Политика конфиденциальности и обработки персональных данных

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей интернет-сервиса baggee (далее — «Сервис»).

1.2. Оператор персональных данных (далее — «Оператор»): Саноян Микаэль Эдуардович, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход», ИНН 775130205530, адрес электронной почты: mik030607@gmail.com.

1.3. Политика действует в отношении всех персональных данных, которые Оператор получает от пользователей Сервиса (далее — «Пользователь», «субъект персональных данных»).

1.4. Используя Сервис и проставляя отметку о согласии при регистрации, Пользователь свободно, своей волей и в своём интересе даёт согласие на обработку персональных данных на условиях настоящей Политики. Факт, дата, время и версия принятой редакции фиксируются в учётной системе Сервиса.

1.5. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения по адресу /privacy.html. При существенных изменениях условий обработки Оператор запрашивает согласие повторно, если этого требует закон.

2. Правовые основания обработки

• согласие субъекта персональных данных (ст. 6 ч. 1 п. 1 152-ФЗ);
• необходимость исполнения договора, стороной которого является субъект — Пользовательского соглашения (ст. 6 ч. 1 п. 5 152-ФЗ);
• необходимость исполнения возложенных на Оператора законом обязанностей (ст. 6 ч. 1 п. 2 152-ФЗ);
• осуществление прав и законных интересов Оператора — обеспечение безопасности Сервиса, предотвращение мошенничества (ст. 6 ч. 1 п. 7 152-ФЗ).

3. Состав обрабатываемых данных и цели обработки

3.1. Оператор не обрабатывает специальные категории персональных данных (о здоровье, политических взглядах, религии и пр.) и биометрические персональные данные.

3.2. Оператор обрабатывает данные только в объёме, необходимом для заявленных целей, и не использует их для целей, несовместимых с заявленными.

3.3. Принятие решений, порождающих юридические последствия для Пользователя, на основании исключительно автоматизированной обработки не осуществляется.

4. Меры защиты персональных данных

4.1. Оператор принимает необходимые правовые, организационные и технические меры защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения (ст. 18.1, 19 152-ФЗ), в том числе:

• пароли хранятся исключительно в виде криптографических хэшей (bcrypt с индивидуальной солью) и не могут быть восстановлены в исходном виде;
• адреса электронной почты хранятся в защищённом виде (ключевой хэш-индекс), исключающем их чтение при компрометации базы данных;
• доступ к данным ограничен и предоставляется только для целей функционирования Сервиса;
• соединение с Сервисом защищается протоколом HTTPS (при работе на боевом домене);
• применяются механизмы защиты от подбора паролей и массовой регистрации.

5. Cookie и аналогичные технологии

5.1. Сервис использует cookie и локальное хранилище браузера для: поддержания авторизованной сессии (токен доступа), запоминания пользовательских настроек, обеспечения корректной работы интерфейса.

5.2. Пользователь может отключить cookie в настройках браузера, однако это может сделать использование Сервиса невозможным (в частности, авторизацию).

5.3. Сторонние рекламные трекеры Сервисом не используются.

6. Передача данных третьим лицам

6.1. Оператор не продаёт и не передаёт персональные данные третьим лицам, за исключением следующих случаев:

• платёжный провайдер — в объёме, необходимом для проведения оплаты, удержания средств по безопасной сделке, выплат и возвратов;
• хостинг-провайдер / оператор дата-центра — техническое размещение Сервиса и базы данных (обработка по поручению Оператора, ст. 6 ч. 3 152-ФЗ);
• другие Пользователи — публичная часть профиля (логин, аватар, страна, дата регистрации, отзывы) и данные, которыми Пользователь сам делится в рамках сделки;
• уполномоченные государственные органы — по мотивированному запросу в случаях, установленных законодательством Российской Федерации.

6.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ст. 18 ч. 5 152-ФЗ).

6.3. Трансграничная передача персональных данных не осуществляется. В случае необходимости такой передачи она будет производиться с соблюдением требований ст. 12 152-ФЗ, включая предварительное уведомление уполномоченного органа.

7. Сроки обработки и хранения

7.1. Персональные данные обрабатываются в течение срока действия аккаунта Пользователя и необходимого времени после его удаления:

• учётные данные и данные профиля — до удаления аккаунта;
• сведения об операциях и сделках — 5 лет с даты операции (для целей бухгалтерского и налогового учёта и разрешения споров);
• переписка и файлы сделок — 1 год после завершения сделки, затем удаляются или обезличиваются;
• записи о данных Пользователем согласиях — в течение срока обработки данных и 3 лет после её прекращения (для подтверждения правомерности обработки);
• технические логи — до 6 месяцев.

7.2. По достижении целей обработки либо при отзыве согласия (если нет иных правовых оснований) данные уничтожаются или обезличиваются в срок, не превышающий 30 дней.

8. Права субъекта персональных данных

8.1. Пользователь вправе:

• получать сведения об обработке своих персональных данных (ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• требовать удаления аккаунта;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

8.2. Для реализации своих прав Пользователь направляет запрос на адрес электронной почты Оператора: mik030607@gmail.com. Запрос должен содержать сведения, позволяющие идентифицировать Пользователя (логин и адрес электронной почты, указанные при регистрации).

8.3. Оператор отвечает на запрос в течение 10 рабочих дней с момента обращения (срок может быть продлён до 5 рабочих дней с уведомлением Пользователя, ст. 20 152-ФЗ).

8.4. Отзыв согласия не влияет на законность обработки, осуществлявшейся до отзыва, и не прекращает обработку, для которой имеются иные правовые основания (например, хранение сведений об операциях в силу требований закона).

9. Заключительные положения

9.1. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации и Пользовательским соглашением.

9.2. Действующая редакция Политики постоянно доступна по адресу /privacy.html.