Политика обработки персональных данных

1. Область применения

1.1. Политика применяется к персональным данным, которые Оператор получает через сайт https://matrixseller.ru и сервис «Матрикс Селлер» (далее — Сервис), в том числе через формы регистрации, приглашения сотрудников и заявок на услуги, а также при использовании Telegram-ботов Сервиса.

1.2. Сервис предназначен для индивидуальных предпринимателей, юридических лиц и плательщиков налога на профессиональный доход (далее — Клиенты). Субъектами персональных данных являются представители и сотрудники Клиентов, посетители сайта и лица, оставившие заявку.

1.3. Данные покупателей маркетплейсов и иных лиц, которые Клиент обрабатывает в Сервисе, Оператор обрабатывает не как оператор, а по поручению Клиента — на условиях документа «Поручение на обработку персональных данных (Приложение № 2 к Оферте)» (https://matrixseller.ru/terms/dpa).

2. Цели, категории данных, основания и сроки

2.1. Регистрация и предоставление доступа к Сервису, исполнение лицензионного договора. Субъекты: представители и сотрудники Клиентов. Данные: имя (ФИО), адрес электронной почты, номер телефона, имя пользователя и идентификатор чата Telegram, наименование компании, роль в организации, хэш пароля, сведения о действиях в Сервисе, IP-адрес и сведения о браузере. Основания: п. 5 ч. 1 ст. 6 Закона (договор), согласие субъекта. Срок: в течение действия договора и 3 лет после его прекращения (срок исковой давности), далее — уничтожение.

2.2. Связь, техническая поддержка, направление служебных уведомлений (коды подтверждения, восстановление пароля, сведения о работе Сервиса). Данные: имя, e-mail, телефон, Telegram, содержание обращений. Основания: договор, согласие. Срок: как в п. 2.1.

2.3. Рассмотрение заявок на услуги (в том числе «Ведение Ozon под ключ») и подготовка коммерческого предложения. Субъекты: лица, оставившие заявку. Данные: имя или наименование компании, телефон или Telegram, ссылка на магазин, сведения о магазине, комментарий, IP-адрес и сведения о браузере. Основание: согласие субъекта. Срок: 1 год с даты заявки, если договор не заключён, либо до отзыва согласия.

2.4. Фиксация акцептов документов (оферты, согласий, условий модулей) как доказательства заключения договора и получения согласия. Данные: идентификатор пользователя, дата и время, версия документа, IP-адрес, сведения о браузере. Основания: договор, ч. 1 ст. 9 Закона. Срок: срок действия договора и 3 года после его прекращения.

2.5. Статистика посещаемости и улучшение сайта. Субъекты: посетители сайта. Данные: cookie-идентификаторы, IP-адрес, сведения об устройстве и браузере, просмотренные страницы, действия на сайте (Яндекс Метрика, в том числе Вебвизор без записи содержимого полей форм). Основание: согласие субъекта, выраженное в cookie-баннере («Политика использования cookie» (https://matrixseller.ru/cookies)). Срок: до отзыва согласия; сроки хранения у ООО «Яндекс» — по его правилам.

2.6. Направление рекламных и информационных сообщений. Данные: имя, e-mail, телефон, Telegram. Основание: отдельное согласие («Согласие на получение рекламных и информационных сообщений» (https://matrixseller.ru/consent/marketing)), ч. 1 ст. 18 Федерального закона «О рекламе». Срок: до отзыва согласия.

2.7. Исполнение обязанностей, возложенных законом (бухгалтерский и налоговый учёт, ответы на запросы государственных органов). Основание: п. 2 ч. 1 ст. 6 Закона. Срок: установленный соответствующим законом.

2.8. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные и не принимает решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки.

3. Действия с данными и способы обработки

3.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных.

3.2. Обработка смешанная, преимущественно автоматизированная, с передачей по информационно-телекоммуникационным сетям.

3.3. Персональные данные не распространяются (не раскрываются неопределённому кругу лиц).

4. Место хранения и передача данных

4.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона). Хостинг-провайдер: АО «Селектел» (Российская Федерация, дата-центр в Санкт-Петербурге).

4.2. Оператор привлекает следующих лиц, которым персональные данные передаются в объёме, необходимом для указанных целей:

— АО «Селектел» (Российская Федерация, дата-центр в Санкт-Петербурге) — хостинг серверов и баз данных Сервиса;

— ООО «ВК» (Россия) — отправка служебных писем через почтовый сервис Mail.ru;

— ООО «Яндекс» (Россия) — веб-аналитика Яндекс Метрика (только при согласии на аналитические cookie);

— OpenAI, L.L.C. (США) — подготовка черновиков ответов на отзывы и вопросы покупателей, если Пользователь включил эту функцию (см. Приложение № 4 к Оферте);

— маркетплейсы (Ozon, Wildberries, Яндекс Маркет) и ГИС МТ «Честный знак» — по API от имени и по поручению Пользователя;

4.3. Трансграничная передача персональных данных осуществляется только в случае, указанном в п. 4.2 (OpenAI — при включении Пользователем функции ИИ-ответов), после уведомления Роскомнадзора в порядке ст. 12 Закона. Передаются только данные, необходимые для выполнения функции.

4.4. Лица, обрабатывающие персональные данные по поручению Оператора, обязаны соблюдать принципы и правила обработки, конфиденциальность и меры защиты, предусмотренные ст. 18.1 и 19 Закона.

5. Защита персональных данных

5.1. Оператор назначил лицо, ответственное за организацию обработки персональных данных, и принимает правовые, организационные и технические меры защиты: разграничение доступа, шифрование каналов связи (TLS), хранение паролей в виде хэшей, шифрование API-ключей и токенов (AES-256-GCM), резервное копирование, журналирование действий, контроль доступа сотрудников.

5.2. Подробнее о мерах защиты — в документе «Информационная безопасность» (https://matrixseller.ru/security).

5.3. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона).

6. Права субъектов персональных данных

6.1. Субъект вправе получать сведения об обработке своих персональных данных, требовать их уточнения, блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели, отозвать согласие, а также обжаловать действия Оператора в Роскомнадзоре или в суде.

6.2. Запросы и отзыв согласия направляются на matrix.seller@mail.ru (с пометкой «Персональные данные») или письмом по адресу Оператора. Запрос должен позволять идентифицировать субъекта (например, e-mail, указанный при регистрации).

6.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.

6.4. При отзыве согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней, если иное не предусмотрено законом или договором (например, обработка, необходимая для исполнения договора, может продолжаться без согласия по основаниям, указанным в Законе).

7. Уничтожение персональных данных

7.1. По достижении целей обработки, истечении сроков, отзыве согласия или выявлении неправомерной обработки данные уничтожаются или обезличиваются в сроки, установленные ст. 21 Закона.

7.2. Уничтожение подтверждается актом и (или) выгрузкой из журнала событий в соответствии с требованиями Роскомнадзора; резервные копии перезаписываются в порядке ротации.

8. Заключительные положения

8.1. Политика действует бессрочно до замены новой редакцией. Актуальная редакция всегда доступна по адресу https://matrixseller.ru/privacy.

8.2. Вопросы об обработке персональных данных: matrix.seller@mail.ru.