Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (с учётом изменений, внесённых Федеральным законом от 14.07.2022 № 266-ФЗ и последующими редакциями), Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21, иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

1.2. Оператором персональных данных является: Индивидуальный предприниматель Ершов Павел Игоревич, ИНН 744722827916, ОГРНИП 325745600243440 (далее — «Оператор»).

1.3. Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Оператором при оказании услуг через сервис Отвечатор (далее — «Сервис»), расположенный по адресу https://otwechator.ru.

1.4. Политика действует в отношении всех персональных данных, которые Оператор может получить от субъекта персональных данных (далее — «Пользователь»), являющегося стороной гражданско-правового договора, посетителем сайта, пользователем Сервиса.

1.5. Использование Сервиса означает безоговорочное согласие Пользователя с настоящей Политикой и указанными в ней условиями обработки его персональных данных. В случае несогласия с данными условиями Пользователь должен воздержаться от использования Сервиса.

1.6. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается на данной странице с указанием даты последнего обновления.

2. Основные понятия

В настоящей Политике используются следующие понятия:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
• Пользователь — физическое лицо, использующее Сервис, являющееся субъектом персональных данных.
• Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
• Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и/или в результате которых уничтожаются материальные носители персональных данных.
• Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.

3. Цели обработки персональных данных

Оператор обрабатывает персональные данные Пользователя в следующих целях:

• Идентификация Пользователя, зарегистрированного в Сервисе, для предоставления доступа к функциональности Сервиса.
• Заключение, исполнение и прекращение гражданско-правовых договоров на оказание услуг Сервиса.
• Связь с Пользователем: направление уведомлений, запросов и информации, касающихся работы Сервиса; обработка обращений и заявок Пользователя.
• Улучшение качества Сервиса: анализ пользовательского опыта, выявление и устранение технических проблем.
• Проведение статистических и аналитических исследований на основе обезличенных данных.
• Обеспечение безопасности Сервиса: предотвращение мошеннических действий, несанкционированного доступа.
• Выполнение требований законодательства Российской Федерации.

Оператор не обрабатывает персональные данные в целях, не совместимых с изначально заявленными. Обработка новых категорий данных или в новых целях осуществляется только после обновления настоящей Политики и получения согласия Пользователя, если это требуется по закону.

4. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих правовых основаниях:

• Согласие субъекта персональных данных на обработку его персональных данных (ст. 6 ч. 1 п. 1 Федерального закона № 152-ФЗ).
• Исполнение договора, стороной которого является субъект персональных данных (ст. 6 ч. 1 п. 5 Федерального закона № 152-ФЗ).
• Осуществление прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта персональных данных (ст. 6 ч. 1 п. 7 Федерального закона № 152-ФЗ).
• Обязанность по обработке, предусмотренная законодательством РФ (ст. 6 ч. 1 п. 2 Федерального закона № 152-ФЗ).

5. Категории обрабатываемых персональных данных

5.1. Оператор обрабатывает следующие категории персональных данных:

5.1.1. Данные, предоставляемые Пользователем при регистрации и использовании Сервиса

• Адрес электронной почты (email)
• Номер телефона (при наличии)
• Фамилия, имя (при наличии)
• Наименование организации / ИП (при наличии)
• Данные учётной записи на маркетплейсах (API-ключи, идентификаторы магазина)
• Реквизиты для выставления счетов (ИНН, наименование, адрес — для юридических лиц и ИП)

5.1.2. Данные, собираемые автоматически при посещении сайта

• IP-адрес
• Данные из файлов cookie (подробнее — в разделе 10)
• Информация о браузере (тип, версия, язык)
• Информация об устройстве (тип, операционная система, разрешение экрана)
• Реферер (адрес страницы, с которой совершён переход)
• Дата, время и продолжительность посещения
• Просмотренные страницы и действия на сайте
• Геолокация на уровне страны/региона (определяется по IP-адресу)

5.1.3. Данные, обрабатываемые в рамках оказания услуг Сервиса

• Каталоги товаров, описания, FAQ и инструкции, загруженные Пользователем
• Тексты отзывов покупателей, полученные через API маркетплейсов
• Сгенерированные ответы на отзывы
• Настройки тона общения и стиля ответов
• История взаимодействия с Сервисом (лог действий)

5.2. Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

5.3. Оператор не осуществляет обработку биометрических персональных данных.

6. Порядок и условия обработки персональных данных

6.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств.

6.2. Обработка включает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

6.3. Персональные данные Пользователя не распространяются и не передаются третьим лицам без согласия субъекта, кроме случаев, предусмотренных разделом 8 настоящей Политики.

6.4. При обработке персональных данных Оператор обеспечивает их точность, достаточность, а в необходимых случаях — актуальность по отношению к целям обработки. Оператор принимает необходимые меры по удалению или уточнению неполных или неточных данных.

6.5. Обработка персональных данных прекращается при достижении целей обработки, по истечении срока действия согласия, при отзыве согласия субъектом, а также при выявлении неправомерной обработки.

7. Сроки обработки и хранения персональных данных

7.1. Персональные данные хранятся в течение срока, необходимого для достижения целей обработки, но не дольше следующих сроков:

7.2. По истечении указанных сроков персональные данные уничтожаются или обезличиваются в срок не более 30 дней.

8. Передача персональных данных третьим лицам

8.1. Оператор может передавать персональные данные третьим лицам в следующих случаях:

• Пользователь выразил своё согласие на такую передачу.
• Передача предусмотрена российским законодательством в рамках установленной процедуры (по запросу суда, правоохранительных органов, иных уполномоченных государственных органов).
• Передача необходима для исполнения договора с Пользователем (например, передача данных платёжному агрегатору для проведения платежа).
• Передача необходима для защиты прав и законных интересов Оператора или третьих лиц в случаях, предусмотренных законом.

8.2. Оператор может привлекать следующие категории лиц для обработки персональных данных по поручению (в качестве обработчиков):

• Провайдеры хостинга и облачной инфраструктуры — для хранения и обработки данных (серверы расположены на территории Российской Федерации).
• Сервисы веб-аналитики (Яндекс.Метрика) — для анализа пользовательского поведения на сайте (данные обезличиваются).
• Платёжные системы — для проведения расчётов за услуги Сервиса (Оператор не хранит данные банковских карт; обработка осуществляется непосредственно платёжным агрегатором).
• Сервисы email-рассылок — для отправки сервисных уведомлений.

8.3. При привлечении обработчиков Оператор обеспечивает заключение соответствующих договоров (поручений на обработку персональных данных), содержащих условия о конфиденциальности и обеспечении безопасности персональных данных.

9. Трансграничная передача персональных данных

9.1. Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ.

9.2. Трансграничная передача персональных данных осуществляется только на территорию иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, и только при наличии одного из правовых оснований, предусмотренных ст. 12 Федерального закона № 152-ФЗ (в редакции Федерального закона от 14.07.2022 № 266-ФЗ).

9.3. До начала осуществления трансграничной передачи Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в порядке, установленном законодательством.

10. Использование файлов cookie и аналогичных технологий

10.1. Сайт Оператора использует файлы cookie — небольшие текстовые файлы, размещаемые на устройстве Пользователя для обеспечения работоспособности сайта и анализа его использования.

10.2. На сайте используются следующие виды cookie:

10.3. Пользователь может управлять файлами cookie через настройки браузера: блокировать все или отдельные виды cookie, удалять ранее сохранённые cookie. Отключение строго необходимых cookie может привести к невозможности использования отдельных функций Сервиса.

11. Права субъекта персональных данных

Пользователь имеет право:

• Получать информацию, касающуюся обработки его персональных данных, в том числе содержащую: подтверждение факта обработки, правовые основания и цели обработки, применяемые способы обработки, наименование и местонахождение Оператора, сроки обработки и хранения, порядок реализации прав субъекта (ст. 14 ФЗ № 152-ФЗ).
• Требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
• Отозвать согласие на обработку персональных данных, направив соответствующий запрос Оператору (порядок — в разделе 12).
• Требовать от Оператора прекращения обработки персональных данных в целях продвижения товаров, работ, услуг.
• Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
• Требовать удаления учётной записи и всех связанных с ней персональных данных.

12. Порядок обращения субъекта персональных данных

12.1. Для реализации своих прав Пользователь может направить запрос Оператору одним из следующих способов:

• По электронной почте: support@otwechator.ru с темой «Персональные данные».
• Через форму обратной связи на странице контактов.

12.2. Запрос должен содержать:

• Фамилию, имя, отчество (при наличии) субъекта персональных данных.
• Номер основного документа, удостоверяющего личность субъекта, сведения о дате выдачи и выдавшем органе.
• Сведения, подтверждающие участие субъекта в отношениях с Оператором (например, email, привязанный к учётной записи).
• Суть требования.
• Подпись субъекта (для бумажных обращений).

12.3. Оператор обязан дать мотивированный ответ на запрос в течение 10 рабочих дней с момента получения запроса, если иной срок не установлен законодательством.

12.4. При отзыве согласия на обработку персональных данных Оператор прекращает обработку в течение 30 дней с момента получения отзыва, за исключением случаев, когда обработка может быть продолжена на ином правовом основании, предусмотренном законодательством.

13. Меры по обеспечению безопасности персональных данных

Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий:

Организационные меры

• Определение угроз безопасности персональных данных при их обработке в информационных системах.
• Ограничение доступа к персональным данным — доступ предоставляется только сотрудникам (подрядчикам), которым он необходим для выполнения должностных обязанностей.
• Ознакомление лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ и настоящей Политикой.
• Внутренний контроль соответствия обработки требованиям законодательства.

Технические меры

• Шифрование персональных данных при передаче по каналам связи (TLS/SSL).
• Шифрование персональных данных при хранении (AES-256 для чувствительных данных).
• Разграничение доступа к информационным системам.
• Регулярное резервное копирование данных.
• Регистрация и учёт действий с персональными данными в информационных системах (логирование).
• Использование средств антивирусной защиты и межсетевого экранирования.
• Обнаружение и предотвращение вторжений.

14. Уведомление об инцидентах безопасности

14.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор обязуется:

• В течение 24 часов с момента выявления инцидента уведомить Роскомнадзор о произошедшем инциденте и предполагаемых причинах, повлёкших нарушение прав субъектов.
• В течение 72 часов с момента выявления инцидента уведомить Роскомнадзор о результатах внутреннего расследования и принятых мерах по устранению последствий.
• Предпринять все возможные меры для устранения последствий инцидента и минимизации ущерба субъектам персональных данных.

15. Обязанности Оператора

Оператор обязан:

• Предоставлять субъекту по его запросу информацию, касающуюся обработки его персональных данных.
• Организовывать обработку персональных данных в порядке, установленном действующим законодательством РФ.
• Отвечать на обращения и запросы субъектов и их законных представителей в соответствии с требованиями закона.
• Сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение 10 рабочих дней с момента получения запроса.
• Обеспечивать неограниченный доступ к настоящей Политике посредством размещения её на сайте Оператора.
• Принимать правовые, организационные и технические меры для защиты персональных данных в соответствии со ст. 18.1 и 19 Федерального закона № 152-ФЗ.
• Осуществлять блокирование, уточнение или уничтожение персональных данных в установленном порядке при обращении или по запросу субъекта.
• Уведомлять Роскомнадзор об инцидентах безопасности в порядке, предусмотренном разделом 14 настоящей Политики.

16. Заключительные положения

16.1. Настоящая Политика является общедоступным документом и подлежит размещению на сайте Оператора.

16.2. Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на сайте, если иное не предусмотрено новой редакцией.

16.3. К настоящей Политике и отношениям между Пользователем и Оператором, возникающим в связи с применением Политики, подлежит применению законодательство Российской Федерации.

16.4. Все споры и разногласия разрешаются путём переговоров. В случае невозможности урегулирования спора в досудебном порядке он подлежит рассмотрению в суде по месту нахождения Оператора в соответствии с действующим законодательством РФ.

16.5. Признание судом недействительности какого-либо положения Политики не влечёт недействительности остальных положений.

17. Реквизиты Оператора