Политика обработки персональных данных

Сервис: SmartStats (smartstats.ru) — аналитика и управление продажами на маркетплейсах для продавцов.

Оператор персональных данных: Индивидуальный предприниматель Лысенко Юрий Константинович, ИНН 590200548772, ОГРНИП 322595800004021, адрес: 614068, г. Пермь, ул. Екатерининская, д. 141, кв. 12.

Редакция: 1.2.

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных (далее — ПДн) и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1.2. Базы данных, содержащие персональные данные граждан Российской Федерации, расположены на территории РФ (локализация по ч. 5 ст. 18 152-ФЗ). Отдельные операции обработки выполняются с привлечением лиц, находящихся за пределами РФ, что влечёт трансграничную передачу данных, — состав получателей и перечень стран раскрыты в разделе 5.

2. Какие данные обрабатываются

2.1. Данные Пользователя (продавца) и приглашённых им участников команды: адрес электронной почты; фамилия и имя (указываются лицом при принятии приглашения в команду; при самостоятельной регистрации имя формируется автоматически из адреса электронной почты); имя пользователя (username); данные аутентификации (пароль хранится исключительно в виде необратимого хеша; одноразовые коды подтверждения адреса электронной почты и восстановления доступа хранятся в виде хеша и до истечения срока их действия); IP-адрес и данные браузера (User-Agent); идентификатор чата в мессенджере Telegram — только при самостоятельном подключении Пользователем уведомлений (п. 5.2). Данные обрабатываются для идентификации стороны договора, аутентификации, оказания услуг Сервиса и направления уведомлений.

2.1.1. Реквизиты, указываемые Пользователем самостоятельно для налоговых расчётов и формирования документов: организационно-правовая форма; наименование организации либо — для индивидуального предпринимателя и лица, применяющего налог на профессиональный доход, — фамилия, имя и отчество; ИНН; ОГРН/ОГРНИП; код основного вида деятельности (ОКВЭД); регион; дата первой регистрации; адрес; наименование банка, БИК и номер расчётного счёта. Указанные сведения предоставляются Пользователем по его усмотрению, обязательными для регистрации в Сервисе не являются и используются исключительно для расчётов и подготовки документов Пользователя.

2.1.2. Данные обращений в службу поддержки: адрес электронной почты обратившегося и владельца учётной записи, текст обращения и приложенные к нему сведения, а также сведения о состоянии учётной записи на момент обращения (тарифный план, роль, раздел Сервиса, перечень подключённых магазинов) — обрабатываются исключительно для рассмотрения обращения и ответа на него.

2.2. Данные, поступающие из подключённых кабинетов маркетплейсов по API- ключам, предоставленным Пользователем: сведения о заказах, отправлениях, финансовых операциях, остатках, отзывах. В составе этих сведений могут содержаться ПДн третьих лиц (например, адрес доставки в отправлении, имя автора отзыва).

2.3. Служебные данные Сервиса: журнал действий пользователя (идентификатор и имя пользователя, выполненное действие); телеметрия использования интерфейса (идентификатор пользователя, тип события); данные ограничения частоты запросов при аутентификации (адрес электронной почты и/или IP-адрес — в том числе лиц, вводивших адрес в форму входа, но не завершивших регистрацию); записи о согласиях (редакция документа, хеш текста, IP-адрес, данные браузера).

3. Цели и правовые основания

3.1. Обработка ПДн Пользователя осуществляется для исполнения договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 152-ФЗ), а также на основании согласия, выражаемого при регистрации (ст. 9 152-ФЗ).

3.2. Обработка ПДн третьих лиц, поступающих из кабинетов маркетплейсов, осуществляется в целях оказания услуг Пользователю и на основании п. 7 ч. 1 ст. 6 152-ФЗ (достижение интересов оператора/третьих лиц без нарушения прав субъекта). Оператор не использует эти данные для самостоятельных рассылок и минимизирует их состав.

4. Сроки хранения и прекращение обработки

4.1. ПДн обрабатываются не дольше, чем этого требуют цели обработки (ч. 7 ст. 5 152-ФЗ). По достижении целей обработки, при отзыве согласия или по требованию субъекта ПДн удаляются либо обезличиваются, если иное не предусмотрено законом.

4.2. Оператор применяет следующие сроки хранения по категориям данных:

Учётная запись Пользователя (адрес электронной почты, фамилия и имя, имя пользователя, хеш пароля, реквизиты, указанные в п. 2.1.1) — в течение срока использования Сервиса; удаляются при удалении аккаунта или по требованию субъекта.

Журнал действий (идентификатор и имя пользователя, выполненное действие) — 12 месяцев с момента записи, далее удаляются автоматически.

Телеметрия использования интерфейса — 90 дней с момента события, далее удаляется автоматически.

Данные ограничения частоты запросов (адрес электронной почты и/или IP-адрес) — удаляются автоматически не позднее суток после истечения окна ограничения.

Приглашения в команду (адрес электронной почты приглашённого лица) — неподтверждённые и отклонённые приглашения хранятся 30 дней после истечения срока действия приглашения, принятые — 90 дней с момента создания, далее удаляются автоматически.

Данные из подключённых кабинетов маркетплейсов (сведения о заказах, отправлениях, финансовых операциях, остатках, отзывах) — в течение срока подключения соответствующего магазина; удаляются при отключении магазина или удалении аккаунта.

IP-адрес и данные браузера в записях согласий модуля SEO — обезличиваются не позднее чем через 3 года и 1 месяц с момента фиксации согласия.

Записи о согласии на обработку ПДн — хранятся как доказательство правомерности обработки в течение сроков, установленных законодательством для защиты прав оператора и субъекта.

4.3. Уничтожение персональных данных по достижении сроков хранения осуществляется автоматически средствами Сервиса.

5. Передача данных и трансграничная передача

5.1. Оператор не продаёт персональные данные. Передача третьим лицам осуществляется только в объёме, необходимом для функционирования Сервиса, с возложением на получателей обязанности соблюдать конфиденциальность и требования к защите данных.

5.2. Для оказания услуг Оператор привлекает следующих лиц, обрабатывающих данные по его поручению:

Timeweb (Российская Федерация) — хостинг серверов и баз данных Сервиса на территории РФ.

Yandex Cloud (ООО «Яндекс.Облако», Российская Федерация) — сетевая инфраструктура доступа к Сервису: обратный прокси-сервер, через который проходят все обращения к сайту, и размещение доменной зоны. Обрабатываются IP-адрес пользователя и содержимое передаваемых запросов; защищённое соединение (TLS) устанавливается с прокси-сервером, далее запрос передаётся на серверы Сервиса по отдельному защищённому соединению.

Яндекс 360 (Российская Федерация) — почтовая инфраструктура Оператора на территории Российской Федерации: отправка электронных писем Сервиса (регистрация, подтверждение адреса электронной почты, приглашения в команду, служебные уведомления Оператору об обращениях в поддержку), а с момента завершения перевода почтовых сервисов Оператора на данную инфраструктуру — также приём и хранение входящей корреспонденции, поступающей на адреса Оператора в домене smartstats.ru, включая обращения субъектов персональных данных, направляемые в порядке раздела 6 настоящей Политики. Обрабатываются адреса электронной почты отправителя и получателя, а также содержимое письма, включая сведения, указанные субъектом в обращении.

РЕГ.РУ (Российская Федерация) — приём и хранение входящей корреспонденции, поступающей на адреса Оператора в домене smartstats.ru, включая обращения субъектов персональных данных; привлекается до завершения перевода почтовых сервисов Оператора на инфраструктуру Яндекс 360. Обрабатываются адрес электронной почты отправителя и содержимое письма.

Sentry (Европейский союз, Германия) — мониторинг технических ошибок Сервиса. Обрабатываются: внутренний идентификатор учётной записи Пользователя, роль Пользователя в рабочем пространстве, IP-адрес, техническая информация об устройстве и браузере, адрес страницы, на которой возникла ошибка, и диагностические сведения об ошибке. Передача файлов cookie отключена, запись пользовательских сессий (session replay) отключена; адрес электронной почты, имя Пользователя и учётные данные в события мониторинга не включаются, а поля, содержащие пароли, токены доступа и адреса электронной почты, при обработке событий на стороне Сервиса заменяются на обезличенное значение. При открытии Сервиса браузер Пользователя соединяется с сервисом мониторинга напрямую, при этом передаётся IP-адрес.

Cloudflare (США) — сетевая инфраструктура при обращении Сервиса к публичным данным маркетплейсов (разрешение имён, прокси серверных запросов); персональные данные субъектов при этом не передаются.

Telegram (Telegram Messenger Inc., ОАЭ / Британские Виргинские острова) — доставка уведомлений: (а) продуктовые уведомления, подключаемые Пользователем по его инициативе, — передаются идентификатор чата, наименование магазина, коммерческие показатели и содержимое уведомлений, включая тексты отзывов покупателей при включённых уведомлениях о негативных отзывах; (б) служебные уведомления Оператору об обращениях в поддержку — передаются данные обращения, включая адрес электронной почты обратившегося и текст обращения.

5.3. Часть указанных лиц находится за пределами Российской Федерации, в связи с чем при работе Сервиса осуществляется трансграничная передача персональных данных (ст. 12 152-ФЗ): в Европейский союз — Германию (Sentry), в ОАЭ и на Британские Виргинские острова (Telegram). Передача осуществляется в объёме, минимально необходимом для соответствующей функции Сервиса, с соблюдением требований статьи 12 152-ФЗ.

5.4. Правовые основания передачи различаются по категориям субъектов: в отношении ПДн Пользователя (идентификатор чата, коммерческие показатели и содержимое уведомлений — Telegram; данные о технических ошибках, внутренний идентификатор и роль учётной записи, IP-адрес — Sentry) передача осуществляется в целях исполнения договора с Пользователем и на основании его согласия; в отношении ПДн третьих лиц (тексты отзывов покупателей в составе уведомлений Telegram) обработка осуществляется на основании п. 7 ч. 1 ст. 6 152-ФЗ (в соответствии с п. 3.2 настоящей Политики), в минимально необходимом объёме. Имена авторов отзывов в состав уведомлений, направляемых через Telegram, не включаются.

5.5. Пользователь вправе отказаться от функций, предполагающих передачу данных отдельным получателям (например, уведомлений через Telegram); в этом случае соответствующие данные указанному получателю не передаются.

6. Права субъекта ПДн

6.1. Субъект вправе получать сведения об обработке своих ПДн, требовать их уточнения, блокирования или уничтожения, отзывать согласие, обжаловать действия оператора в Роскомнадзоре и суде.

6.2. Запросы направляются на e-mail оператора: support@smartstats.ru.

7. Защита данных

7.1. Оператор принимает правовые, организационные и технические меры защиты ПДн: шифрование секретов (ключей маркетплейсов), разграничение доступа, журналирование действий, хранение данных в РФ.

8. Изменения

8.1. Оператор вправе изменять Политику. Актуальная редакция публикуется по адресу /legal/privacy. При существенных изменениях у Пользователя запрашивается новое согласие.

Контакт оператора по вопросам обработки ПДн: support@smartstats.ru.