Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые индивидуальным предпринимателем Куренковым Алексеем Геннадьевичем (ОГРНИП 323774600430375, ИНН 772607217562) — далее «Оператор» — при использовании сервиса «РевизорБОТ» (revizorbot.ru).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и является общедоступным документом, публикуемым во исполнение ч. 2 ст. 18.1 указанного закона.

1.3. Политика распространяется на обработку персональных данных, осуществляемую Оператором как с использованием средств автоматизации, так и без их использования.

1.4. Настоящая Политика является информационным документом и сама по себе не является согласием на обработку персональных данных. Согласия предоставляются отдельно в случаях, предусмотренных разделом 5.

2. Основные понятия

Понятия «персональные данные», «обработка персональных данных», «оператор», «обезличивание», «трансграничная передача» используются в значениях, определённых ст. 3 Федерального закона № 152-ФЗ.

3. Категории субъектов и состав данных

3.1. Пользователи Сервиса — физические лица, зарегистрированные в Сервисе, в том числе индивидуальные предприниматели и плательщики налога на профессиональный доход, а также представители юридических лиц.

Обрабатываются: адрес электронной почты; номер телефона (если указан); идентификатор чата Telegram (при подключении бота); фамилия, имя, отчество; наименование индивидуального предпринимателя или организации; ИНН, ОГРН/ОГРНИП, адрес — если указаны Пользователем для формирования Документов; IP-адрес, сведения о браузере и устройстве, журнал входов и действий в Личном кабинете; сведения о платежах (дата, сумма, статус; реквизиты банковской карты Оператору не передаются).

3.2. Партнёры — лица, участвующие в партнёрской программе. Дополнительно обрабатываются реквизиты для выплаты вознаграждения и сведения о налоговом статусе.

3.3. Лица, обратившиеся в поддержку — обрабатываются контактные данные и содержание обращения.

3.4. Лица, сведения о которых содержатся в данных личного кабинета Заказчика на Маркетплейсе. Данные, получаемые Сервисом по API-токену «только чтение», носят преимущественно коммерческий характер: остатки товаров, финансовые отчёты, удержания, штрафы, возвраты, выплаты, документы приёмки. Сервис по конструкции продукта не запрашивает разделы личного кабинета, содержащие наибольший объём персональных данных покупателей: переписку с покупателями, отзывы и вопросы о товаре.

Вместе с тем в отдельных отчётах и документах Маркетплейса возможно присутствие сведений, относящихся к покупателям (например, фрагмент адреса доставки, номер заказа). В отношении таких данных Оператор не является самостоятельным оператором, а действует как лицо, осуществляющее обработку персональных данных по поручению Заказчика (ч. 3 ст. 6 Федерального закона № 152-ФЗ). Условия поручения установлены п. 14.4 Оферты. Оператор:

• обрабатывает такие данные исключительно в целях выявления Находки и формирования Документа по заданию Заказчика;
• не отображает такие данные сверх необходимого для подтверждения Находки и маскирует их в интерфейсе;
• не хранит такие данные дольше срока хранения соответствующей Находки или Документа;
• не использует такие данные в маркетинговых, аналитических целях и для обучения моделей;
• отвечает за их обработку перед Заказчиком; перед субъектом персональных данных отвечает Заказчик.

3.5. Оператор не обрабатывает специальные категории персональных данных (ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ).

4. Цели обработки

4.1. Регистрация Пользователя, идентификация и предоставление доступа к Личному кабинету.

4.2. Исполнение договора (Оферты): анализ данных, формирование Находок и Документов, расчёты, учёт бонусов и партнёрских начислений.

4.3. Направление сообщений, необходимых для оказания услуг: коды входа, напоминания о сроках, статусы Находок, уведомления о предстоящих и состоявшихся списаниях, информация об изменениях оферты Маркетплейса, технические уведомления.

4.4. Рассмотрение обращений в поддержку.

4.5. Обеспечение безопасности Сервиса, выявление и предотвращение мошенничества и злоупотреблений.

4.6. Исполнение обязанностей, предусмотренных законодательством РФ (налоговый и бухгалтерский учёт, ответы на запросы уполномоченных органов).

4.7. При наличии отдельного согласия — направление рекламных и информационных рассылок.

4.8. При наличии отдельного согласия — включение обезличенных данных в агрегированную статистику Сервиса.

4.9. При наличии отдельного согласия — публикация кейса или отзыва.

4.10. При наличии отдельного согласия — аналитика посещаемости сайта с использованием файлов cookie.

5. Правовые основания обработки

5.1. Обработка в целях, указанных в пп. 4.1–4.4, осуществляется на основании п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ — необходимость исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных. Отдельное согласие для этих целей не требуется и не запрашивается.

5.2. Обработка в целях, указанных в п. 4.5, осуществляется на основании п. 7 ч. 1 ст. 6 — осуществление законных интересов Оператора при условии ненарушения прав и свобод субъекта.

5.3. Обработка в целях, указанных в п. 4.6, осуществляется на основании п. 2 ч. 1 ст. 6 — исполнение возложенных на Оператора обязанностей.

5.4. Обработка в целях, указанных в пп. 4.7–4.10, осуществляется исключительно на основании п. 1 ч. 1 ст. 6 — согласия субъекта персональных данных, оформляемого отдельно по каждой цели в соответствии со ст. 9 Федерального закона № 152-ФЗ. Отказ от предоставления этих согласий не влияет на возможность использования Сервиса.

5.5. Обработка персональных данных, указанных в п. 3.4, осуществляется на основании поручения Заказчика (ч. 3 ст. 6 Федерального закона № 152-ФЗ).

6. Порядок и сроки обработки

6.1. Персональные данные обрабатываются в течение срока действия договора с Пользователем.

6.2. После расторжения договора или отзыва согласия данные уничтожаются в срок, не превышающий 30 дней, за исключением данных, подлежащих хранению в силу закона. Сведения о платежах и документы налогового учёта хранятся в течение сроков, установленных законодательством о налогах и сборах и о бухгалтерском учёте.

6.3. При отзыве согласия на обработку, осуществляемую на основании согласия (п. 5.4), обработка в соответствующей цели прекращается незамедлительно.

6.4. Резервные копии, содержащие персональные данные, перезаписываются в срок, указанный на странице revizorbot.ru/security.

7. Локализация

7.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Федерального закона № 152-ФЗ). Серверная инфраструктура Сервиса размещена в Российской Федерации.

8. Передача данных третьим лицам

8.1. Оператор привлекает к обработке персональных данных по поручению следующие категории лиц в объёме, необходимом для оказания услуг:

• поставщика серверной инфраструктуры (Российская Федерация) — размещение и функционирование Сервиса;
• платёжный сервис (агрегатор) — приём платежей и формирование кассовых чеков в соответствии с Федеральным законом № 54-ФЗ; передаётся адрес электронной почты и сведения о заказе; реквизиты банковской карты Оператору не передаются;
• сервис транзакционной электронной почты — доставка кодов входа, уведомлений и напоминаний.

8.2. Трансграничная передача. Telegram-бот @revizor_mp_bot — необязательный дополнительный канал доставки уведомлений и обращений в поддержку, который Пользователь вправе подключить в Личном кабинете по своему усмотрению. На дату настоящей редакции подключение Telegram-бота в Сервисе не активировано: все уведомления направляются по электронной почте, трансграничная передача персональных данных Оператором не осуществляется.

8.3. Если и когда Оператор включит подключение Telegram-бота, обработка сообщений будет вестись с использованием серверов, расположенных за пределами Российской Федерации; в этом случае за пределы Российской Федерации будут передаваться идентификатор чата, содержание направляемого сообщения и сведения, которые Пользователь сообщает самостоятельно. До начала такой передачи Оператор направит в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу персональных данных в порядке ст. 12 Федерального закона № 152-ФЗ и обновит настоящую Политику с указанием даты уведомления.

8.4. Подключение Telegram-бота, когда оно станет доступно, будет добровольным. Пользователь вправе не подключать Telegram и получать все необходимые для оказания услуг сообщения по электронной почте, а также отключить бота в любой момент в Личном кабинете или командой /stop.

8.5. Оператор минимизирует состав данных, направляемых через Telegram: сообщения не содержат API-токенов, полных финансовых выгрузок и персональных данных третьих лиц.

8.6. Оператор не передаёт персональные данные третьим лицам в иных целях, за исключением случаев, прямо предусмотренных законодательством Российской Федерации.

8.7. Оператор не осуществляет трансграничную передачу персональных данных в государства, не обеспечивающие адекватной защиты прав субъектов, помимо случая, указанного в п. 8.2.

9. Права субъекта персональных данных

9.1. Субъект персональных данных вправе:

• получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 Федерального закона № 152-ФЗ;
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• возражать против обработки в целях продвижения товаров и услуг;
• обжаловать действия Оператора в Роскомнадзор или в судебном порядке.

9.2. Обращения направляются на support@revizorbot.ru. Оператор даёт ответ в течение 10 рабочих дней с даты получения обращения; этот срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя о причинах продления.

9.3. Для удаления данных Пользователь может воспользоваться кнопкой «Удалить все мои данные» в Личном кабинете.

9.4. Обращения субъектов, персональные данные которых Оператор обрабатывает по поручению Заказчика (п. 3.4), передаются Оператором Заказчику как оператору таких данных; ответ по существу даёт Заказчик.

10. Меры защиты

10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Федерального закона № 152-ФЗ, в том числе:

• назначил лицо, ответственное за организацию обработки персональных данных;
• утвердил локальные акты по вопросам обработки и защиты персональных данных;
• определил угрозы безопасности и применяемый уровень защищённости;
• шифрует хранимые данные, в том числе API-токены маркетплейсов (AES-256-GCM), с хранением ключа отдельно от базы данных;
• ограничивает доступ персонала к персональным данным и ведёт журнал обращений к данным клиентов;
• обеспечивает доступ к серверной инфраструктуре только по криптографическому ключу, применяет сетевой экран и защиту от подбора учётных данных;
• шифрует резервные копии;
• осуществляет внутренний контроль соответствия обработки требованиям законодательства.

10.2. Подробное описание технических мер — на странице revizorbot.ru/security.

11. Действия при инциденте

11.1. При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов с момента выявления инцидента уведомляет Роскомнадзор о произошедшем, предполагаемом вреде и лице, уполномоченном на взаимодействие, а в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (ч. 3.1 ст. 21 Федерального закона № 152-ФЗ).

11.2. Пользователей, чьи данные затронуты инцидентом, Оператор уведомляет не позднее 24 часов с момента обнаружения инцидента с указанием рекомендуемых действий.

11.3. Оператор ведёт журнал инцидентов.

12. Файлы cookie

12.1. Сайт revizorbot.ru использует файлы cookie. Технически необходимые cookie (сессия, авторизация, безопасность, сохранение выбора в баннере) устанавливаются без согласия, поскольку без них сайт не может функционировать.

12.2. Аналитические cookie устанавливаются только после получения согласия Пользователя через баннер. Согласие может быть отозвано в любой момент в настройках сайта.

12.3. Подробности — в Уведомлении о файлах cookie по адресу revizorbot.ru/cookies.

13. Изменение Политики

13.1. Оператор вправе изменять настоящую Политику. Актуальная редакция всегда доступна по адресу revizorbot.ru/privacy с указанием номера версии и даты.

13.2. О существенных изменениях Оператор уведомляет зарегистрированных Пользователей по электронной почте не менее чем за 14 календарных дней.

14. Реквизиты Оператора

Индивидуальный предприниматель Куренков Алексей Геннадьевич
ОГРНИП 323774600430375 · ИНН 772607217562
Адрес для направления корреспонденции: 111250, г. Москва
Email: support@revizorbot.ru
Лицо, ответственное за организацию обработки персональных данных: ИП Куренков А. Г., support@revizorbot.ru
Полные реквизиты — revizorbot.ru/requisites