Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и меры по защите персональных данных при использовании облачной платформы BloomHub (далее — «Платформа»), предоставляемой Индивидуальный предприниматель Сергиевич Вячеслав Геннадьевич (далее — «Исполнитель»).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и является неотъемлемой частью публичной оферты.

1.3. Термины используются в значениях, установленных 152-ФЗ. «Заказчик» — лицо, принявшее оферту и использующее Платформу (как правило, магазин). «Покупатели» — клиенты Заказчика, сведения о которых Заказчик вносит в Платформу.

2. Роли сторон

2.1. Данные Заказчика и его пользователей (имя, телефон, адрес электронной почты, название магазина, данные для входа) Исполнитель обрабатывает как оператор — для заключения и исполнения договора.

2.2. Данные покупателей и сотрудников Заказчика вносит в Платформу сам Заказчик. Оператором этих данных является Заказчик. Исполнитель обрабатывает их исключительно по поручению Заказчика, в объёме и в целях, необходимых для работы Платформы (ч. 3 ст. 6 152-ФЗ). Условия поручения изложены в разделе 7 оферты.

2.3. Исполнитель не определяет цели обработки данных покупателей и не использует эти данные в собственных интересах.

3. Какие данные обрабатываются и зачем

3.1. Данные Заказчика — для регистрации и входа, исполнения договора и расчётов, технической поддержки, направления служебных уведомлений (подтверждение адреса, восстановление доступа, сведения об оплате и изменении условий), защиты Платформы от неправомерного доступа.

3.2. Данные покупателей (имя, телефон, адрес доставки, адрес электронной почты, история заказов, переписка, бонусный баланс и иные сведения, внесённые Заказчиком) — для оказания Заказчику услуг Платформы: учёта заказов и продаж, доставки, работы кассы и программы лояльности, общения с покупателями.

3.3. Технические данные (IP-адрес, сведения о браузере, время обращений, журналы событий) — для обеспечения безопасности, расследования сбоев и предотвращения злоупотреблений.

3.4. Исполнитель вправе формировать обезличенную статистику использования Платформы (например, количество заказов или подключённых модулей) для её развития. Такая статистика не содержит персональных данных покупателей.

3.5. Правовые основания: исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ), поручение оператора (ч. 3 ст. 6 152-ФЗ), исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ).

4. Конфиденциальность и доступ сотрудников Исполнителя

4.1. Исполнитель и его сотрудники не просматривают, не копируют, не выгружают и не используют данные покупателей Заказчика, в том числе для рекламы, рассылок, аналитики в собственных интересах или предложения услуг третьих лиц.

4.2. Доступ к данным в личном кабинете Заказчика возможен только в следующих случаях и только в необходимом объёме:

• по обращению Заказчика в техническую поддержку и с его разрешения — в том числе путём удалённого подключения к устройству Заказчика или входа в кабинет для решения указанного вопроса;
• для устранения сбоя или угрозы безопасности, препятствующих работе кабинета, — с последующим уведомлением Заказчика;
• по основаниям, прямо предусмотренным законодательством Российской Федерации.

4.3. Каждый вход сотрудника Исполнителя в личный кабинет Заказчика фиксируется в журнале с указанием времени. Сведения о таких входах предоставляются Заказчику по запросу.

4.4. Лица, получающие доступ к персональным данным, обязаны соблюдать их конфиденциальность — не раскрывать третьим лицам и не распространять без согласия субъекта или иного законного основания (ст. 7 152-ФЗ).

5. Передача данных

5.1. Исполнитель не продаёт персональные данные и не передаёт их третьим лицам для их собственных целей.

5.2. Данные покупателей передаются сторонним сервисам только по действиям или настройкам Заказчика, когда он сам подключает интеграцию или пользуется функцией, которая с ней работает, и только в объёме, необходимом для этой функции. Например: отправка сообщений покупателю через мессенджеры, социальные сети и SMS-сервисы; передача сведений о чеке в контрольно-кассовую технику и оператору фискальных данных; приём заказов с маркетплейсов; подсказки адресов при оформлении доставки; приём оплаты через платёжные сервисы; вспомогательные интеллектуальные функции (подготовка ответа покупателю, расшифровка голосового сообщения), выполняемые по нажатию соответствующей кнопки. Обработку данных такими сервисами регулируют их собственные условия. Заказчик вправе не подключать интеграции и не пользоваться такими функциями.

5.3. Исполнитель передаёт данные государственным органам только в случаях и в порядке, предусмотренных законом.

5.4. Для исполнения договора Исполнитель вправе привлекать лиц, обеспечивающих работу инфраструктуры (центры обработки данных, связь, отправка служебной почты), на условиях соблюдения конфиденциальности и требований ст. 19 152-ФЗ.

6. Хранение и защита

6.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

6.2. Исполнитель применяет правовые, организационные и технические меры защиты (ст. 19 152-ФЗ), в том числе:

• шифрование телефонов и адресов электронной почты в базе данных (AES-256-GCM);
• изоляцию данных разных Заказчиков на уровне базы данных — магазин не может получить доступ к данным другого магазина;
• разграничение прав пользователей внутри кабинета по ролям;
• передачу данных только по защищённым каналам (HTTPS);
• журналирование значимых действий, в том числе входа сотрудников Исполнителя в кабинет Заказчика;
• регулярное резервное копирование и контроль доступа к серверам;
• хранение паролей только в виде стойкого хеша.

6.3. Данные хранятся в течение срока действия договора. После его прекращения — не более 90 (девяноста) календарных дней, после чего уничтожаются, если иной срок не установлен законом. По письменному требованию Заказчика данные удаляются ранее.

7. Инциденты

7.1. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Исполнитель незамедлительно, но не позднее 24 часов с момента выявления, уведомляет Заказчика, принимает меры по устранению последствий и содействует Заказчику в выполнении обязанностей оператора перед субъектами и уполномоченным органом (ч. 3.1 ст. 21 152-ФЗ).

8. Права субъектов персональных данных

8.1. Субъект вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или уничтожения, отозвать согласие, обжаловать действия в уполномоченном органе или в суде.

8.2. Обращения по данным Заказчика направляются Исполнителю. Обращения покупателей рассматривает Заказчик как оператор; Исполнитель содействует ему в их исполнении — выгрузке, исправлении или удалении данных.

8.3. Заказчик в любой момент может выгрузить свои данные средствами Платформы или удалить данные покупателя в кабинете.

9. Cookie

9.1. Платформа использует технические cookie, необходимые для входа и безопасности (сессия, защита от подделки запросов). Отказ от них делает вход в Платформу невозможным.

10. Заключительные положения

10.1. Исполнитель вправе вносить изменения в Политику, публикуя новую редакцию на этой странице с указанием даты. Существенные изменения доводятся до Заказчиков через личный кабинет или по электронной почте.

10.2. Вопросы по обработке персональных данных: matrixstar1989@mail.ru, +7 (923) 212-32-33.