Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных пользователей цифровой платформы «Основное» и иных лиц, взаимодействующих с ООО «Основание», а также меры, применяемые Оператором для защиты таких данных.

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными применимыми нормативными правовыми актами Российской Федерации.

1.3. Политика применяется к обработке персональных данных при использовании сайта https://osnovnoe.site, web-интерфейса, личного кабинета, механизмов авторизации, оплаты доступа к Платформе, оформления и сопровождения заказов, обращений в поддержку, сервисных и рекламных коммуникаций, а также веб-аналитики.

1.4. Отдельные сайты, разделы или сервисы, принадлежащие ООО «Основание», могут иметь дополнительные уведомления об обработке персональных данных, если состав данных или цели обработки отличаются от описанных в настоящей Политике.

1.5. Платформа предназначена для совершеннолетних пользователей. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних.

2. Сведения об Операторе

2.1. ООО «Основание» является оператором персональных данных в отношении данных, обработку которых оно самостоятельно организует и цели которой определяет.

2.2. ООО «Основание» уведомило Роскомнадзор о намерении осуществлять обработку персональных данных. Настоящая Политика не заменяет обязательные внутренние документы Оператора и сведения, представляемые в уполномоченный орган.

3. Принципы обработки персональных данных

• обработка осуществляется на законной и справедливой основе;
• обрабатываются только данные, необходимые для конкретных, заранее определённых и законных целей;
• не допускается избыточная обработка данных относительно заявленных целей;
• Оператор принимает меры для обеспечения точности и актуальности данных;
• персональные данные хранятся не дольше, чем этого требуют цели обработки или применимое законодательство;
• по достижении целей данные уничтожаются, обезличиваются или продолжают обрабатываться только при наличии иного законного основания.

4. Категории субъектов и персональных данных

4.1. Оператор может обрабатывать персональные данные следующих категорий субъектов:

• посетители Платформы;
• зарегистрированные Пользователи;
• пользователи, оплачивающие доступ к функциональности Платформы;
• покупатели, оформляющие через Платформу заказы у Продавцов;
• лица, направляющие обращения в службу поддержки;
• лица, отдельно согласившиеся получать рекламные сообщения.

4.2. В зависимости от используемой функции Платформа может обрабатывать следующие данные:

• адрес электронной почты;
• внутренний идентификатор Пользователя и идентификатор внешнего провайдера авторизации;
• имя или отображаемое имя, если оно передано Пользователем либо провайдером авторизации в пределах предоставленного доступа;
• идентификатор push-подписки/токен и настройки канала уведомлений, если Пользователь включил push-уведомления;
• данные о регистрации, входах, сессиях, согласиях и выбранных настройках;
• данные о подписке на Платформу: тариф, даты начала и окончания периода, состояние автопродления, даты его подключения и отключения;
• данные о платежах за использование Платформы: сумма, дата, статус, идентификатор платежа, идентификатор или токен платёжного средства, предоставленный платёжным провайдером, если Пользователь включил автопродление;
• данные о заказах: состав и стоимость заказа, Продавец, выбранный ПВЗ, даты, статусы, идентификаторы платежных операций, выдачи, возврата и урегулирования;
• содержание обращений в поддержку и приложенные Пользователем материалы, если они необходимы для рассмотрения обращения;
• технические данные: IP-адрес, данные браузера и устройства, идентификаторы сессии, cookie и localStorage, журнал событий безопасности и технических ошибок;
• данные об использовании Платформы, собираемые Яндекс Метрикой, в объёме и на условиях, указанных в разделе 8 настоящей Политики.

4.3. Оператор не запрашивает и не обрабатывает в рамках MVP специальные категории персональных данных, биометрические персональные данные, паспортные данные, сведения о здоровье, а также полные реквизиты банковских карт и CVV/CVC-коды.

5. Цели, состав данных и правовые основания обработки

5.1. Регистрация, авторизация и управление аккаунтом.

Цель: создание и поддержание учётной записи, подтверждение личности Пользователя в пределах доступных способов входа, восстановление доступа и защита аккаунта.

Данные: email, внутренний идентификатор, уникальный идентификатор внешнего провайдера авторизации, имя/отображаемое имя при наличии, технические данные входа и сессии.

Правовые основания: заключение и исполнение договора по инициативе субъекта персональных данных; согласие субъекта — в случаях, когда оно требуется законом или механизмом внешней авторизации.

5.2. Предоставление платного доступа к функциональности Платформы и ведение подписки.

Цель: заключение и исполнение договора с ООО «Основание», активация и продление оплаченного периода, ведение истории подписки, обработка платежного статуса и обращений по оплате.

Данные: идентификатор Пользователя, email, тариф, период доступа, сумма, дата и статус платежа, идентификатор платежной операции, состояние автопродления, даты его подключения и отключения.

Правовые основания: заключение и исполнение договора; выполнение обязанностей Оператора, установленных законом.

5.3. Оформление и сопровождение заказов у Продавцов.

Цель: техническое оформление заказа, передача необходимых сведений соответствующему Продавцу и ПВЗ, отображение статусов, формирование QR/идентификатора выдачи, фиксация недопоставок, возвратов и иных урегулирований.

Данные: идентификатор Пользователя, email при необходимости сервисного контакта, сведения о заказе, Продавце, ПВЗ, платежных операциях, статусах исполнения и выдачи. Платформа передаёт Продавцу и ПВЗ только тот объём персональных данных, который необходим для исполнения соответствующей операции.

Правовые основания: действия по инициативе Пользователя, направленные на заключение и исполнение договора с Продавцом; исполнение договора с Пользователем; законные интересы Оператора и участников исполнения при условии соблюдения прав Пользователя.

5.4. Поддержка, претензии и разрешение спорных ситуаций.

Цель: рассмотрение обращений, восстановление доступа, проверка платежей и заказов, защита прав Пользователя и Оператора, урегулирование спорных ситуаций.

Данные: контактный email, идентификатор аккаунта и заказа, содержание обращения, технические журналы и иные сведения, которые Пользователь добровольно сообщает или которые объективно необходимы для рассмотрения обращения.

Правовые основания: исполнение договора, выполнение обязанностей по закону, законный интерес в защите прав и разрешении споров.

5.5. Сервисные уведомления.

Цель: направление обязательной или необходимой информации об аккаунте, подписке, оплате, существенных изменениях заказа, готовности к выдаче, возврате и безопасности.

Каналы MVP: электронная почта и внутренние уведомления Платформы.

Правовые основания: исполнение договора и выполнение обязанностей Оператора. Сервисные сообщения не являются рекламными и не зависят от рекламного согласия.

5.6. Информационная безопасность, предотвращение злоупотреблений и техническая устойчивость.

Цель: защита аккаунтов, Платформы и денежных/товарных операций, расследование сбоев, предотвращение повторных или несанкционированных действий, ведение журналов аудита.

Данные: IP-адрес, идентификаторы сессии и устройства, данные браузера, время входа, технические журналы, идентификаторы операций и событий.

Правовые основания: законные интересы Оператора и Пользователей в обеспечении безопасности; выполнение обязанностей по защите персональных данных и информационных систем.

5.7. Веб-аналитика и улучшение Платформы.

Цель: оценка посещаемости, работоспособности и пользовательских сценариев, выявление ошибок и улучшение интерфейса. Для этой цели Оператор использует только сервис Яндекс Метрика.

Данные: cookie и localStorage-идентификаторы, сведения об устройстве, браузере, операционной системе, IP-адресе и сетевом соединении, источнике перехода, просмотренных страницах, длительности и событиях сессии. Оператор не передаёт в Яндекс Метрику email, телефон, имя, данные заказов, платёжные сведения, адреса и иные идентифицирующие сведения.

Правовые основания: законный интерес Оператора в оценке работоспособности и улучшении Платформы при соблюдении прав Пользователей; согласие на обработку персональных данных — в той части, в которой оно требуется применимым законодательством. Отдельный самостоятельный документ-согласие только на Яндекс Метрику Оператор не оформляет.

5.8. Информационно-рекламные и рекламные сообщения.

Цель: направление новостей о Платформе и ассортименте, предложений Продавцов, промокодов, акций, рекомендаций и иных информационно-рекламных и рекламных материалов по выбранным Пользователем каналам, включая электронную почту, push-уведомления и сообщения внутри Платформы.

Данные: email, идентификатор Пользователя, идентификатор push-подписки/токен при использовании push-канала, выбранные каналы, а также сведения о взаимодействии с Платформой в объёме, необходимом для допустимой сегментации и формирования сообщения.

Правовое основание: отдельное предварительное согласие Пользователя на получение информационно-рекламных и рекламных сообщений. Согласие фиксируется по выбранным каналам. Отказ или отзыв такого согласия не ограничивает регистрацию, доступ к Платформе, уже оплаченным периодам, заказам и сервисным сообщениям.

6. Авторизация через Яндекс ID, Mail ID и email

6.1. В MVP Пользователь может авторизоваться с помощью Яндекс ID, Mail ID (Mail.ru) либо подтверждённого адреса электронной почты.

6.2. При авторизации через Яндекс ID или Mail ID Пользователь взаимодействует с соответствующим провайдером авторизации и самостоятельно подтверждает предоставление Платформе доступа к указанным данным. ООО «Основание» получает только данные в пределах запрошенных прав OAuth.

6.3. В MVP Платформа запрашивает минимальный набор данных, необходимый для входа и создания аккаунта: уникальный идентификатор пользователя, адрес электронной почты и, при наличии необходимости для интерфейса, отображаемое имя. Номер телефона, пол, дата рождения, данные документов и иные избыточные сведения через внешнюю авторизацию не запрашиваются.

6.4. Пароли от Яндекс ID, Mail ID и электронной почты Оператор не получает и не хранит. При входе по email используются одноразовые ссылки или коды с ограниченным сроком действия.

6.5. Внешние провайдеры авторизации обрабатывают персональные данные в соответствии с собственными правилами и политиками. Пользователь может управлять разрешениями внешних приложений в соответствующем аккаунте Яндекс или Mail.

7. Платёжные данные

7.1. Оплата доступа к Платформе осуществляется через платёжного провайдера. Оператор может получать и хранить только сведения, необходимые для подтверждения и учёта операции: сумму, дату, статус, идентификатор платежа и технический идентификатор платёжного средства/токена, если он необходим для добровольного автопродления.

7.2. Полные реквизиты банковской карты, срок действия карты и CVV/CVC-коды ООО «Основание» не получает и не хранит.

7.3. Товарные платежи осуществляются непосредственно в пользу соответствующего Продавца через его платёжный контур. Платформа может получать технический статус и идентификаторы таких операций в объёме, необходимом для отображения и сопровождения заказа, но не получает товарную выручку Продавца.

8. Яндекс Метрика и файлы cookie

8.1. Для веб-аналитики Оператор использует сервис Яндекс Метрика. В соответствии с условиями сервиса счётчик может собирать данные о посещениях сайта, устройстве и использовании Платформы и передавать их Яндексу для формирования статистики.

8.2. В отношении данных посетителей, собираемых Яндекс Метрикой для Оператора, Яндекс выступает лицом, осуществляющим обработку персональных данных по поручению Оператора, в объёме и на условиях, предусмотренных действующими условиями сервиса и законодательством о персональных данных.

8.3. Оператор не должен передавать в Яндекс Метрику идентифицирующие сведения Пользователя. В настройках Метрики и Вебвизора, если Вебвизор используется, поля форм, поисковые строки, URL-параметры и иные элементы, способные содержать персональные или платёжные данные, должны быть исключены из записи либо замаскированы.

8.4. Платформа использует технически необходимые cookie/localStorage для авторизации, безопасности, сохранения сессии и пользовательских настроек. Отключение таких технологий в браузере может нарушить работу отдельных функций Платформы.

8.5. Отдельный самостоятельный документ-согласие только на Яндекс Метрику не оформляется. Обработка данных веб-аналитики осуществляется на правовых основаниях, указанных в пункте 5.7 настоящей Политики, с учётом общего согласия на обработку персональных данных в случаях, когда такое согласие требуется. Пользователь может ограничить использование cookie средствами браузера; это не лишает его доступа к основному функционалу Платформы, хотя отдельные аналитические функции могут работать неполно.

8.6. Актуальная информация о cookie Яндекс Метрики и условиях их использования публикуется Яндексом на страницах сервиса Метрика и в документах Яндекса.

9. Передача и поручение обработки персональных данных

9.1. Оператор может предоставлять доступ к персональным данным или поручать их обработку только при наличии правового основания и только в объёме, необходимом для конкретной цели.

9.2. К основным категориям получателей и обработчиков относятся:

• ООО «ЯНДЕКС» — в связи с использованием Яндекс ID и Яндекс Метрики;
• ООО ВК / сервис Mail — в связи с использованием Mail ID;
• платёжный провайдер Оператора — для оплаты и добровольного автопродления доступа к Платформе;
• соответствующий Продавец и его платёжный провайдер — для оформления и исполнения договора купли-продажи товара и подтверждения товарной оплаты;
• лицо, осуществляющее функции ПВЗ, — в минимальном объёме, необходимом для приёмки, сборки и выдачи заказа;
• поставщики хостинга, электронной почты, резервного копирования и иной технической инфраструктуры, действующие по договору с Оператором и, когда применимо, по его поручению.

9.3. Конкретный Продавец и условия приобретения товара отображаются Пользователю до оформления заказа. Передача данных Продавцу не превращает ООО «Основание» в продавца товара.

9.4. Лицо, обрабатывающее персональные данные по поручению Оператора, обязано обеспечивать конфиденциальность и безопасность данных и соблюдать требования договора и применимого законодательства.

10. Порядок, способы и сроки обработки

10.1. Оператор осуществляет автоматизированную обработку персональных данных, а при необходимости рассмотрения обращений и операционных исключений — также обработку с участием уполномоченных работников.

10.2. Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление/доступ, обезличивание, блокирование, удаление и уничтожение персональных данных в пределах заявленных целей.

10.3. Срок обработки определяется целью обработки, сроком действия договора, сроком действия согласия, требованиями законодательства и необходимостью подтверждения исполнения обязательств или защиты прав в пределах установленных законом сроков.

10.4. Данные аккаунта обрабатываются в течение использования Платформы и после прекращения аккаунта — в той части и в течение того срока, которые необходимы для исполнения требований закона, урегулирования уже возникших обязательств, подтверждения платежей, заказов, согласий и защиты прав сторон.

10.5. Сведения, подлежащие бухгалтерскому, налоговому или иному обязательному учёту, сохраняются в течение сроков, установленных законодательством Российской Федерации.

10.6. По достижении целей обработки и при отсутствии иного законного основания данные уничтожаются либо обезличиваются в порядке, установленном внутренними документами Оператора.

11. Локализация и трансграничная передача

11.1. При сборе персональных данных граждан Российской Федерации посредством сети Интернет запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации, за исключением прямо предусмотренных законом случаев.

11.2. В рамках текущего MVP Оператор не осуществляет трансграничную передачу персональных данных Пользователей.

11.3. До начала любой трансграничной передачи Оператор обязан выполнить предусмотренные законом процедуры, оценить правовые основания и риски, а при необходимости обновить настоящую Политику до начала такой обработки.

12. Защита персональных данных

12.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

12.2. В частности, применяются разграничение доступа по ролям, защищённые соединения, журналирование критических действий, резервное копирование, контроль доступа к административным функциям, защита секретов и токенов, ограничение числа попыток авторизации и иные меры соразмерно актуальным угрозам.

12.3. Доступ к персональным данным предоставляется только тем работникам и привлечённым лицам, которым он необходим для выполнения соответствующих обязанностей.

13. Права Пользователя

13.1. Пользователь вправе в случаях и порядке, предусмотренных законом:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или не являющихся необходимыми данных;
• отзывать согласие на обработку, когда обработка основана на согласии;
• требовать прекращения обработки в предусмотренных законом случаях;
• отказаться от информационно-рекламных и рекламных сообщений полностью либо по отдельному каналу;
• обжаловать действия или бездействие Оператора в Роскомнадзор либо в суд;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

13.2. Для реализации прав или получения разъяснений Пользователь может обратиться по адресу support@osnovnoe.site. В обращении следует указать сведения, позволяющие идентифицировать аккаунт и предмет запроса, но не следует направлять пароли, CVV/CVC-коды или иные избыточные конфиденциальные сведения.

13.3. Оператор отвечает на обращения и выполняет законные требования в сроки и порядке, установленные законодательством Российской Федерации.

14. Отзыв согласия, прекращение обработки и удаление аккаунта

14.1. Если обработка основана на согласии, Пользователь вправе отозвать такое согласие через предусмотренные интерфейсы либо направив обращение на support@osnovnoe.site.

14.2. Отзыв согласия не прекращает автоматически обработку данных, если у Оператора имеется иное предусмотренное законом основание для её продолжения, включая необходимость исполнения договора, соблюдения обязательных требований законодательства, завершения уже возникших расчётов и заказов или защиты прав сторон.

14.3. Прекращение аккаунта не должно лишать Пользователя доступа к уже оплаченным и не завершённым обязательствам в объёме, необходимом для их исполнения и урегулирования.

15. Заключительные положения

15.1. Настоящая Политика размещается в свободном доступе на Платформе и должна быть доступна до предоставления Пользователем персональных данных.

15.2. Оператор вправе изменять Политику при изменении законодательства, архитектуры Платформы, состава обрабатываемых данных, подключаемых сервисов или целей обработки. Новая редакция применяется с момента её публикации, если в ней не указана более поздняя дата.

15.3. Существенные изменения, затрагивающие права Пользователей или требующие нового согласия, доводятся до Пользователей способом, позволяющим получить такое согласие или иным образом выполнить требования закона до начала соответствующей обработки.

15.4. По вопросам, связанным с обработкой персональных данных, обращаться: support@osnovnoe.site.