Политика обработки персональных данных

Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по их защите, принимаемые Индивидуальным предпринимателем Гурковым Владимиром Александровичем (далее — «Оператор»).

1. Общие положения

1.1. Политика применяется ко всем персональным данным, которые Оператор получает в связи с работой сайта supnhop.app, личного кабинета и телеграм-бота Оператора.

1.2. Оператор исходит из принципа минимизации: обрабатываются только данные, необходимые для исполнения договора и требований закона.

1.3. Понятия используются в значениях ст. 3 Федерального закона № 152-ФЗ.

2. Какие данные обрабатываются, цели и основания

2.1. Данные регистрации и учётной записи — адрес электронной почты, идентификатор пользователя, а при регистрации через мессенджер — идентификатор и username аккаунта. Цель — создание и ведение личного кабинета, идентификация покупателя, направление заказов и кодов. Основание — исполнение договора (п. 5 ч. 1 ст. 6 № 152-ФЗ).

2.2. Данные о заказах и балансе — состав и стоимость заказов, история пополнений и списаний, выданные коды и ваучеры. Цель — исполнение договора, подтверждение покупки, рассмотрение претензий и возвратов. Основание — исполнение договора; исполнение обязанностей, возложенных на Оператора законом.

2.3. Данные о платежах — факт, дата, сумма, идентификатор платежа и маскированный (последние цифры) номер карты, поступающие от банка-эквайера. Полные реквизиты карты Оператору не передаются. Цель — подтверждение оплаты, формирование кассового чека, возврат средств. Основание — исполнение договора; требования Федерального закона от 22.05.2003 № 54-ФЗ.

2.4. Данные из обращений в поддержку — адрес электронной почты или идентификатор в мессенджере, содержание обращения и приложенные материалы (например, скриншоты ошибок активации). Цель — рассмотрение обращения, замена товара, возврат средств. Основание — исполнение договора; согласие субъекта, выраженное направлением обращения.

2.5. Технические данные сайта — IP-адрес, тип устройства и браузера, cookie-файлы сессии. Цель — обеспечение работы сайта и безопасности, предотвращение мошеннических операций. Основание — исполнение договора; законный интерес Оператора в защите сервиса.

3. Какие данные Оператор не обрабатывает

3.1. Оператор не запрашивает и не хранит полные реквизиты банковских карт (номер, срок действия, CVV/CVC) — они вводятся на защищённой странице банка-эквайера.

3.2. Оператор не запрашивает паспортные данные, сведения о месте жительства, специальные и биометрические категории персональных данных.

4. Порядок и условия обработки

4.1. Обработка ведётся с соблюдением принципов и правил № 152-ФЗ, с использованием средств автоматизации и без них.

4.2. Обработка и хранение персональных данных граждан РФ осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 № 152-ФЗ).

4.3. Оператор не принимает решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки.

5. Передача данных третьим лицам

5.1. Банк-эквайер — обрабатывает платёжные данные при проведении платежей и возвратов как самостоятельный оператор.

5.2. Поставщики цифровых товаров — для исполнения заказа передаётся минимально необходимый набор данных: наименование и номинал товара, внутренний номер заказа. Персональные данные покупателя поставщикам, как правило, не передаются; если условия конкретного товара требуют передачи данных (например, адрес электронной почты для оформления подписки), покупатель уведомляется об этом до оплаты в карточке товара и предоставляет данные добровольно.

5.3. Провайдеры хостинга и связи — в объёме, необходимом для размещения и работы сервиса, на условиях поручения на обработку (ч. 3 ст. 6 № 152-ФЗ).

5.4. Оператор вправе передавать данные государственным органам по основаниям и в порядке, установленным законодательством РФ.

5.5. Трансграничная передача персональных данных не осуществляется.

6. Сроки хранения

6.1. Данные учётной записи — в течение действия учётной записи и 1 года после её удаления.

6.2. Данные о заказах, платежах и чеках — в течение сроков, установленных налоговым и бухгалтерским законодательством РФ (не менее 5 лет).

6.3. Данные из обращений — в течение срока рассмотрения и 1 года после.

6.4. По достижении целей обработки и при отсутствии иных законных оснований данные уничтожаются или обезличиваются в сроки, установленные законом.

7. Права субъекта персональных данных

7.1. Субъект вправе: получать информацию об обработке своих данных; требовать их уточнения, блокирования или уничтожения; отозвать согласие; обжаловать действия Оператора в Роскомнадзоре или в суде.

7.2. Обращение направляется на support@supnhop.app. Оператор рассматривает его в сроки, установленные № 152-ФЗ.

7.3. Отзыв согласия, необходимого для исполнения договора, влечёт прекращение оказания услуг и обслуживания личного кабинета.

8. Меры защиты и информационная безопасность

8.1. Защищённый канал. Весь обмен данными между устройством пользователя и сайтом supnhop.app, включая личный кабинет, защищён криптографическим протоколом HTTPS (TLS). Сайт доступен исключительно по защищённому соединению; незащищённые запросы переадресуются на HTTPS.

8.2. Платёжные данные. Реквизиты банковских карт вводятся на защищённой платёжной странице банка-эквайера и передаются по защищённому каналу непосредственно банку. Оператор не получает, не обрабатывает и не хранит номер карты, срок действия и код безопасности. Обработка карточных данных производится на стороне банка, соответствующего требованиям международного стандарта безопасности данных индустрии платёжных карт PCI DSS.

8.3. Разграничение доступа. Доступ к персональным данным имеет только Оператор и привлечённые им лица в объёме, необходимом для выполнения их функций, — на основании поручения на обработку и обязательства о конфиденциальности. Доступ к административным интерфейсам защищён паролем и ограничен по сети.

8.4. Организационные и технические меры (ст. 18.1, 19 № 152-ФЗ): назначено лицо, ответственное за организацию обработки персональных данных; приняты локальные акты по обработке и защите данных; ведётся учёт носителей; применяются резервное копирование, антивирусная защита, журналирование действий в административной панели; периодически контролируется принятие мер защиты.

8.5. Реагирование на инциденты. При выявлении неправомерной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 № 152-ФЗ, и принимает меры к устранению последствий.

8.6. Рекомендации пользователю. Не передавайте третьим лицам пароль от личного кабинета и коды подтверждения; сотрудники SupnHOP никогда не запрашивают полный номер карты, CVV/CVC-код, коды из SMS и пароль от личного кабинета. Оплата производится только на страницах домена supnhop.app и платёжной странице банка.

9. Контакты и заключительные положения

9.1. Действующая редакция Политики размещается на сайте supnhop.app. Оператор вправе вносить изменения; новая редакция вступает в силу с момента размещения.

9.2. Вопросы, не урегулированные Политикой, регулируются законодательством РФ.