Настоящая Политика составлена в соответствии с пунктом 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Индивидуальный предприниматель Сидоркин Никита Игоревич (далее — «Оператор»).
Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Надзор за обработкой персональных данных осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Субъект персональных данных вправе обжаловать действия или бездействие Оператора в Роскомнадзор (rkn.gov.ru) или в судебном порядке.
1. Основные понятия
- Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
- Обработка персональных данных — любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без таковых: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
- Субъект — физическое лицо, к которому относятся обрабатываемые персональные данные.
2. Категории субъектов и обрабатываемые данные
Оператор обрабатывает данные следующих категорий субъектов:
- Покупатели и Заказчики: фамилия, имя, отчество; адрес электронной почты; номер телефона; город; адрес доставки; профиль пользователя; история заказов и заявок; сведения об оплате и платёжные идентификаторы (через платёжную инфраструктуру — без хранения данных карт на серверах Оператора); статусы платежей и сделок; идентификатор привязанного Telegram-аккаунта;
- Магазины, Специалисты, бригады и сервисы (Исполнители): тип лица (физическое лицо, самозанятый, ИП, ООО); наименование/ФИО; ИНН; ОГРН/ОГРНИП; адрес/регион; email; телефон; данные профиля и портфолио; реквизиты для выплат; документы, представленные для проверки (верификации); статус, дата и результат проверки;
- Загружаемый и создаваемый контент: переписка в чате; отзывы; загруженные файлы, фотографии, сметы и списки материалов; объявления, заявки и отклики;
- Платёжные и технические события: платёжные идентификаторы, статусы вебхуков платёжного партнёра, события и логи безопасности (журналы доступа и операций);
- Посетители сайта: технические данные — IP-адрес, информация о браузере (user-agent) и устройстве, данные cookie/сессии (см. Политику cookie).
Оператор применяет автоматизированную обработку загруженных материалов — смет, списков материалов, фотографий и текстов обращений — для поиска, подбора, расчёта и работы внутренних алгоритмов Площадки (подробнее — раздел 7.1).
3. Цели обработки
- регистрация и авторизация Пользователей;
- работа Площадки и оказание услуг информационного посредничества, описанных в Пользовательском соглашении;
- размещение товаров, профилей и заявок, поиск и подбор;
- связь Пользователей между собой (чат, отклики, заявки);
- заключение и исполнение сделок между Пользователями;
- проведение расчётов по собственным платным услугам Оператора (тарифы, продвижение, платные отклики);
- обеспечение работы сервиса «Безопасная сделка» и проведение расчётов через платёжного партнёра — при использовании этого сервиса (когда он доступен);
- формирование кассовых чеков по платным услугам Оператора (54-ФЗ);
- верификация Магазинов и Исполнителей в целях безопасности сделок;
- модерация контента и противодействие мошенничеству (антифрод);
- поддержка Пользователей и обработка обращений;
- уведомления о статусе заказов/заявок и изменениях в работе Площадки (e-mail, Telegram, push);
- аналитика и улучшение качества сервиса (в обезличенном виде);
- исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (налоговые, бухгалтерские, в области электронной коммерции).
4. Правовые основания обработки
Обработка персональных данных осуществляется на основании:
- пункта 1 части 1 статьи 6 Закона — согласие субъекта на обработку его персональных данных, выраженное при регистрации;
- пункта 5 части 1 статьи 6 Закона — обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект;
- пункта 2 части 1 статьи 6 Закона — обработка необходима для достижения целей, предусмотренных международным договором или законом, для осуществления и выполнения возложенных законодательством Российской Федерации функций, полномочий и обязанностей;
- части 1 статьи 10.1 Закона — обработка персональных данных, разрешённых субъектом для распространения, на основании отдельного согласия.
5. Принципы обработки
Оператор обрабатывает персональные данные на законной и справедливой основе, в рамках конкретных, заранее определённых целей. Объём обрабатываемых данных соответствует заявленным целям; не допускается их избыточность.
6. Сроки хранения
Персональные данные хранятся до достижения целей обработки или в течение сроков, установленных законодательством Российской Федерации (в том числе для целей бухгалтерского и налогового учёта — не менее 5 лет). По истечении срока хранения данные подлежат уничтожению или обезличиванию. Учётные записи неактивных пользователей хранятся в течение 3 (трёх) лет с момента последней активности.
7. Передача персональных данных
Оператор не передаёт персональные данные третьим лицам, за исключением случаев:
- передачи данных стороне сделки (Магазину или Специалисту) в объёме, необходимом для исполнения договора; получатель в отношении переданных ему данных становится самостоятельным оператором персональных данных и обрабатывает их под свою ответственность;
- передачи данных Платёжному партнёру — платёжный партнёр (юр-название уточняется до запуска приёма платежей) — в целях проведения расчётов между Пользователями по сервису «Безопасная сделка», и операторам фискальных данных для формирования кассовых чеков в соответствии с Федеральным законом от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники»;
- передачи данных по запросу государственных органов в порядке, установленном законодательством Российской Федерации;
- передачи обезличенных данных партнёрам-аналитикам в целях улучшения качества сервиса.
- передачи фрагментов обращений Пользователя в облачные AI-сервисы для распознавания речи, извлечения текста из изображений и автоматического разбора смет — по списку поставщиков и составу данных см. раздел 7.1 ниже.
7.1. Использование AI-сервисов
Оператор использует облачные сервисы для автоматизации: распознавания речи (голосовой ввод заявок), оптического распознавания текста (фото смет, счетов), разбора структуры обращений и предложения шаблонных ответов в чате. Поставщик — ООО «Яндекс.Облако» (Yandex Cloud, ИНН 7704414297, ЦОД на территории Российской Федерации).
Передаются только те фрагменты обращений, которые необходимы для конкретной операции:
- Распознавание речи — аудио-файл с голосовым вводом (Yandex SpeechKit).
- Извлечение текста — изображение, загруженное Пользователем для разбора (Yandex Vision).
- Разбор смет и AI-помощник — текст обращения или содержимое загруженного документа без идентификаторов Пользователя (YandexGPT).
Имя, телефон, email, паспортные данные, СНИЛС, ИНН Пользователя в запросы к AI-сервисам не включаются. Если такие данные случайно попали в текст обращения (например, в смете) — они автоматически маскируются до отправки.
Передача данных указанным поставщикам осуществляется в рамках поручения Оператора на обработку (часть 3 статьи 6 Закона): поставщик действует по поручению и инструкциям Оператора, обязан соблюдать конфиденциальность и требования к безопасности персональных данных и не вправе использовать их в собственных целях. Биометрические персональные данные (например, для сверки изображения лица) и специальные категории персональных данных Оператор не обрабатывает; при изменении этого порядка будет получено отдельное согласие.
Запросы и ответы не используются поставщиком для обучения моделей (см. соглашение об уровне сервиса Yandex Cloud). Срок хранения логов запросов на стороне поставщика — согласно его политике, обычно не более 30 дней.
Воспользоваться AI-функциями или нет, решает Пользователь: основная функциональность Площадки доступна без голосового ввода и загрузки фото.
Трансграничная передача персональных данных не осуществляется. Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах, расположенных на территории Российской Федерации (часть 5 статьи 18 Закона).
8. Права субъекта персональных данных
В соответствии со статьями 14–17 Закона субъект вправе:
- получать информацию об обработке своих персональных данных;
- требовать уточнения, блокирования или уничтожения данных;
- отзывать согласие на обработку персональных данных;
- обжаловать действия или бездействие Оператора в Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в суде.
Для реализации указанных прав направьте обращение по адресу privacy@stroybord.ru. Срок ответа — 10 (десять) рабочих дней с момента получения обращения, с возможностью продления в случаях, предусмотренных Законом, с уведомлением субъекта.
Отзыв согласия. Пользователь вправе отозвать согласие на обработку персональных данных, направив обращение по адресу выше. После отзыва Оператор прекращает обработку и уничтожает персональные данные в срок не более 30 дней, за исключением данных, обработка которых продолжается на ином законном основании (исполнение договора, требования налогового и бухгалтерского учёта, защита прав в суде).
Автоматизированные решения. Часть операций Площадки выполняется автоматически (модерация, антифрод-ограничения, ранжирование, подбор). Пользователь вправе возражать против решения, порождающего юридические последствия в отношении него и принятого исключительно на основе автоматизированной обработки персональных данных, и требовать его пересмотра с участием Оператора (статья 16 Закона) — через поддержку или адрес выше.
9. Меры защиты
Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий (статья 19 Закона). Меры включают: шифрование данных при передаче (TLS 1.2+), хранение паролей в виде хешей, разграничение доступа сотрудников, журналирование операций с персональными данными.
При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор: о факте инцидента — в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Закона), а также взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) в установленном порядке.
10. Обратная связь
По вопросам обработки персональных данных и реализации прав субъекта — privacy@stroybord.ru. Письма направляются на юридический адрес Оператора, указанный выше.
Уполномоченным органом по защите прав субъектов персональных данных является Роскомнадзор: rkn.gov.ru.