К Лицензионному договору-оферте на использование сервиса «Шопик» (далее — Договор).
Принимая Договор, Организатор как оператор персональных данных Участников (далее — Оператор) поручает ИП Кучерова Наталья Петровна (ИНН 026823894477, ОГРНИП 323028000243271; далее — Обработчик) обработку персональных данных Участников на условиях ниже (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон). Термины используются в значениях Договора.
1. Цели обработки#
#1.1. Обработчик обрабатывает персональные данные Участников только в следующих целях:
- ведение профилей Участников в Магазине Оператора, заведённых при входе Участника на Витрину;
- фиксация принятия Участниками документов и согласий Оператора;
- приём, учёт и исполнение Заказов, учёт оплат, балансов, Выкупа и возвратов;
- передача сведений о Заказах Посредникам, выбранным Оператором, в объёме п. 2.3;
- направление Участникам от имени Оператора уведомлений о статусе Заказов и иных сообщений по поручению Оператора — в личном кабинете Участника на Витрине и через учётные записи Оператора в мессенджерах, подключённые Оператором;
- техническая поддержка Оператора и Участников по работе Витрины;
- обеспечение безопасности Витрины и предотвращение мошенничества;
- расчёт Комиссии для исполнения Оператором его обязанностей по отчёту и оплате (раздел 8 Договора) — по сведениям о Заказах без контактных данных Участников;
- направление рекламно-информационных сообщений от имени Оператора — только Участникам, давшим Оператору согласие на их получение.
#1.2. Обработчик не обрабатывает персональные данные Участников в собственных целях, кроме случаев, когда Участник дал Обработчику отдельное согласие, это прямо разрешено законом или предусмотрено п. 1.3. Обработчик вправе использовать обезличенные агрегированные данные, не позволяющие определить Участника.
#1.3. Как самостоятельный оператор — в своих законных интересах (п. 7 ч. 1 ст. 6 Закона) и по своей Политике обработки персональных данных — Обработчик: (а) проверяет достоверность учёта по Приложению 1 по номерам, составу, суммам, датам и статусам Заказов и отметкам Участников, а контактные данные Участников использует для этой цели только при рассмотрении их обращений; (б) обрабатывает cookie и технические данные посетителей Витрин для работы и безопасности платформы (Политика cookie); (в) ведёт учётную запись платформы, через которую Участник входит на Витрины, и при входе Участника на Витрину Оператора по его действию предоставляет Оператору данные этой учётной записи — для исполнения Пользовательского соглашения (п. 5 ч. 1 ст. 6 Закона). Веб-аналитику на Витринах Обработчик не ведёт. Оператор указывает это в своей политике обработки персональных данных.
2. Перечень данных и действий#
#2.1. Обрабатываются: фамилия, имя, отчество или имя; номер телефона; при входе через VK ID или «Одноклассники» — идентификатор учётной записи, имя, фамилия, фотография профиля и ссылка на страницу, которые Участник разрешил передать; идентификатор Участника в мессенджере; город, адрес доставки (получатель, его телефон, адрес) или пункт выдачи; реквизиты для возврата денег, указанные Участником; заметки и метки Оператора об Участнике; сведения о Заказах — состав, размеры, цены, суммы, даты, статусы; сведения об оплатах, возвратах и балансе — сумма, дата, способ оплаты, отметки и загруженные Участником подтверждения оплаты; комментарии Участника и Оператора к Заказу; журнал действий Участника в Магазине — дата, время и вид операции; журнал принятия Участником документов и согласий Оператора — редакция, отпечаток текста, дата, время, IP-адрес, сведения о браузере. Cookie и технические данные посетителей Витрины Обработчик обрабатывает как самостоятельный оператор (п. 1.3).
#2.2. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) Оператору, лицам, указанным в п. 2.3 и 4.1, и операторам мессенджеров по п. 4.1, обезличивание, блокирование, удаление, уничтожение. Способ обработки — автоматизированный, с передачей по сети «Интернет».
#2.3. Посреднику передаются номер Заказа, состав, размер, количество, цена Поставщика и место продажи на рынке, а также фамилия и имя Участника, как они указаны в Сервисе, — для фасовки и маркировки упаковок. Телефон и адрес Участника Посреднику не передаются.
#2.4. Обработчик не распространяет персональные данные Участников.
3. Обязанности Обработчика#
#3.1. Соблюдать конфиденциальность персональных данных и не раскрывать их третьим лицам без указания Оператора, кроме случаев, предусмотренных законом.
#3.2. Соблюдать принципы и правила обработки, предусмотренные Законом, требования ч. 5 ст. 18 Закона — недопущение при сборе персональных данных, в том числе через сеть «Интернет», записи, систематизации, накопления, хранения, уточнения (обновления, изменения) и извлечения персональных данных граждан РФ с использованием баз данных, находящихся за пределами РФ, в том числе лицами, указанными в п. 4.1, — и требования ст. 18.1 Закона.
#3.3. Обеспечивать безопасность персональных данных при обработке и принимать меры, предусмотренные ст. 19 Закона: определять угрозы безопасности; применять организационные и технические меры для обеспечения уровня защищённости, установленного постановлением Правительства РФ от 01.11.2012 № 1119; применять средства защиты информации, прошедшие оценку соответствия, если это требуется; вести учёт машинных носителей; обнаруживать факты несанкционированного доступа и реагировать на них; восстанавливать данные, изменённые или уничтоженные вследствие такого доступа; устанавливать правила доступа и регистрировать действия с данными; контролировать принимаемые меры.
#3.4. По запросу Оператора в течение срока действия поручения, в том числе до начала обработки, в течение 10 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований ст. 6 Закона при исполнении поручения.
#3.5. Уведомлять Оператора о каждом факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав Участников (ч. 3.1 ст. 21 Закона), — незамедлительно, но не позднее 12 часов с момента выявления, с известными сведениями о причинах, объёме, предполагаемом вреде, принятых мерах и контактном лице; результаты внутреннего расследования — не позднее 48 часов с момента выявления.
#3.6. Передавать Оператору обращения Участников и запросы Роскомнадзора, поступившие Обработчику, в течение 2 рабочих дней и по указанию Оператора уточнять, блокировать или уничтожать данные в сроки, позволяющие Оператору исполнить ст. 20 и 21 Закона.
#3.7. Обеспечить Оператору возможность исправлять данные Участника в Сервисе, а по запросу Оператора в течение 10 рабочих дней предоставить выгрузку данных Участников, исправить или удалить данные Участника, если Оператор не может сделать это сам в интерфейсе Сервиса.
#3.8. Не привлекать к обработке иных лиц, кроме указанных в п. 4.1.
4. Привлечение третьих лиц#
#4.1. Оператор поручает Обработчику привлечь к обработке следующее лицо и согласен с этим: ООО «Дейта Кью» (ИНН 7721581040, адрес: 119034, г. Москва, пер. Турчанинов, д. 6, стр. 2, помещ. 1/3) — подсказки при вводе адреса доставки. Данные хранятся на серверах, арендуемых Обработчиком у хостинг-провайдера в Российской Федерации; серверами управляет Обработчик, а провайдер обработку персональных данных по поручению Обработчика не ведёт. Для доставки уведомлений Обработчик передаёт оператору мессенджера, в котором Оператор подключил учётную запись Магазина (ООО «ВК» (ИНН 7743001840) — «ВКонтакте»; ООО «МАХ» (ИНН 9714058267) — MAX), номер телефона или идентификатор Участника и текст сообщения. Коды для входа Участников (звонки и SMS через ООО «Грин Груп» (ИНН 7735573530, адрес: 124482, г. Москва, г. Зеленоград, Савёлкинский проезд, д. 4, этаж 13, комн. 13)) относятся к учётной записи платформы, которую Обработчик ведёт как оператор (п. 1.3). Актуальный перечень публикуется в Политике обработки персональных данных Обработчика.
#4.2. Об изменении перечня Обработчик уведомляет Оператора не позднее чем за 10 дней. Оператор, не согласный с изменением, вправе отказаться от Договора.
#4.3. Обработчик заключает с лицами, которым поручена обработка по п. 4.1, договоры, обязывающие их соблюдать требования не менее строгие, чем в настоящем поручении, и отвечает перед Оператором за их действия.
5. Обязанности Оператора#
#5.1. Обеспечить правовые основания обработки данных Участников и их передачи Обработчику и Посредникам, а при необходимости — получить согласия Участников (шаблон согласия предоставляется в Сервисе).
#5.2. Указать в своей политике обработки персональных данных, что обработку по его поручению осуществляет Обработчик, и цели такой обработки.
#5.3. Уведомить Роскомнадзор о намерении осуществлять обработку персональных данных (ст. 22 Закона).
#5.4. Не загружать в Сервис специальные категории и биометрические персональные данные, паспортные данные Участников, а также срок действия банковских карт и коды CVC/CVV. Номер карты или телефона для возврата денег указывается только в заявке Участника на возврат.
#5.5. Перед Участниками за действия Обработчика отвечает Оператор (ч. 5 ст. 6 Закона); Обработчик отвечает перед Оператором.
6. Срок поручения и уничтожение данных#
#6.1. Поручение действует в течение срока действия Договора, а после его прекращения — до завершения хранения и уничтожения персональных данных Участников по п. 6.2.
#6.2. Оператор вправе в любой момент получить выгрузку данных Участников по п. 3.7. После прекращения Договора Обработчик хранит их 30 дней для выгрузки, а данные Участников по Заказам, оплата которых учтена до прекращения Договора, — 60 дней для завершения расчётов по ним (п. 15.2 и 15.4 Договора); затем в течение 30 дней уничтожает их и фиксирует уничтожение в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179. Сведения о Заказах без контактных данных Участников, нужные для проверки по Приложению 1, Обработчик как самостоятельный оператор (п. 1.3) хранит 60 дней после прекращения Договора (п. 15.2 Договора) и затем обезличивает; обезличенные Данные учёта хранятся 3 года после прекращения Договора для расчётов, разрешения споров и бухгалтерского учёта.
#6.3. Отдельные данные Участника по указанию Оператора удаляются в течение 10 рабочих дней, если Оператор не удалил их сам в интерфейсе Сервиса.
7. Прочие условия#
#7.1. Поручение является частью Договора. В вопросах обработки персональных данных Участников при противоречии с другими условиями Договора применяется настоящее Приложение.