Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика описывает, как обрабатываются персональные данные при использовании онлайн-сервиса SellMetric (далее – Сервис): какие данные, для чего, на каком основании, сколько они хранятся и как защищены. Сервис доступен на сайте sellmetric.ru, его поддоменах (в том числе app.sellmetric.ru) и через чат-боты SellMetric.

1.2. Оператор персональных данных – индивидуальный предприниматель Авдалян Даниэль Грантович, ОГРНИП 323774600821318, ИНН 772919454671 (далее – Оператор). Адрес электронной почты для вопросов о персональных данных – info@sellmetric.ru.

1.3. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон) и опубликована во исполнение ч. 2 ст. 18.1 Закона. Термины используются в значениях, установленных Законом. Пользователь – лицо, зарегистрировавшее учётную запись в Сервисе.

1.4. Политика распространяется на Пользователей, посетителей сайта, лиц, которые обращаются к Оператору, и лиц, сведения о которых Пользователи вносят в Сервис или загружают из маркетплейсов.

1.5. Действующая редакция Политики опубликована на странице sellmetric.ru/privacy.

2. Какие данные обрабатываются

2.1. Учётная запись: адрес электронной почты, имя (если Пользователь его указал), пароль, даты регистрации и последней активности. Пароль хранится только в виде необратимого хеша: Оператор не видит его и не может восстановить.

2.2. Данные маркетплейсов. Для аналитики Пользователь подключает свой магазин на маркетплейсе с помощью API-ключа. При этом:

• Сервис получает сведения о работе магазина в объёме, необходимом для расчётов и аналитики;
• Пользователь отвечает за правомерность подключения магазина и передачи API-ключа Оператору;
• Данные, получаемые через API маркетплейса, не содержат персональных данных покупателей – только обезличенную статистику;
• Оператор обрабатывает данные маркетплейса исключительно в целях предоставления функционала Сервиса конкретному Пользователю и не передаёт их третьим лицам.

2.3. Сведения, которые вносит Пользователь: данные для расчётов и комментарии. Пользователь вносит их по своему усмотрению, Оператор их не проверяет и не передаёт третьим лицам. Если в этих сведениях есть персональные данные других лиц, Пользователь подтверждает, что у него есть согласие этих лиц или иное законное основание.

2.4. Обращения в поддержку. Оператор может обрабатывать адрес электронной почты отправителя и содержание сообщения, а также:

• при обращении в Сервисе – тему обращения, сообщения по нему и приложенные файлы, а также техническую информацию, которую Сервис собирает автоматически: адрес страницы, версию Сервиса, сведения о браузере, операционной системе и типе устройства, ширину окна и номер сеанса входа, а к сообщениям об ошибке – последнюю ошибку на странице и до пяти последних неудачных запросов;
• при обращении в чат-бот поддержки в Telegram – имя и имя пользователя в Telegram, идентификатор чата, а если чат-бот открыт из Сервиса, – связь чата с учётной записью.

2.5. Уведомления и рассылки. Оператор может направлять Пользователю сообщения двух видов:

• Служебные уведомления о работе Сервиса, безопасности и оплате – без отдельного согласия, в рамках договора с Пользователем: в Сервисе, по электронной почте, а если Пользователь подключил чат-бот SellMetric, – в Telegram;
• Рекламные рассылки о новостях, акциях и специальных предложениях Сервиса – по электронной почте и в Telegram, только с отдельного согласия Пользователя. Это согласие не обязательно для работы с Сервисом, его можно отозвать в любой момент (п. 6.1).

2.6. Безопасность. Сервис автоматически ведёт журнал действий с учётной записью (аудит-лог): входы, попытки входа и другие значимые действия. В журнале фиксируются адрес электронной почты, IP-адрес, сведения о браузере, дата и время действия. Журнал нужен для защиты от несанкционированного доступа и разрешения споров. Также обрабатываются сведения о сеансах входа: IP-адрес, браузер, даты входа и последнего посещения.

2.7. Оплата. Реквизиты банковских карт Оператором не собираются и не хранятся. Оператор обрабатывает сведения о платеже (тариф, сумма, дата, статус) и адрес электронной почты для кассового чека, а при оплате по счёту – реквизиты плательщика: наименование или ФИО, ИНН и адрес.

2.8. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные.

3. Цели, основания и сроки

3.1. Оператор обрабатывает персональные данные для следующих целей и на следующих основаниях:

• Работа учётной записи и функций Сервиса (пп. 2.1–2.3) – договор с Пользователем, заключённый на условиях публичной оферты (п. 5 ч. 1 ст. 6 Закона). Для сведений о других лицах, которые вносит Пользователь, – законный интерес Пользователя вести учёт своего бизнеса (п. 7 ч. 1 ст. 6 Закона).
• Ответы на обращения и исправление ошибок (п. 2.4) – договор; если обратившийся ещё не Пользователь, – заключение договора по его инициативе (п. 5 ч. 1 ст. 6 Закона); в остальных случаях, в том числе после удаления учётной записи, – законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона).
• Служебные уведомления (п. 2.5) – договор.
• Рекламные рассылки (п. 2.5) – отдельное согласие (п. 1 ч. 1 ст. 6 и ст. 15 Закона, ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).
• Защита учётных записей и Сервиса, разрешение споров (п. 2.6) – законный интерес Оператора и обязанность обнаруживать несанкционированный доступ к данным и вести учёт действий с ними (пп. 2 и 7 ч. 1 ст. 6, пп. 6 и 8 ч. 2 ст. 19 Закона).
• Оплата услуг: приём платежей, счета и кассовые чеки (п. 2.7) – договор (п. 5 ч. 1 ст. 6 Закона).
• Статистика посещений сайта (раздел 7) – согласие (п. 1 ч. 1 ст. 6 Закона).
• Исполнение требований законодательства: хранение платёжных документов, ответы на запросы о персональных данных, подтверждение удаления данных – обязанности, установленные законом (п. 2 ч. 1 ст. 6, ст. 14, 20 и 21 Закона, пп. 8 п. 1 ст. 23 Налогового кодекса РФ, Требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179).

Для целей, связанных с работой учётной записи и Сервиса (пп. 2.1–2.7, кроме рекламных рассылок), Пользователь также даёт согласие на обработку персональных данных при регистрации (п. 1 ч. 1 ст. 6 Закона).

После отзыва согласия или ответа на запрос Оператор хранит записи о них, чтобы подтвердить их при споре, – законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона).

3.2. Сроки хранения:

• учётная запись и сведения, которые вносит Пользователь, – до удаления учётной записи; при неактивности учётная запись удаляется через 12 месяцев с момента последней активности (п. 3.3); незавершённая регистрация – 7 дней после отправки последнего кода;
• данные маркетплейсов – до удаления магазина или учётной записи; при неактивности они удаляются через 120 дней с момента последней активности (п. 3.3), кроме сведений о товарах;
• обращения в Сервисе – 90 дней после закрытия обращения или удаления учётной записи;
• уведомления в Сервисе – 120 дней; подключение чат-бота к учётной записи – до его отключения или удаления учётной записи;
• данные для рассылок – до отзыва согласия или удаления учётной записи; данные статистики посещений – до отзыва согласия; запись о согласии и его отзыве – 3 года после отзыва;
• журнал действий (аудит-лог) и другие сведения для защиты учётных записей – не дольше 6 месяцев, в том числе после удаления учётной записи;
• платёжные документы и данные кассовых чеков – 5 лет;
• запросы о персональных данных и ответы на них – 3 года после ответа.

3.3. Порядок удаления данных при неактивности Пользователя установлен публичной офертой.

3.4. После удаления учётной записи данные, хранение которых обусловлено требованиями законодательства, сохраняются в течение установленных законом сроков.

3.5. При отзыве согласия, требовании об удалении или достижении целей обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, если иное не предусмотрено законом.

4. Как обрабатываются данные

Обработка автоматизированная: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) в случаях из раздела 5, блокирование, удаление и уничтожение. Распространение (публикация) персональных данных не осуществляется.

5. Хранение и передача данных

5.1. Данные хранятся на серверах в России. Доступ к базам данных Сервиса есть только у Оператора. Оператор не продаёт данные и не передаёт их третьим лицам, кроме компаний, услугами которых он пользуется для работы Сервиса (п. 5.2), и случаев, когда этого требует закон, – например, по запросу суда или государственного органа.

5.2. Оператор пользуется услугами компаний:

• АО «Селектел» (Россия) – хостинг и объектное хранилище (VPS + S3-совместимое хранилище), отправка e-mail уведомлений Сервиса;
• ООО «Регистратор доменных имён РЕГ.РУ» (Россия) – почта info@sellmetric.ru: получение и отправка писем;
• ООО «Яндекс» (Россия) – Яндекс Метрика, веб-аналитика посещаемости сайта sellmetric.ru: поведенческие данные и cookie, серверы в России, политика конфиденциальности Яндекса – https://yandex.ru/legal/confidential/ (раздел 7);
• платёжный сервис и оператор фискальных данных – приём оплаты и кассовые чеки.

5.3. Для обеспечения функционирования чат-ботов Сервис использует Telegram. Подключение чат-бота к учётной записи и его использование осуществляются Пользователем добровольно, по собственной инициативе. Оператор не передаёт персональные данные в Telegram проактивно – данные получаются от Пользователя в рамках его взаимодействия с чат-ботом. Использование чат-ботов не является обязательным условием доступа к Сервису: основные функции, включая обращение в службу поддержки и получение уведомлений, доступны также через интерфейс Сервиса и электронную почту.

5.4. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России ведутся с использованием баз данных на территории России (ч. 5 ст. 18 Закона). Трансграничная передача персональных данных Оператором не осуществляется.

6. Права субъектов персональных данных

6.1. Каждый, чьи персональные данные обрабатывает Оператор, вправе:

• получить информацию об обработке своих персональных данных;
• потребовать уточнить, заблокировать или удалить их, а также прекратить их обработку;
• отозвать согласие, если обработка ведётся на его основании, в том числе отказаться от рекламных рассылок по ссылке «Отписаться» в сообщении рассылки и от аналитических cookie по ссылке «Настройки cookie» внизу страницы сайта;
• удалить учётную запись в разделе «Настройки»;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

6.2. Для реализации прав запрос направляется на info@sellmetric.ru. Оператор отвечает в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с указанием причины.

7. Cookie-файлы

7.1. Сервис использует cookie-файлы – небольшие файлы, которые сайт сохраняет в браузере. При первом посещении сайта отображается баннер о cookie.

7.2. Типы cookie:

• Обязательные (сессионные) – авторизация и безопасность сессии. Необходимы для работы Сервиса. Отключение невозможно без нарушения функционала. Срок: не более 30 дней.
• Функциональные – запоминание настроек интерфейса (выбранный магазин, вид меню) и выбора в баннере cookie. Срок: до 1 года.
• Аналитические (Яндекс Метрика) – статистика посещаемости сайта sellmetric.ru. Устанавливаются только с согласия посетителя. Срок: до 1 года.

7.3. Управление cookie осуществляется в настройках браузера. Отключение обязательных cookie приводит к невозможности авторизации. Согласие на аналитические cookie можно отозвать в любой момент (п. 6.1).

7.4. Яндекс Метрика (ООО «Яндекс») обрабатывает данные по поручению Оператора: cookie, IP-адрес, сведения о браузере и устройстве, действия на сайте. Оператор использует эти сведения в обобщённом виде, чтобы улучшать сайт, и хранит запись о согласии посетителя и его отзыве.

8. Защита данных

Оператор принимает правовые, организационные и технические меры защиты персональных данных (ст. 19 Закона), в том числе:

• сеансы и одноразовые коды, как и пароли, хранятся только в виде хешей;
• ведётся журнал действий с учётной записью (аудит-лог);
• API-ключи маркетплейсов хранятся в зашифрованном виде и в интерфейсе показываются частично скрытыми;
• данные передаются по защищённым соединениям;
• данные разных учётных записей разделены на уровне базы данных;
• работают защита от подбора пароля и ограничение частоты запросов;
• доступ к серверам ограничен;
• резервные копии нужны только для восстановления после сбоя и хранятся не дольше 7 дней; если данные приходится восстанавливать из копии, удалённые ранее сведения удаляются повторно.

Если данные станут доступны посторонним, Оператор сообщит об этом в Роскомнадзор в течение 24 часов, о результатах расследования – в течение 72 часов (ч. 3.1 ст. 21 Закона), а также лицам, которых это затронуло.

9. Изменения Политики

Оператор может обновлять Политику, например при появлении новых функций Сервиса. Новая редакция действует с момента публикации на странице sellmetric.ru/privacy. О существенных изменениях Оператор сообщает Пользователям в Сервисе или по электронной почте.