Политика обработки персональных данных

1. Оператор персональных данных

Оператором персональных данных является Гимадеев Линар Франгизович, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (самозанятый, 422-ФЗ), ИНН 162201590650(далее — «Оператор»).

Контактный email для обращений по вопросам обработки персональных данных: support@dostavka.e-gpt.ru.

2. На какие сервисы распространяется Политика

Настоящая Политика применяется к обработке ПДн в следующих сервисах:

• сайт https://dostavka.e-gpt.ru и его поддомены;
• Telegram-бот @DostaLAVISTA_bot;
• любые API-эндпоинты, к которым обращается клиентское ПО Оператора.

Сайт и Telegram-бот образуют единый сервис; учётные записи могут быть связаны через привязку Telegram ID к email-аккаунту.

3. Категории субъектов и обрабатываемых данных

Оператор обрабатывает персональные данные следующих категорий субъектов: пользователи сайта и Telegram-бота, потенциальные клиенты, обратившиеся в поддержку.

Категории обрабатываемых персональных данных:

• email-адрес;
• имя (если указано пользователем);
• IP-адрес и метаданные браузера;
• Telegram ID и username (для пользователей бота);
• фото товара и его описание (для классификации ТН ВЭД);
• история расчётов (товар, ТН ВЭД, цена);
• история платежей (без данных банковской карты — карты хранит платёжный агрегатор);
• cookies и идентификаторы сессии;

Не обрабатываются специальные категории ПДн (раса, национальность, политические взгляды, состояние здоровья, интимная жизнь и др.) и биометрические ПДн.

Не обрабатываются ПДн несовершеннолетних. Сервис предназначен для лиц старше 18 лет либо для использования с согласия законного представителя.

4. Цели обработки

Оператор обрабатывает персональные данные в следующих целях:

• регистрация и аутентификация;
• оказание услуги — расчёт стоимости импорта;
• хранение истории расчётов в личном кабинете;
• техническая поддержка и реагирование на инциденты;
• выставление счетов, формирование чеков 54-ФЗ через платёжного агрегатора;
• соблюдение требований законодательства РФ;
• (при отдельном согласии) маркетинговые рассылки об обновлениях и тарифах;

5. Правовые основания обработки

• согласие субъекта ПДн (ст. 6 ч. 1 п. 1 152-ФЗ) — для регистрации, маркетинговых рассылок;
• исполнение договора (ст. 6 ч. 1 п. 5 152-ФЗ) — для оказания услуги;
• исполнение обязанностей, возложенных законом (ст. 6 ч. 1 п. 2 152-ФЗ) — для формирования чеков 54-ФЗ, налоговой отчётности;
• законные интересы Оператора (ст. 6 ч. 1 п. 7 152-ФЗ) — для информационной безопасности, расследования инцидентов.

6. Способы и сроки обработки

Обработка осуществляется как с использованием средств автоматизации (программное обеспечение, базы данных), так и без таковых.

Сроки хранения:

• учётная запись и контактные данные — до удаления аккаунта пользователем либо до отзыва согласия;
• история расчётов и платежей — 180 календарных дней с момента создания (для целей разрешения споров и налоговой отчётности);
• журналы доступа и логи безопасности — до 90 дней;
• данные, связанные с финансовыми операциями — 5 лет в соответствии с требованиями налогового законодательства.

По истечении сроков хранения данные удаляются или обезличиваются.

7. Где хранятся персональные данные

В соответствии со ст. 18 ч. 5 152-ФЗ, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

Основное хранилище ПДн: Российская Федерация, г. Москва (Managed PostgreSQL, провайдер JSC «Timeweb», ЦОД на территории РФ).

8. Передача персональных данных третьим лицам

Оператор привлекает следующих лиц для обработки персональных данных в рамках исполнения договора. Передача каждому контрагенту ограничена минимально необходимым объёмом данных:

Часть указанных получателей находится за пределами Российской Федерации (страны указаны в таблице). Трансграничная передача осуществляется с уведомлением Роскомнадзора в порядке, установленном ст. 12 152-ФЗ.

Оператор не продаёт, не передаёт и не предоставляет персональные данные третьим лицам в маркетинговых, рекламных и аналитических целях без отдельного согласия субъекта.

9. Cookie и аналогичные технологии

Сайт использует cookie-файлы и иные технологии локального хранения для следующих целей: поддержание сессии авторизации, запоминание настроек интерфейса. Подробности — в Политике cookie.

Сторонние счётчики аналитики (Яндекс.Метрика, Google Analytics) на момент выпуска настоящей редакции не используются. При их подключении Политика будет дополнена.

10. Права субъекта персональных данных

В соответствии с главой 3 152-ФЗ субъект ПДн имеет право:

• получить сведения об обработке его ПДн (ст. 14);
• требовать уточнения, блокирования или уничтожения своих ПДн (ст. 14);
• отозвать согласие на обработку ПДн (ст. 9 ч. 2);
• обжаловать действия Оператора в Роскомнадзоре и в суде (ст. 17).

Запросы направляются на email support@dostavka.e-gpt.ru. Оператор отвечает в течение 10 рабочих дней с момента получения запроса.

Для удаления аккаунта используйте раздел «Настройки → Удалить аккаунт» в Личном кабинете. После подтверждения по email все ПДн удаляются либо обезличиваются в течение 30 дней; данные, обязательные к хранению по налоговому законодательству, сохраняются обезличенно.

11. Меры защиты персональных данных

Оператор применяет следующие технические и организационные меры:

• хранение паролей в виде криптографических хэшей (bcrypt) — Оператор не имеет доступа к паролям пользователей в открытом виде;
• обмен данными между клиентом и сервером по протоколу TLS 1.2+;
• JWT-токены аутентификации хранятся в httpOnly-cookie с флагами Secure и SameSite;
• разграничение доступа к серверной инфраструктуре по SSH-ключам;
• хранение учётных данных к внешним сервисам в зашифрованных файлах с ограниченными правами доступа;
• ведение журналов безопасности и резервное копирование БД;
• регулярное обновление программного обеспечения.

12. Уведомление об инцидентах

В случае инцидента, повлёкшего неправомерную передачу персональных данных (утечку, несанкционированный доступ), Оператор:

• в течение 24 часов уведомляет Роскомнадзор о факте инцидента;
• в течение 72 часов уведомляет затронутых пользователей по email;
• проводит внутреннее расследование и принимает меры по устранению причин.

13. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Существенные изменения публикуются на сайте за 14 календарных дней до вступления в силу. Дата актуальной редакции указана в начале документа.

Контакты оператора ПДн

Гимадеев Линар Франгизович
ИНН: 162201590650
Email: support@dostavka.e-gpt.ru
Адрес для корреспонденции: предоставляется по запросу через email.