Политика обработки персональных данных

1. Оператор

Индивидуальный предприниматель Догаева Виктория Витальевна, ОГРНИП 325265100150402, ИНН 262607045240. Адрес: 357634, Россия, Ставропольский край, г. Ессентуки, пер. Светлый, д. 10. Электронная почта для обращений по вопросам персональных данных: azimgroup@bk.ru. Телефон: +7 985 686-77-34.

2. Основные понятия и нормативная база

Политика разработана в соответствии с Конституцией РФ, Федеральным законом № 152-ФЗ «О персональных данных», Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации», постановлением Правительства РФ от 01.11.2012 № 1119 и иными нормативными актами. Термины используются в значении, установленном ст. 3 закона № 152-ФЗ.

3. Кто и какие данные обрабатывает

3.1. Пользователи Сервиса (представители Заказчиков). Оператор — мы. Обрабатываем: адрес электронной почты, наименование компании или магазина, хеш пароля, роль в аккаунте, IP-адрес и время действий в журнале, дату и версию принятых документов, технические сведения о запросах (тип браузера, ошибки).

3.2. Покупатели маркетплейса. Оператором является продавец (Заказчик), а мы обрабатываем данные по его поручению. Обрабатываем: имя покупателя, как его показывает маркетплейс; текст и оценку отзыва; сообщения в чате с продавцом; идентификаторы товара, отзыва, чата и обращения на возврат. Мы не запрашиваем у покупателей паспортные данные, платёжные реквизиты, адреса и телефоны.

3.3. Посетители сайта. Обрабатываем технические данные запросов (IP-адрес, дата и время, страница) в журналах сервера и технические cookie, необходимые для входа (см. Уведомление об использовании cookie). Сервисы веб-аналитики и рекламные трекеры на сайте не используются.

4. Цели и правовые основания

• заключение и исполнение договора с Заказчиком, предоставление доступа к Сервису, поддержка (п. 5 ч. 1 ст. 6 закона № 152-ФЗ);
• обеспечение безопасности аккаунта, предотвращение злоупотреблений, ведение журнала действий (п. 7 ч. 1 ст. 6 — законные интересы оператора);
• направление служебных сообщений: подтверждение адреса, восстановление пароля, уведомления об изменении условий (п. 5 ч. 1 ст. 6);
• выполнение требований законодательства, включая бухгалтерский и налоговый учёт (п. 2 ч. 1 ст. 6);
• обработка персональных данных покупателей по поручению Заказчика в целях, указанных в Поручении (п. 3 ст. 6; основание обработки определяет Заказчик как оператор);
• иные случаи — на основании согласия субъекта, которое оформляется отдельным документом (ст. 9).

Персональные данные не используются для рекламных рассылок и профилирования и не продаются.

5. Способы, сроки хранения

5.1. Обработка — автоматизированная. Действия: сбор, запись, систематизация, хранение, уточнение, использование, передача получателям из раздела 7, блокирование, удаление.

5.2. Данные Пользователей хранятся в течение срока действия договора и трёх лет после его прекращения (срок исковой давности, ст. 196 ГК РФ), если иное не требуется законом или не отозвано согласие.

5.3. Данные покупателей хранятся в течение срока действия договора с Заказчиком и удаляются или обезличиваются в течение 30 календарных дней после его прекращения либо по запросу Заказчика; резервные копии — не более 90 календарных дней.

5.4. Автоматизированная обработка не приводит к принятию решений, порождающих юридические последствия для субъекта данных, исключительно на основании такой обработки (ст. 16 закона). Решения по обращениям на возврат принимает Заказчик по установленным им правилам.

6. Место хранения (локализация)

Первичная запись, систематизация, накопление и хранение персональных данных граждан Российской Федерации осуществляются в базах данных, размещённых на территории Российской Федерации (ч. 5 ст. 18 закона № 152-ФЗ).

7. Получатели данных и трансграничная передача

Мы передаём данные только лицам, участвующим в оказании услуг, в объёме, необходимом для цели:

• Хостинг-провайдер Timeweb — все данные Сервиса (хранение на серверах); Российская Федерация; цель: размещение и хранение базы данных и приложения.
• Почтовый сервис Mail.ru (VK) — адрес электронной почты пользователя; Российская Федерация; цель: отправка служебных писем (подтверждение адреса, восстановление пароля).

Все получатели находятся в Российской Федерации. Трансграничная передача персональных данных не осуществляется.

Помимо этого, данные могут быть переданы по мотивированному запросу государственных органов в случаях, предусмотренных законом. Мы не передаём данные иным третьим лицам без согласия субъекта или оснований, установленных законом.

8. Права субъекта персональных данных

Вы вправе (ст. 14—17 закона № 152-ФЗ): получить сведения об обработке своих данных; требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели; отозвать согласие; обжаловать действия оператора в Роскомнадзор или в суд; на защиту своих прав и возмещение убытков.

Запрос направляется на azimgroup@bk.ru или по почтовому адресу оператора. Мы ответим в течение 10 рабочих дней с момента получения (срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах). Для идентификации запроса можем попросить подтвердить личность.

Если обращается покупатель маркетплейса, данные которого обрабатываются по поручению продавца, мы перенаправим обращение продавцу (оператору) и окажем содействие в подготовке ответа.

Согласие можно отозвать письмом на azimgroup@bk.ru. Отзыв не влияет на законность обработки до его получения; после отзыва мы вправе продолжить обработку при наличии иных оснований, предусмотренных законом. При отзыве согласия доступ к Сервису может быть прекращён, поскольку данные необходимы для его работы.

9. Меры защиты

• токены доступа к API маркетплейса хранятся в зашифрованном виде, в интерфейсе показывается только маска;
• пароли хранятся в виде хеша (Argon2id);
• доступ по защищённому протоколу HTTPS; сессия — в httpOnly-cookie; защита от подбора паролей и ограничение частоты запросов;
• разграничение доступа между Заказчиками и ролями внутри аккаунта; журнал значимых действий;
• ежедневные резервные копии базы данных (хранятся 14 дней, доступ ограничен) и обновление программных компонентов;
• ограничение доступа к данным лицами, которым они необходимы для работы; обязательство соблюдать конфиденциальность.

При выявлении утечки данных мы уведомим Роскомнадзор в течение 24 часов с момента выявления и предоставим результаты внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21 закона № 152-ФЗ), а также уведомим затронутых Заказчиков.

10. Заключительные положения

Политика опубликована на сайте https://tonalis.ru/legal/privacy. Оператор вправе изменять политику; новая редакция вступает в силу с момента публикации. Вопросы: azimgroup@bk.ru. Контролирующий орган: Роскомнадзор (rkn.gov.ru).