддержания сессии и работы Сервиса.
3.4. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные.
4. Цели, правовые основания и сроки обработки
| Цель обработки | Правовое основание | Категории данных | Срок |
|---|---|---|---|
| Регистрация аккаунта, предоставление доступа к Сервису, исполнение договора (оферты) | п. 5 ч. 1 ст. 6 Закона о персональных данных (исполнение договора); согласие | Данные Пользователя (п. 3.1) | Срок действия договора и 3 года после его прекращения (исковая давность), если больший срок не требуется законом |
| Приём платежей, расчёты, формирование отчётности | п. 2, п. 5 ч. 1 ст. 6 (закон, договор) | Сведения об оплатах | 5 лет (требования налогового и бухгалтерского законодательства) |
| Сервисные уведомления (о заказах, остатках, платежах, изменениях условий) | п. 5 ч. 1 ст. 6 (исполнение договора) | E-mail Пользователя | Срок действия договора |
| Выдача и доставка кодов сертификатов, учёт применений промокодов — по поручению Пользователя | ч. 3 ст. 6 (поручение оператора-Пользователя) | Данные Конечных покупателей (п. 3.2) | Срок действия договора с Пользователем либо до удаления по требованию Пользователя |
| Обеспечение работоспособности и безопасности Сервиса, предотвращение злоупотреблений | п. 7 ч. 1 ст. 6 (осуществление прав и законных интересов Оператора) | Технические данные (п. 3.3) | До 12 месяцев |
| Информационные и рекламные рассылки Оператора | п. 1 ч. 1 ст. 6 (отдельное согласие); ст. 18 Федерального закона «О рекламе» | E-mail, имя Пользователя | До отзыва согласия |
| Рассмотрение обращений и претензий | п. 2, п. 5 ч. 1 ст. 6 | Данные обращения | 3 года с даты обращения |
4.1. По истечении сроков данные уничтожаются либо обезличиваются в срок, не превышающий 30 дней, если иное не предусмотрено законом.
5. Порядок и условия обработки
5.1. Обработка осуществляется смешанным (автоматизированным и неавтоматизированным) способом: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
5.2. Оператор осуществляет запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).
5.3. Оператор не принимает решений, порождающих юридические последствия в отношении субъектов, на основании исключительно автоматизированной обработки персональных данных.
5.4. Персональные данные не передаются в общедоступные источники и не распространяются, если иное прямо не согласовано с субъектом отдельным согласием на распространение (ст. 10.1 Закона о персональных данных).
5.5. Трансграничная передача персональных данных Оператором не осуществляется. При изменении этого порядка Оператор выполнит требования ст. 12 Закона о персональных данных (включая уведомление уполномоченного органа) до начала такой передачи.
5.6. Доступ в режиме технической поддержки. Для диагностики и устранения неисправностей Сервиса уполномоченные работники Оператора могут получить доступ к личному кабинету Пользователя в режиме технической поддержки — интерфейс отображается так же, как его видит сам Пользователь. Оператор обязуется использовать этот режим только по обращению Пользователя либо для выявления и устранения неисправности Сервиса или инцидента информационной безопасности. В этом режиме доступны данные аккаунта и магазинов Пользователя (настройки, правила промокодов, шаблоны писем, промокоды, статистика), а также журналы заказов, содержащие персональные данные Конечных покупателей (имя и адрес электронной почты покупателя и получателя сертификата, состав заказа), — эти данные обрабатываются Оператором по поручению Пользователя и только в целях, указанных в п. 4 Политики и в поручении.
5.7. При работе в режиме технической поддержки: сессия доступа ограничена по времени (не более 60 минут) и прекращается при выходе Пользователя из аккаунта на всех устройствах; вход, выход и каждое изменение фиксируются в журнале доступа с указанием лица, аккаунта, даты и времени, указанной причины доступа и наименований изменённых полей (без сохранения самих значений); в интерфейсе режима технической поддержки не отображаются токен Расширения и секрет вебхука Пользователя — доступна только их маскированная форма и возможность перевыпуска; изменение пароля и адреса электронной почты Пользователя, удаление аккаунта и операции, влекущие списание денежных средств Пользователя, в этом режиме не допускаются. Круг лиц, имеющих такой доступ, ограничен; эти лица предупреждены об обязанности не раскрывать персональные данные.
6. Передача данных третьим лицам
6.1. Оператор привлекает к обработке следующих лиц (по поручению, на основании договоров, с обязательствами конфиденциальности и с возложением обязательств не меньших, чем несёт сам Оператор). Все указанные лица являются резидентами Российской Федерации и обрабатывают данные с использованием баз данных на территории Российской Федерации:
- хостинг-провайдер — размещение Сервиса на серверах на территории РФ;
- сервис отправки электронных писем — ООО «Юнисендер Смарт» (сервис Unisender Go): доставка сервисных писем и писем с кодами сертификатов;
- оператор платёжной инфраструктуры — сервис приёма платежей ЮKassa (НКО «ЮМани»): приём платежей.
6.2. Данные банковских карт обрабатываются исключительно оператором платёжного сервиса в соответствии со стандартом PCI DSS; Оператору эти данные не передаются.
6.3. Персональные данные могут быть переданы уполномоченным государственным органам только по основаниям и в порядке, установленным законодательством РФ.
6.4. Оператор не продаёт персональные данные и не передаёт их третьим лицам в маркетинговых целях.
7. Cookie, localStorage и аналитика
7.1. Сервис использует минимально необходимые технологии хранения данных в браузере: токен сессии личного кабинета, выбранный магазин и настройки интерфейса сохраняются в localStorage браузера Пользователя. Эти данные необходимы для работы Сервиса (аутентификация) и не используются для отслеживания на сторонних сайтах.
7.2. На сайте Сервиса могут применяться cookie-файлы и инструменты веб-аналитики для оценки посещаемости и улучшения Сервиса. Пользователь может ограничить или запретить использование cookie в настройках браузера; это может повлиять на работу отдельных функций.
7.3. Продолжая использовать сайт, Пользователь соглашается с обработкой технических данных в объёме, указанном в Политике.
8. Права субъектов персональных данных
8.1. Субъект персональных данных вправе:
- получать информацию, касающуюся обработки его персональных данных (ст. 14 Закона о персональных данных);
- требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных;
- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
8.2. Запросы направляются на maksim.shukin@mail.ru (рекомендуемая пометка — «Персональные данные») либо иным способом, позволяющим подтвердить факт получения. Оператор предоставляет ответ в течение 10 рабочих дней с момента обращения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.
8.3. Для защиты данных от несанкционированного доступа Оператор вправе запросить подтверждение личности заявителя (например, направление запроса с адреса электронной почты, указанного в аккаунте).
8.4. Пользователь может самостоятельно изменять данные своего аккаунта и магазинов в личном кабинете, а также удалить отдельные данные средствами Сервиса.
9. Меры по защите персональных данных
9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:
- шифрование соединений (HTTPS/TLS) при работе с Сервисом;
- хранение паролей исключительно в виде криптографических хэшей;
- разграничение доступа: данные каждого Пользователя изолированы, доступ одного Пользователя к данным других пользователей исключён архитектурой Сервиса (доступ уполномоченных работников Оператора в режиме технической поддержки осуществляется на условиях пп. 5.6–5.7 Политики и журналируется);
- ограничение доступа к серверам, резервное копирование, журналирование значимых операций;
- внутренний контроль соответствия обработки требованиям законодательства, оценка вреда и угроз безопасности персональных данных;
- ограничение круга лиц, имеющих доступ к персональным данным, и их ознакомление с требованиями законодательства.
9.2. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, оператором которых является сам Оператор, Оператор уведомляет уполномоченный орган в порядке и сроки, предусмотренные ч. 3.1 ст. 21 Закона о персональных данных. В отношении данных Конечных покупателей, обрабатываемых по поручению, Оператор незамедлительно уведомляет Пользователя (оператора этих данных), который исполняет обязанность по уведомлению уполномоченного органа.
10. Несовершеннолетние
10.1. Сервис предназначен для лиц, достигших 18 лет и осуществляющих предпринимательскую или иную законную деятельность. Оператор сознательно не собирает персональные данные лиц младше 18 лет в качестве Пользователей. При обнаружении таких данных они удаляются в возможно короткий срок.
11. Прекращение обработки и уничтожение данных
11.1. Обработка прекращается: по достижении целей обработки; по истечении сроков, указанных в разделе 4; при отзыве согласия (в части, основанной на согласии); при прекращении деятельности Оператора.
11.2. Уничтожение персональных данных производится способом, исключающим их восстановление, с фиксацией факта уничтожения в соответствии с требованиями уполномоченного органа.
11.3. Резервные копии, содержащие персональные данные, уничтожаются в порядке их планового цикла перезаписи, но не позднее 30 дней с даты наступления основания уничтожения.
12. Заключительные положения
12.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения по адресу https://promocode.dsgnmax.ru/privacy, если иное не предусмотрено новой редакцией.
12.2. Действующая редакция Политики находится в свободном доступе по адресу https://promocode.dsgnmax.ru/privacy.
12.3. По всем вопросам, связанным с обработкой персональных данных, можно обратиться к Оператору: maksim.shukin@mail.ru.
Связанные документы: Публичная оферта · Согласие на обработку персональных данных