Политика в отношении обработки персональных данных

Оператор персональных данных: Индивидуальный предприниматель Дудченко Вадим Дмитриевич. ОГРНИП: 325344300134460. ИНН: 346001150638. Электронная почта: whatyourocean@yandex.ru.

Ответственным за организацию обработки персональных данных является сам Оператор (индивидуальный предприниматель).

Контакты для обращений субъектов персональных данных: адрес электронной почты whatyourocean@yandex.ru. По этому адресу принимаются запросы о наличии и составе персональных данных, требования об их уточнении, блокировании и уничтожении, а также отзывы согласия. Почтовый адрес для направления письменной корреспонденции предоставляется по запросу.

«Персональные данные» — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту). «Пользователь» — лицо, зарегистрировавшееся в Сервисе. «Обработка» — любое действие с персональными данными (сбор, запись, хранение, использование, удаление и др.).

Оператор обрабатывает персональные данные следующих категорий субъектов:

— пользователи Сервиса — физические лица, зарегистрировавшие учётную запись, в том числе индивидуальные предприниматели, лица, применяющие налог на профессиональный доход, и представители юридических лиц;

— лица, направившие обращение в службу поддержки, в том числе до регистрации;

— плательщики, оплачивающие подписку (при подключении платных функций).

Персональные данные работников у Оператора отсутствуют. Персональные данные покупателей маркетплейса Оператором не обрабатываются: API маркетплейса передаёт обезличенные сведения о заказах и продажах.

4.1. При регистрации и использовании Сервиса: адрес электронной почты; имя (если указано); пароль — в виде необратимого хэша (сам пароль Оператору неизвестен).

4.2. Данные, которые Пользователь подключает сам: токен доступа к API маркетплейса и загруженные по нему сведения кабинета Пользователя (заказы, продажи, товары, реклама, удержания и т. п.), а также введённые Пользователем показатели (себестоимость, налоговая ставка, группы товаров). Указанные сведения относятся к коммерческой деятельности Пользователя и не содержат персональных данных покупателей маркетплейса.

4.3. При оплате подписки: фамилия, имя, отчество; контактные данные; сведения о заказах, подписке и платежах; данные, необходимые для формирования и направления кассового чека; реквизиты плательщика. Полные реквизиты банковской карты Оператор не получает и не хранит — они вводятся на защищённой странице платёжного сервиса.

4.4. Технические данные: IP-адрес, дата и время действий, сведения об устройстве и браузере, идентификаторы сессии и файлы cookie.

4.5. Оператор не обрабатывает специальные категории персональных данных (о состоянии здоровья, религиозных, политических убеждениях и т. п.) и биометрические персональные данные.

4.6. Сервис не предназначен для лиц младше 18 лет; Оператор не собирает данные несовершеннолетних осознанно.

Персональные данные обрабатываются исключительно в следующих заранее определённых и законных целях (ст. 5 ч. 2 152-ФЗ):

5.1. Регистрация, идентификация и аутентификация Пользователя, предоставление доступа к Сервису.

5.2. Оказание услуг аналитики: загрузка, хранение и отображение данных кабинета маркетплейса Пользователя.

5.3. Приём оплаты подписки, выставление счетов, формирование и направление кассовых чеков, ведение бухгалтерского и налогового учёта.

5.4. Техническая поддержка и обработка обращений Пользователей.

5.5. Обеспечение безопасности Сервиса, предотвращение мошенничества и расследование инцидентов.

5.6. Направление рекламных и информационных сообщений — только при наличии отдельного добровольного согласия.

Обработка, несовместимая с указанными целями, не производится.

Персональные данные хранятся не дольше, чем этого требуют цели обработки (ст. 5 ч. 7 152-ФЗ):

6.1. Учётные данные (email, имя, хэш пароля) — в течение срока действия учётной записи и до отзыва согласия либо удаления учётной записи.

6.2. Токен и данные кабинета маркетплейса — в течение срока использования Сервиса; далее — в порядке раздела 12.

6.3. Данные о платежах и связанные бухгалтерские (налоговые) документы — не менее 5 лет с момента совершения операции, как того требует законодательство.

6.4. Обращения в поддержку — до 3 лет с момента обращения.

6.5. Технические журналы и сведения о безопасности — до 12 месяцев.

6.6. Данные для рекламных рассылок — до отзыва соответствующего согласия.

7.1. Согласие субъекта персональных данных (ст. 6 ч. 1 п. 1 152-ФЗ), выраженное проставлением отметки при регистрации.

7.2. Исполнение договора, стороной которого является субъект, — Пользовательского соглашения и Оферты (ст. 6 ч. 1 п. 5 152-ФЗ).

7.3. Исполнение обязанностей, возложенных на Оператора законодательством: Федеральный закон № 402-ФЗ «О бухгалтерском учёте», Налоговый кодекс РФ, Федеральный закон № 54-ФЗ «О применении контрольно-кассовой техники».

8.1. Обработка осуществляется как с использованием средств автоматизации, так и без них. Автоматизированное принятие решений, порождающих юридические последствия для субъекта, не применяется.

8.2. Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на территории Российской Федерации на собственном оборудовании Оператора (ст. 18 ч. 5 152-ФЗ).

8.3. Трансграничная передача персональных данных не осуществляется.

9.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных ниже.

9.2. При оплате подписки данные передаются: платёжному сервису и банку-эквайеру — для проведения платежа; оператору фискальных данных — для формирования и направления кассового чека. Такие лица обрабатывают данные по поручению Оператора в объёме, необходимом для оказания соответствующих услуг, и обязаны соблюдать конфиденциальность и требования 152-ФЗ.

9.3. Данные могут быть предоставлены государственным органам по законному и обоснованному требованию.

9.4. Обмен с API маркетплейса производится исключительно по инициативе Пользователя с использованием предоставленного им токена.

10.1. Пользователь вправе: получать сведения об обработке своих персональных данных; требовать их уточнения, блокирования или уничтожения при их неполноте, неточности или незаконности обработки; отозвать согласие; обжаловать действия Оператора в Роскомнадзор или в суд.

10.2. Запрос направляется на whatyourocean@yandex.ru и должен содержать сведения, позволяющие идентифицировать заявителя (в том числе адрес электронной почты, указанный при регистрации). Ответ предоставляется в срок, не превышающий 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

10.3. Отзыв согласия влечёт прекращение обработки и уничтожение персональных данных, за исключением данных, которые Оператор обязан хранить по закону (п. 6.3). Отзыв согласия делает невозможным дальнейшее использование Сервиса.

11.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования и распространения (ст. 18.1, ст. 19 152-ФЗ): разграничение прав доступа; передача данных по защищённому каналу (HTTPS/TLS); хранение паролей исключительно в виде необратимого хэша; шифрование токенов доступа к API маркетплейсов при хранении (AES-256-GCM); журналирование действий; резервное копирование; ограничение круга лиц, имеющих доступ к данным, и обязательство о конфиденциальности.

11.2. Оператор не передаёт полный токен доступа к API маркетплейса обратно в интерфейс — отображается только его маскированная часть.

11.3. Оператор осуществляет внутренний контроль соответствия обработки требованиям законодательства и оценивает вред, который может быть причинён субъектам.

12.1. Персональные данные подлежат уничтожению по достижении целей обработки, при отзыве согласия, при выявлении неправомерной обработки, а также по требованию субъекта — в срок, не превышающий 30 дней с даты наступления соответствующего события, если иной срок не установлен законом.

12.2. Уничтожение производится способом, исключающим дальнейшее восстановление и обработку: удаление записей из баз данных с последующей перезаписью, а также удаление из резервных копий при их плановой ротации (не позднее 12 месяцев).

12.3. Факт уничтожения подтверждается актом об уничтожении персональных данных и (или) выгрузкой из журнала регистрации событий информационной системы, оформляемыми в соответствии с требованиями Роскомнадзора. Акты хранятся у Оператора не менее 3 лет.

12.4. Если уничтожение невозможно в установленный срок, Оператор осуществляет блокирование персональных данных и обеспечивает их уничтожение в срок не более 6 месяцев.

При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (ст. 21 ч. 3.1 152-ФЗ), а также принимает меры по устранению последствий.

Оператор вправе вносить изменения в Политику. Актуальная редакция размещается по адресу https://whyo.ru/legal/privacy с указанием версии и даты. При существенном изменении Оператор запрашивает согласие Пользователя повторно.

Индивидуальный предприниматель Дудченко Вадим Дмитриевич. ОГРНИП: 325344300134460. ИНН: 346001150638. Электронная почта: whatyourocean@yandex.ru.