Политика обработки персональных данных

Настоящая Политика определяет порядок обработки персональных данных (ПДн) Индивидуальным предпринимателем Черкасов Сергей Викторович (ИНН 673110673051, ОГРНИП 307673114500020), далее — «Оператор», при использовании Платформы tilbi.ru и мобильных приложений, в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1.1. Термины «Платформа», «Партнёр», «Покупатель», «Сделка», «МК», «Работа», «Материал», «Безопасная доставка», «ЛК» — в значениях документов Платформы (Пользовательское соглашение, оферты, Регламент безопасной доставки). Термины «персональные данные», «обработка», «оператор», «субъект» — в значениях 152-ФЗ.

1.2. Субъект — Партнёр, Покупатель, иной пользователь Платформы, чьи ПДн обрабатываются.

2.1. Покупатель: ФИО, номер телефона, адрес электронной почты, данные для доставки (адрес/пункт выдачи, ФИО получателя), сведения о заказах и платежах, включая задание на изготовление (параметры, мерки, эскизы), фото и документы по заказу и смету понесённого (без данных платёжной карты — они обрабатываются Банком при приёме платежа, п. 5.3), идентификаторы устройства и сетевые данные (IP, cookies).

2.2. Партнёр: ФИО, ИНН (для ФЛ/СЗ/ИП/ЮЛ; для Партнёра-ФЛ — с отметкой о подтверждении), статус (ФЛ/СЗ/ИП/ЮЛ), страна, ОГРНИП/ОГРН, банковские реквизиты для выплат (для Партнёра-ФЛ — реквизиты банковской карты или счёта физического лица; передаются Банку для осуществления выплат), номер телефона, электронная почта; для Партнёра-ЮЛ обрабатываются персональные данные его уполномоченного представителя и контактного лица (ФИО, должность, телефон, электронная почта); сведения о самом ЮЛ (наименование, ОГРН, ИНН) персональными данными не являются, при верификации — сведения из государственных реестров (ЕГРИП, сервисы ФНС), сведения, полученные от Единой системы идентификации и аутентификации (Госуслуги) или идентификационного сервиса банка (ФИО, ИНН и иные сведения в объёме, переданном сервисом с согласия субъекта), либо изображение документа, удостоверяющего личность, загруженное Партнёром для проверки уполномоченным сотрудником Оператора (используется только для сверки сведений о личности, обработка биометрических персональных данных при этом не осуществляется), сведения о карточках, Сделках и расчётах.

2.2.1. Партнёр-нерезидент (физическое лицо, страной которого на Платформе указано иное государство, чем Российская Федерация): фамилия, имя, отчество (при наличии), страна, адрес электронной почты, номер телефона, сведения о карточках и переписке на Платформе. Верификация не проводится, банковские реквизиты и ИНН не обрабатываются (продажа через Платформу ему недоступна — Оферта для партнёра, п. 3.3).

2.2.2. Иностранные граждане и лица без гражданства. Персональные данные иностранных граждан и лиц без гражданства (Пользователей, Покупателей, Партнёров-нерезидентов) обрабатываются в тех же целях, на тех же основаниях и с теми же мерами защиты, что и данные граждан Российской Федерации, в соответствии с 152-ФЗ; страна субъекта обрабатывается для определения доступных ему функций Платформы и раскрытия сведений о продавце (п. 4А.3).

2.3. Специальные категории и биометрия не обрабатываются. Платформа не предназначена для лиц младше 18 лет (регистрация доступна лицам, достигшим 18 лет, — Пользовательское соглашение); при выявлении обработки данных несовершеннолетнего соответствующие данные удаляются, аккаунт блокируется.

2.4. Оператор придерживается минимизации: обрабатываются только данные, необходимые для заявленных целей.

3.1. Обработка осуществляется на следующих основаниях 152-ФЗ:

а) исполнение договора, стороной/выгодоприобретателем которого является субъект (п. 5 ч. 1 ст. 6) — регистрация, оформление и исполнение Сделок, расчёты, доставка, поддержка;

б) исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6) — фискализация (54-ФЗ), передача сведений в ФНС (289-ФЗ);

в) согласие субъекта (п. 1 ч. 1 ст. 6) — маркетинговые рассылки, необязательные cookies, публикация профиля, верификация партнёров (подтверждение личности и статуса, в том числе по паспорту; одновременно — исполнение Оферты для партнёра);

г) обработка, необходимая для осуществления прав и законных интересов Оператора или третьих лиц, при условии что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 152-ФЗ) — защита от мошенничества, разрешение споров, взыскание задолженности, безопасность Платформы; по каждой такой цели Оператор проводит оценку баланса интересов и влияния на права субъекта.

3.2. Согласие на обработку в целях, требующих согласия, оформляется отдельно от настоящей Политики: при создании аккаунта — Согласием на обработку персональных данных, опубликованным на Платформе; при подаче заявки на верификацию — Согласием на обработку персональных данных для верификации; на использование необязательных cookies — в порядке, установленном Политикой использования cookies. Согласие может быть отозвано (раздел 8); отзыв не влияет на обработку по иным основаниям.

4.1. Оператор-площадка — оператор ПДн в отношении данных, обрабатываемых для функционирования Платформы, оформления Сделок, расчётов через сервис безопасных расчётов банка, организации Безопасной доставки, поддержки и исполнения требований закона.

4.2. Партнёр как самостоятельный оператор. При Сделке без Безопасной доставки, а также при способе получения «Самовывоз» (Партнёру после подтверждения заказа отображаются ФИО и номер телефона Покупателя — Оферта для партнёра, п. 10.3) продавец обрабатывает полученные данные Покупателя как самостоятельный оператор — в целях и объёме, необходимых для исполнения Сделки, продавцом по которой он является (основание — п. 5 ч. 1 ст. 6 152-ФЗ), с обязанностью соблюдать конфиденциальность, не передавать данные третьим лицам и уничтожить их после исполнения Сделки. Оператор доводит до продавца эти обязанности (Оферта для партнёра, раздел 10); ответственность за их соблюдение несёт продавец. При Безопасной доставке полные данные получателя продавцу не передаются — этикетку формирует Платформа.

4.3. Разграничение по МК. По Сделкам с МК данные Покупателя обрабатывает Оператор-площадка; Партнёру передаётся только ник/имя Покупателя без контактных данных.

4.4. Передача перевозчику. Для доставки Оператор передаёт оператору доставки минимально необходимые данные получателя (ФИО, телефон, пункт выдачи/адрес). Перевозчик обрабатывает их как самостоятельный оператор в целях доставки. Передача осуществляется на основании исполнения договора, стороной/выгодоприобретателем которого является Покупатель (п. 5 ч. 1 ст. 6 152-ФЗ); Покупатель информируется о передаче при оформлении заказа.

4.5. Передача банку. Для проведения расчётов через сервис безопасных расчётов «Мультирасчёты» Оператор передаёт АО «ТБанк» реквизиты выплат Партнёра и сведения, запрашиваемые банком для идентификации участников расчётов (идентификацию в объёме требований законодательства, включая 115-ФЗ, проводит банк). При расчётах в агентском режиме по поручению продавца Оператор передаёт банку сведения об операции, необходимые для расчёта и возврата; платёжные данные карт Оператор не обрабатывает (п. 5.3).

4.6. Передача в государственные органы. Оператор передаёт сведения в ФНС и иные органы в объёме и случаях, предусмотренных законом (289-ФЗ, 54-ФЗ, налоговое законодательство).

4.7. Обработчики. Оператор вправе поручить обработку подрядчикам по договору, содержащему перечень персональных данных, перечень действий с ними, цели обработки, обязанности по соблюдению конфиденциальности и безопасности (ч. 3 ст. 6 152-ФЗ), сохраняя ответственность за их действия. При обработке по поручению согласие субъекта на передачу не требуется, но Оператор отвечает перед субъектом.

4.8. Трансграничная передача не осуществляется, за исключением случаев, прямо согласованных с субъектом и допустимых по ст. 12 152-ФЗ с соблюдением уведомительного порядка. Данные Пользователей и Партнёров-нерезидентов хранятся и обрабатываются Оператором на территории Российской Федерации (п. 5.1). Сведения, которые Покупатель или иной Пользователь сам сообщает Партнёру-нерезиденту средствами общения Платформы, и отображаемые при этом имя или ник Пользователя становятся доступны Партнёру-нерезиденту по инициативе Пользователя; иные персональные данные Пользователей Партнёрам-нерезидентам Оператор не предоставляет.

4А.1. Ниже приведён перечень лиц, которым Оператор передаёт ПДн или поручает их обработку, с указанием состава данных и целей (ч. 3 ст. 6 152-ФЗ — поручение обработки содержит перечень данных, действий и целей; ч. 4 ст. 9 — в согласии на передачу указывается наименование получателя). Перечень актуализируется при изменении состава контрагентов; актуальная редакция публикуется на Платформе.

4А.2. Данные платёжных карт Покупателей Оператору не передаются и им не обрабатываются: они вводятся Покупателем непосредственно в защищённой платёжной форме Банка (п. 5.3).

4А.3. Передача между пользователями Платформы (в рамках исполнения Сделки, п. 5 ч. 1 ст. 6 152-ФЗ). При Доставке продавца продавцу передаются только сведения, необходимые для вручения; продавец обрабатывает их как самостоятельный оператор. Загружаемые при отправке и получении изображения и документы содержат только сведения, необходимые для подтверждения события, и хранятся в сроки, необходимые для разрешения споров и выполнения требований законодательства:

а) Покупателю — сведения о продавце в объёме ст. 9 Закона «О защите прав потребителей»: для ИП — ФИО, ОГРНИП, ИНН; для ЮЛ — наименование, ОГРН, ИНН, адрес; для самозанятых и физических лиц — имя или ник и статус; для Партнёров-нерезидентов — фамилия и имя или ник, статус и страна; по обоснованному запросу, связанному с претензией или иском, — сведения, необходимые для её предъявления (Оферта для покупателя, п. 5.1.1);

б) Партнёру — имя или ник Покупателя; при способе получения «Самовывоз» Партнёру — ФИО и номер телефона Покупателя (п. 4.2);

в) полные данные получателя доставки продавцу не передаются — этикетку формирует Платформа.

4А.4. Конкретный перевозчик, оператор фискальных данных и иные контрагенты из числа взаимозаменяемых определяются на момент оказания услуги; замена контрагента в пределах указанных категорий не является изменением настоящей Политики, ухудшающим положение субъекта.

5.1. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Данные иностранных граждан и лиц без гражданства хранятся в тех же базах данных на территории Российской Федерации. Инфраструктура размещается у российского провайдера (Selectel).

5.2. Оператор принимает правовые, организационные и технические меры защиты ПДн (ст. 18.1, 19 152-ФЗ): разграничение доступа, шифрование каналов, журналирование, резервное копирование, оценку вреда и модель угроз. Назначено лицо, ответственное за организацию обработки ПДн.

5.2.1. Действия и способы обработки. Обработка включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение. Способы: автоматизированная, неавтоматизированная и смешанная обработка.

5.2.2. Уничтожение. ПДн уничтожаются способом, исключающим восстановление (стирание с носителей / необратимое обезличивание), с фиксацией факта уничтожения (акт либо журнал автоматизированной системы).

5.3. Данные платёжных карт Оператором не хранятся и не обрабатываются: приём платежей осуществляет Банк (АО «ТБАНК») в рамках сервиса «Мультирасчёты», платёжные данные вводятся в защищённой форме Банка (стандарты индустрии платёжных карт).

6.1. ПДн обрабатываются в течение срока, необходимого для целей, если иной срок не установлен законом.

6.2. Учётные и расчётные данные хранятся в течение сроков, установленных налоговым и бухгалтерским законодательством.

6.3. Архивный режим по расчётам. При наличии незавершённых взаиморасчётов или споров обработка соответствующих данных Партнёра/Покупателя продолжается до их урегулирования (основание — исполнение договора и защита прав оператора, законный интерес), но не долее истечения срока исковой давности по соответствующему обязательству, после чего данные удаляются или обезличиваются. Это согласовано с положением о неудалении аккаунта Партнёра до полного расчёта (Оферта для партнёра, п. 16.4) и сроком хранения журналов (п. 6.4). [С1]

6.4. Журналы ПЭП (Правила использования ПЭП — приложение к Пользовательскому соглашению) хранятся как доказательства совершения юридически значимых действий в течение срока исковой давности по соответствующим обязательствам.

6.5. По достижении целей или отзыве согласия (при отсутствии иных оснований) ПДн удаляются или обезличиваются в срок, установленный 152-ФЗ.

7.1. Платформа использует строго необходимые cookies (функционирование, безопасность, сессия) — на основании п. 7 ч. 1 ст. 6 152-ФЗ (для авторизованных пользователей — также исполнение договора), и необязательные (аналитические, функциональные — предпочтения интерфейса) — на основании согласия, управляемого в интерфейсе. Аналитические cookies используются, в частности, сервисом Яндекс.Метрика (п. 4А.1 «а») для сбора обезличенной статистики.

7.2. По умолчанию необязательные cookies отключены до получения согласия; выбор пользователя сохраняется и журналируется.

7.3. Детальный перечень cookies (имена, категории, сроки, поставщики) и порядок управления согласием установлены отдельной Политикой использования cookies; при изменении состава cookies обновляется указанная Политика.

8.1. Субъект вправе: получать сведения об обработке своих ПДн; требовать уточнения, блокирования или уничтожения неполных/неточных/незаконно обрабатываемых данных; отозвать согласие; обжаловать действия Оператора в Роскомнадзор или суд (ст. 14, 21 152-ФЗ).

8.2. Запросы направляются на support@tilbi.ru либо через форму в ЛК; Оператор отвечает в сроки, установленные 152-ФЗ.

8.3. Отзыв согласия и требование удаления исполняются, если отсутствуют иные законные основания продолжения обработки (исполнение договора, требования закона, защита прав оператора — раздел 6).

8.4. В отношении данных, обрабатываемых Партнёром как самостоятельным оператором (п. 4.2), запросы субъект направляет соответствующему Партнёру; Оператор оказывает содействие в маршрутизации.

9.1. Оператор вправе изменять Политику; актуальная редакция публикуется на Платформе.

9.2. Согласие на обработку ПДн даётся при создании аккаунта отдельным документом — Согласием на обработку персональных данных — и фиксируется в порядке, установленном Правилами использования ПЭП. Настоящая Политика публикуется на Платформе для ознакомления и отдельного принятия не требует.

9.3. Политика — неотъемлемая часть договорной обвязки Платформы.

---