Политика разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет, какие персональные данные обрабатывает оператор — ИП Кобизький Иван Андреевич, ИНН 773213175043, ОГРНИП 322508100502067 — при работе сервиса wms-seller.ru, с какой целью, на каком основании, как долго и кому они передаются.
1.Общие положения
Оператор: ИП Кобизький Иван Андреевич, ИНН 773213175043, ОГРНИП 322508100502067. Адрес для обращений по вопросам обработки персональных данных: support@wms-seller.ru.
Политика применяется ко всем персональным данным, которые Оператор получает от посетителей сайта, пользователей Сервиса и их представителей. Использование Сервиса означает ознакомление с настоящей Политикой.
Оператор выступает в двух ролях, и их важно различать. В отношении данных своих пользователей — регистрационных, платёжных, технических — Оператор действует самостоятельно. В отношении данных, которые пользователь-фулфилмент или селлер сам размещает в Сервисе (его сотрудники, его клиенты, получатели заказов), Оператор действует исключительно по поручению этого пользователя на условиях поручения на обработку персональных данных; оператором таких данных остаётся сам пользователь.
2.Категории субъектов и состав обрабатываемых данных
| Кто | Какие данные |
|---|---|
| Владелец учётной записи и сотрудники пользователя | фамилия, имя, отчество; адрес электронной почты; номер телефона; должность и роль; наименование организации; хэш пароля; настройки двухфакторной аутентификации; идентификатор в Telegram или MAX при подключении уведомлений; PIN-код для входа на складской терминал. |
| Клиенты-селлеры пользователя | те же регистрационные данные, а также реквизиты организации: ИНН, КПП, ОГРН (ОГРНИП), юридический адрес, банковские реквизиты — для выставления счетов и актов. |
| Получатели заказов | фамилия и имя, номер телефона, адрес доставки — только в заявках на доставку силами продавца и только в том объёме, в котором их передал пользователь или маркетплейс. |
| Посетители сайта | IP-адрес, сведения о браузере и устройстве, дата и время обращения, адреса просмотренных страниц; при включённом счётчике веб-аналитики — обезличенная статистика посещений. |
| Лица, обратившиеся в поддержку | контактные данные, содержание обращения и приложенные к нему файлы. |
Оператор не обрабатывает специальные категории персональных данных (о расе, здоровье, политических взглядах, судимости) и биометрические персональные данные. Если такие сведения попадут в Сервис по инициативе пользователя, они будут удалены при обнаружении.
3.Цели обработки и правовые основания
| Цель | Основание |
|---|---|
| Регистрация, предоставление доступа к Сервису, исполнение договора и поддержка | п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора, стороной которого является субъект (публичная оферта) |
| Выставление счетов и актов, приём платежей, бухгалтерский и налоговый учёт | п. 2 ч. 1 ст. 6 152-ФЗ — исполнение обязанностей, возложенных законодательством |
| Обеспечение безопасности: ограничение попыток входа, журналирование действий, расследование инцидентов | п. 7 ч. 1 ст. 6 152-ФЗ — законный интерес оператора, не нарушающий прав субъекта |
| Сервисные уведомления о работе Сервиса, счетах и сроках подписки | п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора |
| Информационные и рекламные рассылки о продуктах Оператора | п. 1 ч. 1 ст. 6 152-ФЗ и ст. 18 Федерального закона «О рекламе» — согласие субъекта, отзываемое в любой момент |
| Улучшение Сервиса: анализ нагрузки, диагностика ошибок, обезличенная статистика | п. 7 ч. 1 ст. 6 152-ФЗ — законный интерес оператора |
| Обработка данных, размещённых пользователем о своих сотрудниках, клиентах и получателях заказов | ч. 3 ст. 6 152-ФЗ — поручение оператора (пользователя Сервиса) |
4.Порядок и способы обработки
Обработка ведётся смешанным способом — автоматизированно и без использования средств автоматизации — и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу указанным в разделе 7 лицам, блокирование, удаление и уничтожение.
Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки его персональных данных.
Персональные данные не распространяются неограниченному кругу лиц и не используются для профилирования в рекламных целях.
5.Место обработки и локализация баз данных
Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации производятся с использованием баз данных, расположенных на серверах на территории Российской Федерации, как того требует ч. 5 ст. 18 152-ФЗ. Резервные копии хранятся там же.
6.Сроки хранения
Персональные данные хранятся не дольше, чем этого требует цель обработки. Конкретные сроки:
| Данные | Срок |
|---|---|
| Учётная запись и связанные с ней рабочие данные | в течение действия договора и 30 календарных дней после его прекращения — на этот срок сохраняется возможность выгрузки |
| Незавершённая регистрация без подтверждения адреса почты и без работы в Сервисе | 30 дней с момента регистрации, затем удаление |
| Сессии входа | до истечения срока сессии (30 дней с момента входа), просроченные удаляются ежедневно |
| Одноразовые коды и ссылки подтверждения, привязки мессенджеров | 24 часа после использования или истечения срока |
| Счета, акты и иные документы бухгалтерского и налогового учёта | 5 лет — срок установлен законодательством о бухгалтерском учёте и Налоговым кодексом |
| Журнал действий пользователей (аудит) | в течение действия договора — как доказательство совершённых операций |
| Технический журнал обращений к внешним системам маркетплейсов | 14 суток |
| Обращения в поддержку и приложенные файлы | 1 год с момента закрытия обращения |
| Записи об акцепте оферты и согласии на обработку данных | 3 года после прекращения договора — срок исковой давности |
По достижении цели обработки или при отзыве согласия данные уничтожаются либо обезличиваются в срок, не превышающий 30 дней, за исключением сведений, которые Оператор обязан хранить по закону.
7.Передача третьим лицам
Оператор не продаёт персональные данные и не передаёт их в рекламных целях. Передача происходит только в объёме, необходимом для работы Сервиса, следующим лицам:
| Получатель | Что передаётся и зачем | Где обрабатывается |
|---|---|---|
| АО «ТБанк» (интернет-эквайринг) | сведения о платеже и плательщике для проведения оплаты; реквизиты карты вводятся на стороне банка и Оператору не передаются | Российская Федерация |
| Маркетплейсы Wildberries, Ozon, Яндекс Маркет, Kaspi | данные заказов, поставок и остатков — только по ключам доступа, которые пользователь подключил сам | Российская Федерация и страны размещения соответствующих сервисов |
| Оператор системы маркировки «Честный знак» | коды маркировки товаров в объёме, предусмотренном правилами маркировки | Российская Федерация |
| Провайдер электронной почты | адрес получателя и содержание сервисного письма | в зависимости от подключённого провайдера — Российская Федерация либо иностранное государство |
| Telegram, MAX | текст уведомления и идентификатор получателя — только если пользователь подключил канал сам | иностранное государство (Telegram), Российская Федерация (MAX) |
| Sentry (мониторинг ошибок) | технические сведения об ошибке: адрес страницы, код и стек ошибки, обезличенный идентификатор пользователя; передача адресов почты, телефонов и содержимого запросов отключена и дополнительно вычищается перед отправкой | иностранное государство |
| Поставщики языковых моделей | фрагменты текста и документов, которые пользователь сам направил в функции помощника, распознавания документов и проверки аномалий; ключи доступа и учётные данные не передаются | иностранное государство |
| Яндекс.Метрика | обезличенная статистика посещений маркетинговых страниц — только после согласия посетителя на аналитические cookie | Российская Федерация |
| Государственные органы | по мотивированным запросам в случаях и порядке, предусмотренных законом | Российская Федерация |
Трансграничная передача. Часть указанных получателей находится за пределами Российской Федерации. Передача осуществляется в объёме, минимально необходимом для соответствующей функции, после уведомления уполномоченного органа по защите прав субъектов персональных данных в порядке ч. 3 ст. 12 152-ФЗ. Функции, связанные с языковыми моделями и мессенджером Telegram, пользователь включает по своему усмотрению и может не использовать: отказ от них не ограничивает доступ к остальным возможностям Сервиса.
8.Меры защиты
Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и ст. 19 152-ФЗ. В частности:
- назначено лицо, ответственное за организацию обработки персональных данных;
- доступ к данным разграничен по ролям, каждая организация изолирована от данных других организаций на уровне каждого запроса к базе;
- передача данных между пользователем и Сервисом защищена протоколом TLS;
- пароли хранятся только в виде необратимого хэша; ключи доступа к кабинетам маркетплейсов и иные секреты зашифрованы в базе алгоритмом AES-256-GCM;
- для учётных записей с расширенными правами доступна и может требоваться двухфакторная аутентификация;
- количество попыток входа ограничено, подозрительные события фиксируются и направляются ответственным лицам;
- действия пользователей фиксируются в журнале аудита;
- загруженные файлы хранятся вне общедоступных каталогов и выдаются только после проверки прав;
- выполняется ежедневное резервное копирование с еженедельной проверкой пригодности копий к восстановлению;
- при выявлении инцидента, повлекшего неправомерную передачу данных, Оператор уведомляет уполномоченный орган в сроки, установленные ч. 3.1 ст. 21 152-ФЗ.
9.Права субъекта персональных данных
Субъект вправе:
- получить подтверждение факта обработки, сведения о составе данных, целях, сроках и получателях;
- требовать уточнения неполных или неточных данных;
- требовать блокирования или уничтожения данных, если они обрабатываются незаконно или больше не нужны для цели обработки;
- отозвать согласие на обработку — в части, где обработка основана на согласии;
- отказаться от рекламных рассылок;
- обжаловать действия Оператора в уполномоченном органе по защите прав субъектов персональных данных или в суде.
Запрос направляется на support@wms-seller.ru и должен содержать сведения, позволяющие идентифицировать заявителя и его отношение к Оператору. Ответ предоставляется в срок не позднее 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.
Отзыв согласия на обработку данных, необходимых для исполнения договора, означает невозможность дальнейшего предоставления доступа к Сервису: учётная запись деактивируется, данные удаляются в сроки раздела 6.
Если запрос касается данных, размещённых в Сервисе пользователем-фулфилментом или селлером, Оператор перенаправляет его этому пользователю как оператору таких данных и уведомляет об этом заявителя.
11.Изменения Политики
Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента публикации на этой странице, если иное не указано в самой редакции. О существенных изменениях пользователи уведомляются в Личном кабинете или по электронной почте. Актуальная редакция всегда доступна по адресу https://wms-seller.ru/privacy.