Политика обработки персональных данных

Политика определяет, как обрабатываются и защищаются персональные данные в сервисе KIZWAY (веб-интерфейс и Telegram-бот Сервиса, далее — «Сервис»). Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), общедоступна и открывается в Сервисе без входа. Термины используются в значении статьи 3 152-ФЗ.

1. Оператор

Индивидуальный предприниматель Долгов Николай Сергеевич, ИНН 165127191099, ОГРНИП 322169000001475, адрес для корреспонденции: 426034, Удмуртская Республика, г. Ижевск, ул. Удмуртская, д. 264а, кв. 38, электронная почта: support@kizway.ru (далее — «Оператор»). Ответственный за организацию обработки персональных данных (статья 18.1 152-ФЗ) — сам Оператор.

2. Правовые основания

• согласие субъекта (пункт 1 части 1 статьи 6, статья 9 152-ФЗ), которое даётся отдельным документом — согласием на обработку персональных данных;
• исполнение договора, стороной которого является субъект или представляемая им организация (пункт 5 части 1 статьи 6 152-ФЗ), — Оферты;
• исполнение обязанностей, возложенных законом: о маркировке товаров, бухгалтерском и налоговом учёте, применении контрольно-кассовой техники;
• законные интересы Оператора — безопасность Сервиса и доказательство принятых условий — при соблюдении прав субъекта.

3. Цели

• регистрация, вход и разграничение доступа к кабинету;
• исполнение договора: работа Разделов, формирование, подписание средствами Пользователя и направление документов в ГИС МТ и операторам электронного документооборота;
• сервисные уведомления — о сроках, ответах ГИС МТ, ошибках и оплате, в том числе в Telegram;
• приём оплаты, выставление счетов и кассовых чеков;
• поддержка и разбор обращений;
• безопасность и стабильность Сервиса, фиксация факта и редакции принятых документов;
• информационные и рекламные сообщения — только при отдельном согласии на рассылку.

4. Чьи данные и какие

Субъекты — пользователи Сервиса: владельцы кабинетов (индивидуальные предприниматели, руководители и представители организаций) и их сотрудники, а также владельцы сертификатов электронной подписи, которыми выполняется вход в ГИС МТ.

• Учётные данные: логин, имя или иное обозначение, адрес электронной почты (если указан), пароль — только в виде необратимого хеша, роль в кабинете.
• Telegram: идентификатор чата при добровольной привязке; при входе через Telegram — также имя пользователя (username) и имя, которые передаёт Telegram.
• Сведения об организации: наименование, ИНН, КПП, адрес места осуществления деятельности (идентификатор ФИАС) — для индивидуального предпринимателя это его персональные данные.
• Электронная подпись: сведения сертификата — фамилия, имя, отчество владельца, ИНН, срок действия, издатель. Закрытый ключ подписи Оператору не передаётся и не хранится.
• Оплата: реквизиты плательщика для счёта; при оплате картой — маскированный номер и идентификатор способа оплаты. Полные данные карты обрабатывает Платёжный сервис.
• Технические данные: IP-адрес и сведения о браузере при входе и принятии документов, журнал действий в кабинете (события по кодам и документам), служебный файл cookie сессии.

Оператор не запрашивает у маркетплейсов персональные данные покупателей, не обрабатывает специальные категории и биометрические персональные данные.

Токены доступа маркетплейсов и сессии ГИС МТ персональными данными не являются, но считаются конфиденциальной информацией: хранятся в зашифрованном виде и используются только для функций Сервиса.

5. Как обрабатываются

5.1. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение — с использованием средств автоматизации и без них.

5.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся в базах данных на территории Российской Федерации (часть 5 статьи 18 152-ФЗ) — на серверах в России либо на оборудовании самого Пользователя, если Сервис установлен у него.

5.3. Меры защиты (статья 19 152-ФЗ): шифрование токенов и сессий; разделение данных разных кабинетов; разграничение прав сотрудников; журналы действий без секретных значений; ограничение попыток входа; доступ Оператора к данным кабинета — только для устранения неисправности и по обращению Пользователя.

5.4. О неправомерной передаче персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 152-ФЗ.

6. Cookies

Сервис использует только служебный файл cookie, без которого не работает вход: он хранит сессию в подписанном виде. Рекламных и аналитических счётчиков третьих лиц в Сервисе нет.

7. Кому передаются

Оператор не продаёт персональные данные и передаёт их только тем, без кого не работает Сервис, и в объёме конкретной операции:

• ООО «Оператор-ЦРПТ» (ГИС МТ «Честный ЗНАК», ЭДО Лайт) — документы о выводе из оборота, возврате в оборот и УПД по поручению Пользователя; Россия;
• маркетплейсы (Wildberries, Ozon) — запросы к кабинету Пользователя по его поручению с его Токеном; Россия;
• АО «ТБанк» (сервис «Т-Касса») — приём оплаты картой и кассовые чеки; Россия;
• хостинг-провайдер — размещение Сервиса по поручению Оператора; Россия;
• Telegram — канал уведомлений и входа, который Пользователь выбирает сам. Серверы Telegram находятся за пределами России; Сервис передаёт туда только идентификатор чата и тексты уведомлений, а учётные данные хранит в своей базе в России. Без привязки Telegram Сервис работает полностью.

Обработчики, действующие по поручению Оператора, обязаны соблюдать конфиденциальность и требования 152-ФЗ.

8. Сроки

8.1. Учётные и рабочие данные хранятся в течение действия договора и 3 лет после его прекращения: документы о маркировке могут понадобиться при проверке. Записи о принятии документов — столько же. Платёжные и учётные документы — в сроки налогового и бухгалтерского законодательства.

8.2. По достижении целей, по окончании сроков или при отзыве согласия (если нет иного основания) данные уничтожаются в течение 30 дней, если закон не устанавливает иной срок.

9. Права субъекта

Субъект вправе получить сведения об обработке своих данных (часть 7 статьи 14 152-ФЗ): подтверждение обработки, её основания, цели и способы, сведения об Операторе и о лицах, которым данные раскрываются, перечень данных и источник их получения, сроки обработки и хранения, порядок осуществления прав, сведения об обработчиках. Субъект вправе требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных, отозвать согласие и защищать свои права в Роскомнадзоре и суде.

10. Как обратиться

10.1. Запрос направляется на support@kizway.ru или почтой по адресу Оператора. В запросе указываются данные документа, удостоверяющего личность субъекта или представителя, сведения, подтверждающие отношения с Оператором (например, логин кабинета), и подпись — собственноручная или электронная.

10.2. Оператор отвечает в течение 10 рабочих дней с получения запроса; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением.

10.3. Согласие отзывается так же — заявлением Оператору. После отзыва обработка прекращается, а данные уничтожаются в срок пункта 8.2, если нет иного основания обработки (часть 2 статьи 9 152-ФЗ).

11. Изменения

Новая редакция Политики размещается в Сервисе по этому же адресу с датой и вступает в силу с момента размещения.