Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных Индивидуальный предприниматель Владимиров Кирилл Валентинович (далее — «Оператор») при работе сайта https://shopyflow.ru, кабинета ShopyFlow, API, Telegram Mini App и связанных функций.

1.2. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149‑ФЗ «Об информации, информационных технологиях и о защите информации» и иными применимыми актами.

1.3. Политика доступна без ограничений на страницах, где собираются данные. Она применяется к данным посетителей сайта, владельцев магазинов, их представителей и сотрудников, а также к обращениям в поддержку. В отношении данных покупателей магазинов Оператор обычно действует не как самостоятельный оператор, а как лицо, обрабатывающее данные по поручению соответствующего магазина.

2. Принципы обработки

законность, справедливость и ограничение обработки заранее определёнными целями;
минимизация состава и объёма данных;
точность, достаточность и возможность актуализации;
раздельная обработка данных, собранных для несовместимых целей;
хранение не дольше, чем требуют цели, договор или закон;
уничтожение либо обезличивание после достижения целей;
обеспечение конфиденциальности и безопасности.

Оператор не обрабатывает биометрические данные и специальные категории данных о здоровье, политических, религиозных или философских убеждениях, интимной жизни и судимости в рамках стандартной работы ShopyFlow. Пользователям запрещено загружать такие данные без отдельного письменного согласования и законного основания.

3. Цели, субъекты и состав данных

3.1. Посещение сайта и безопасность

Субъекты: посетители сайта и пользователи интерфейсов. Данные: IP‑адрес, дата и время запроса, адрес страницы, идентификаторы сессии, сведения о браузере, устройстве и операционной системе, технические события и ошибки. Цели: доставка сайта, защита от атак, диагностика, обеспечение устойчивости и расследование инцидентов. Основания: законный интерес Оператора в безопасной работе информационной системы и исполнение Пользовательского соглашения.

3.2. Регистрация и управление аккаунтом

Субъекты: владельцы магазинов, их представители и сотрудники. Данные: имя или отображаемое имя, email, хэш пароля, идентификатор пользователя, роли и права, сведения о магазине, история входов, действий и принятия юридических документов. Цели: создание аккаунта, аутентификация, управление доступом, исполнение договора, поддержка и подтверждение юридически значимых действий. Основания: заключение и исполнение договора, согласие в применимых случаях, исполнение требований закона и законный интерес в защите прав сторон.

3.3. Telegram и работа магазина

При подключении Telegram могут обрабатываться Telegram ID, имя, фамилия, username, фото профиля, идентификаторы чатов и сообщения, необходимые для авторизации, уведомлений и поддержки. Обрабатываются только данные, которые пользователь или магазин передал через Telegram и которые необходимы для выбранной функции.

3.4. Договор, оплата подписки и поддержка

Данные: ФИО и должность представителя, контактные данные, реквизиты организации или предпринимателя, сведения о тарифе, платежах и расчётах, переписка, обращения и вложения. Банковские реквизиты карты обрабатываются платёжным провайдером и не должны храниться в ShopyFlow. Цели: заключение и исполнение договора, расчёты, бухгалтерский и налоговый учёт, поддержка и разрешение претензий. Основания: договор и обязанности, установленные законом.

3.5. Данные покупателей и сотрудников магазина по поручению

В зависимости от функций Магазина могут обрабатываться имя, Telegram ID и username, email, телефон, город, страна, адрес доставки, состав и статус заказа, выбранный способ оплаты и доставки, сообщения поддержки, роль сотрудника и журнал действий. Цели, состав и основания определяет магазин как оператор. ShopyFlow действует по его документированному поручению на условиях Соглашения об обработке данных.

4. Действия с данными и способы обработки

Оператор осуществляет сбор, получение, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа, передачу определённому получателю, блокирование, удаление, уничтожение и обезличивание. Обработка ведётся автоматизированно и смешанным способом с передачей по внутренней сети и сети Интернет.

Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки. Антифрод- и защитные механизмы могут временно ограничить сессию; такое решение можно оспорить через поддержку.

5. Сроки хранения

данные аккаунта — в течение срока его действия и до трёх лет после прекращения договора;
сведения о принятии документов — срок договора и три года после его прекращения;
переписка и обращения — до трёх лет после закрытия обращения;
журналы безопасности и технические события — до 12 месяцев, если инцидент не требует большего срока;
бухгалтерские и налоговые документы — не менее сроков, установленных законодательством РФ;
данные по поручению магазина — срок договора и период удаления, указанный в приложении к Оферте;
данные на основании согласия — до отзыва согласия или достижения цели, смотря что наступит раньше.

По окончании срока данные уничтожаются или обезличиваются, если их дальнейшее хранение не требуется для исполнения закона, судебного акта или защиты прав Оператора и третьих лиц.

6. Получатели и поручение обработки

Минимально необходимые данные могут получать:

поставщики хостинга, резервного копирования и технической инфраструктуры в РФ;
поставщики email и технических уведомлений;
Telegram — при использовании ботов, Mini App и Telegram-уведомлений;
Т‑Банк, Prodamus, 1Payment или иной выбранный магазином платёжный сервис;
СДЭК или иной выбранный магазином поставщик доставки;
МойСклад или иной выбранный магазином сервис учёта;
государственные органы — только в случаях и порядке, предусмотренных законом.

Конкретный получатель зависит от настроек и договора магазина. Лица, обрабатывающие данные по поручению Оператора, обязуются соблюдать конфиденциальность, требования локализации и безопасности, обрабатывать данные только в согласованных целях и удалять их после прекращения поручения.

Оператор не продаёт персональные данные и не раскрывает их неопределённому кругу лиц. Публикация имени, отзывов или иных данных осуществляется только при наличии отдельного законного основания, а когда требуется — отдельного согласия на распространение.

7. Локализация и трансграничная передача

При сборе персональных данных граждан РФ через Интернет Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации, за исключением прямо предусмотренных законом случаев.

Использование Telegram или иной зарубежной интеграции может повлечь трансграничную передачу. Она допускается только после выполнения требований статьи 12 Закона № 152‑ФЗ, включая отдельное уведомление Роскомнадзора, оценку иностранного получателя и наличие законного основания. Если эти требования не выполнены, соответствующая интеграция не должна передавать персональные данные за пределы РФ.

8. Защита персональных данных

С учётом характера данных и актуальных угроз Оператор применяет, в частности:

разграничение доступа по ролям и принцип минимальных привилегий;
аутентификацию, журналирование действий и защиту секретов интеграций;
защищённые каналы связи, резервное копирование и контроль восстановления;
обновление компонентов, устранение уязвимостей и мониторинг событий безопасности;
локальные акты, назначение ответственного и обучение допущенных лиц;
оценку вреда, внутренний контроль и план реагирования на инциденты.

При инциденте Оператор принимает меры по локализации и устранению последствий и уведомляет Роскомнадзор в установленные законом сроки. Магазин, чьи данные затронуты при обработке по поручению, уведомляется без неоправданной задержки.

9. Права субъекта

Субъект вправе:

получить сведения об обработке своих данных и доступ к ним;
потребовать уточнения, блокирования или уничтожения неточных либо незаконно обработанных данных;
отозвать согласие, когда обработка основана на согласии;
возражать против обработки и обжаловать действия Оператора в Роскомнадзор или суд;
потребовать прекратить обработку в целях прямого маркетинга.

Запрос направляется на support@shopyflow.ru или по почтовому адресу Оператора. Укажите ФИО, контакт для ответа, сведения, позволяющие подтвердить отношение к данным, и суть требования. Оператор вправе запросить подтверждение личности, чтобы не раскрыть данные постороннему лицу. Ответ предоставляется в сроки Закона № 152‑ФЗ.

Отзыв согласия не прекращает обработку, которая необходима для исполнения действующего договора, выполнения обязанности по закону или защиты прав в пределах срока исковой давности.

10. Cookie и локальное хранилище

Сведения о строго необходимых идентификаторах сессии, токенах и настройках браузера приведены в Политике cookie и локального хранилища. На сайте показывается баннер с выбором «Принимаю» или «Отклонить»: строго необходимые данные работают всегда, необязательные (аналитика и реклама) — только после согласия «Принимаю». Выбор сохраняется в Local Storage. В текущей редакции рекламные и аналитические cookie не подключены; при их появлении они не будут устанавливаться без согласия через баннер.

11. Изменение Политики

Политика пересматривается при изменении процессов обработки или законодательства. Новая редакция действует с даты публикации. Существенные изменения доводятся до зарегистрированных пользователей через интерфейс или email. Предыдущие редакции сохраняются для подтверждения условий, действовавших в соответствующий период.

12. Сведения об Операторе

Оператор: Индивидуальный предприниматель Владимиров Кирилл Валентинович
ИНН: 026307061102
ОГРН / ОГРНИП: 324028000059466
Адрес: Россия, г. Уфа, ул. Георгия Мушникова, д. 21/5
Email по вопросам данных: support@shopyflow.ru