Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных в сервисе Рефсейлс, доступном по адресу refsales.ru и его поддоменах (далее — «Сервис»). Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Политика применяется ко всем персональным данным, которые Оператор получает при посещении публичных страниц, регистрации, использовании Сервиса и его интеграций, участии в реферальных программах, оформлении заказов, переписке и обращениях в поддержку.

Настоящая Политика является информационным документом и сама по себе не заменяет согласие субъекта персональных данных. Когда обработка требует согласия, Оператор получает его отдельно от иных документов и подтверждений. В остальных случаях обработка осуществляется на основании договора, требований закона или иных оснований, предусмотренных законодательством Российской Федерации.

2. Основные термины

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных. Оператором в рамках настоящей Политики является ИП Конюшкин Константин Александрович.
• Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.
• Пользователь — физическое лицо, использующее Сервис в качестве владельца магазина, сотрудника магазина, партнёра реферальной программы или посетителя публичных страниц сайта.
• Магазин — учётная запись в Сервисе, создаваемая владельцем для управления продажами, заказами, партнёрами и интеграциями.
• Партнёр — физическое лицо, участвующее в реферальной программе магазина и получающее вознаграждение за привлечённые продажи.
• Клиент магазина — физическое лицо, сведения о котором поступают в Сервис от магазина, самого клиента либо через подключённые магазином сайты, мессенджеры, службы доставки и другие интеграции.
• Обработка по поручению — обработка Оператором персональных данных клиентов, партнёров и иных лиц по заданию владельца магазина для предоставления функций Сервиса. В этой части владельцы магазинов самостоятельно определяют цели и правовые основания обработки и обеспечивают информирование субъектов персональных данных.
• AI-функции — функции подготовки ответов, анализа обращений и лидов, поиска по данным магазина, выполнения подтверждённых действий и создания текстовых или медиа-материалов с применением моделей искусственного интеллекта.
• Cookie — небольшой фрагмент данных, сохраняемый браузером пользователя и используемый для обеспечения работы сайта и сохранения пользовательской сессии.

3. Сведения об операторе

По всем вопросам, связанным с обработкой персональных данных, а также для реализации прав субъекта персональных данных пользователь может обратиться по указанному email.

4. Категории субъектов данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетители публичных страниц сайта, включая лиц, заполняющих формы, оставляющих комментарии, реакции или обращения в поддержку;
• зарегистрированные пользователи Сервиса — владельцы магазинов и сотрудники, получившие доступ к рабочему пространству магазина;
• партнёры реферальных программ, подключённые владельцами магазинов к Сервису;
• клиенты магазинов, чьи контактные данные передаются владельцем магазина или поступают автоматически через интеграции (например, заказ из Tilda) — в отношении таких данных Оператор выступает в качестве лица, осуществляющего обработку по поручению владельца магазина.
• представители, сотрудники и контрагенты магазинов, сведения о которых указываются в настройках, заказах, договорах, актах, обращениях или интеграциях.

5. Перечень обрабатываемых данных

5.1. Данные пользователей Сервиса

• фамилия, имя;
• адрес электронной почты;
• номер телефона (если указан пользователем);
• данные учётной записи: логин, парольный хеш, идентификаторы сессии, роль и принадлежность к магазину;
• настройки профиля и уведомлений, сведения о выбранном тарифе и истории подписок, платежей и использования AI-функций;
• сведения, полученные от сервиса авторизации по выбору пользователя, включая идентификатор, имя и адрес электронной почты;
• содержание обращений в поддержку, комментариев в блоге и иной информации, которую пользователь самостоятельно размещает в Сервисе.

5.2. Данные магазина

• название и поддомен магазина, контактные данные, домен;
• сведения о владельце и представителях магазина, юридические, налоговые и банковские реквизиты, используемые в настройках, документах и расчётах;
• параметры и защищённые данные подключений к Tilda, CDEK, Яндекс Доставке, Telegram, MAX, WhatsApp, электронной почте, платёжным и иным сервисам — без хранения полных реквизитов банковских карт пользователей;
• данные реферальных программ, партнёров и начисленных вознаграждений, товары, заказы, автоматизации, справочники и настройки магазина.

5.3. Данные партнёров

• фамилия, имя, отчество, дата рождения, адрес, номер телефона и адрес электронной почты;
• сведения о правовом и налоговом статусе, ИНН, СНИЛС, паспортные данные, ОГРН, ОГРНИП и КПП — когда они необходимы для заключения и исполнения договоров или осуществления выплат;
• банковские и иные платёжные реквизиты, сведения о выплатах, начислениях, удержаниях и чеках налогоплательщика на профессиональный доход;
• оферты, согласия, акты и сведения об их принятии или подписании, включая дату, способ подтверждения, IP-адрес и данные браузера.

5.4. Данные клиентов магазинов и лидов

• имя и фамилия, номер телефона, адрес электронной почты;
• адрес доставки, выбранный пункт выдачи, комментарии к заказу и иные сведения, передаваемые при обращении или оформлении заказа;
• история заказов и оплат, состав, стоимость и статусы заказов, источник обращения, реферальные параметры, заметки и теги;
• содержание переписки, тема и заголовки электронных писем, файлы, изображения, видео, голосовые сообщения и другие вложения;
• идентификаторы пользователей, чатов и сообщений в Telegram, MAX, WhatsApp и электронной почте, необходимые для получения, объединения и доставки сообщений.

5.5. Данные, обрабатываемые AI-функциями

• запросы, инструкции и сообщения пользователей, контекст и история диалогов;
• необходимые для ответа сведения о магазине, товарах, заказах, клиентах и обращениях, получаемые AI-функциями в пределах доступных пользователю прав;
• ответы моделей, результаты вызова инструментов, подтверждения действий, технические журналы и сведения об использовании;
• текстовые описания, исходные материалы и результаты генерации изображений или видео.

AI-функции не предназначены для обработки биометрических, специальных категорий персональных данных или сведений о частной жизни, если такая обработка прямо не предусмотрена законом и настройками конкретного процесса. Пользователю не следует передавать в запросах избыточные персональные данные.

5.6. Технические данные

• IP-адрес, тип и версия браузера, операционная система, язык, разрешение экрана и сведения об устройстве;
• страницы сайта, дата и время посещения, источник перехода, реферальные параметры и действия в интерфейсе;
• идентификаторы сессии, cookie, локальные настройки интерфейса и анонимизированные идентификаторы публичных страниц;
• журналы запросов, действий, ошибок и событий безопасности, а также диагностические записи взаимодействия с интерфейсом с маскированием вводимого текста и чувствительных элементов.

6. Цели и правовые основания обработки

Персональные данные обрабатываются в следующих целях:

• регистрация и аутентификация пользователей, предоставление доступа к Сервису, в том числе через внешние сервисы авторизации, и управление учётной записью;
• исполнение договора на использование Сервиса, включая оплату, подключение и изменение тарифных планов, ведение внутреннего баланса AI-функций и направление обязательных уведомлений;
• предоставление функциональности Сервиса: управление магазинами, заказами, продуктами, реферальными программами, лидами, клиентами, финансами, автоматизациями и документами;
• получение и отправка сообщений через Telegram, MAX, WhatsApp и электронную почту, синхронизация истории и обработка медиавложений;
• подготовка ответов, анализ обращений и лидов, поиск по данным магазина, выполнение разрешённых и подтверждённых действий, генерация материалов и иное предоставление AI-функций;
• подключение служб доставки, платёжных, адресных, SMS- и иных интеграций, выбранных пользователем или необходимых для исполнения договора;
• оформление отношений с партнёрами, формирование и подписание оферт и актов, расчёт вознаграждений, осуществление выплат и исполнение налоговых обязанностей;
• техническая поддержка пользователей и обработка обращений;
• направление уведомлений, связанных с работой Сервиса (сервисные письма, изменение статуса заказа, изменения подписки);
• обеспечение безопасности: предотвращение мошенничества, расследование инцидентов, защита от несанкционированного доступа;
• обеспечение работы публичного блога, учёт просмотров, реакций и комментариев, улучшение качества и стабильности Сервиса;
• исполнение обязанностей, установленных законодательством Российской Федерации.

Правовыми основаниями обработки выступают:

• договор, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также действия, необходимые для заключения такого договора;
• согласие субъекта персональных данных, оформленное отдельно в случаях, когда обработка осуществляется на основании согласия;
• поручение владельца магазина в отношении данных его клиентов, партнёров, сотрудников и иных лиц;
• осуществление прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
• требования законодательства Российской Федерации, включая обязанности в области бухгалтерского и налогового учёта, противодействия злоупотреблениям и рассмотрения обращений.

7. Порядок, способы и сроки обработки

Обработка персональных данных осуществляется смешанным способом — с использованием средств автоматизации и без таковых — и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу в пределах, предусмотренных настоящей Политикой, блокирование, удаление и уничтожение.

Хранение персональных данных осуществляется в базах данных, расположенных на территории Российской Федерации, с соблюдением требований статьи 18 Федерального закона № 152-ФЗ.

Срок обработки зависит от цели и категории данных. Если закон, договор или поручение владельца магазина не требуют иного, применяются следующие правила:

• данные учётной записи, магазина, заказов, клиентов, партнёров, переписки и AI-диалогов хранятся в течение срока использования Сервиса и затем до завершения расчётов, рассмотрения требований и исполнения обязанностей, установленных законом;
• договоры, оферты, акты, платёжные и налоговые сведения хранятся в течение сроков, установленных гражданским, бухгалтерским и налоговым законодательством;
• сформированные AI-медиафайлы во временном хранилище доступны до 24 часов, если пользователь не сохранил их самостоятельно;
• исходные данные входящих уведомлений Tilda, сохранённые для восстановления заказов и расследования ошибок, хранятся до 30 дней;
• уведомления внутри Сервиса хранятся до 90 дней;
• анонимизированный идентификатор посетителя блога хранится в cookie до одного года;
• временные коды, токены и технические состояния удаляются или становятся недействительными после истечения установленного для них срока действия.

Обработка прекращается при наступлении одного из следующих событий:

• достижение целей обработки или утрата необходимости в их достижении;
• удаление учётной записи пользователя и связанных с ней данных по подтверждённому запросу, за исключением сведений, которые необходимо продолжить обрабатывать на другом законном основании;
• отзыв согласия — в отношении операций, основанных на таком согласии, если отсутствует иное законное основание;
• истечение установленных законом сроков хранения.

По достижении целей обработки, а также при отзыве согласия персональные данные уничтожаются либо обезличиваются в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено договором или законодательством Российской Федерации. При выявлении неправомерной обработки Оператор прекращает её в срок, не превышающий 3 (трёх) рабочих дней с даты выявления.

8. Передача данных третьим лицам

Оператор не продаёт персональные данные и не передаёт их третьим лицам, за исключением случаев, прямо предусмотренных настоящей Политикой или законодательством РФ. Передача возможна следующим категориям получателей:

• поставщикам инфраструктуры, баз данных, файлового хранилища, мониторинга ошибок и технической поддержки — в объёме, необходимом для функционирования и защиты Сервиса;
• банкам и платёжным провайдерам — для проведения оплаты, возвратов и регулярных платежей (полные реквизиты банковских карт обрабатываются на стороне платёжного провайдера);
• сервисам авторизации и защиты от автоматизированных запросов, службам доставки, сервисам проверки адресов и SMS-сообщений — для выполнения соответствующего запроса пользователя;
• Tilda, CDEK, Яндекс Доставке, Telegram, MAX, WhatsApp, провайдерам электронной почты и иным интеграциям, подключённым владельцем магазина, — в объёме, необходимом для работы выбранной интеграции;
• поставщикам информационных, коммуникационных и AI-сервисов — для подготовки ответов, анализа данных, выполнения подтверждённых действий и создания материалов;
• владельцу магазина и уполномоченным им сотрудникам — в отношении данных клиентов, партнёров и других лиц, обрабатываемых в рабочем пространстве этого магазина;
• уполномоченным государственным органам — по основаниям и в порядке, установленным законодательством РФ.

Для предоставления отдельных функций Сервиса Оператор вправе привлекать поставщиков информационных, коммуникационных и AI-сервисов. Передача данных осуществляется в минимально необходимом объёме с соблюдением требований законодательства Российской Федерации. Такие лица обрабатывают персональные данные по поручению Оператора, в объёме и целях, определённых поручением, и обязаны соблюдать конфиденциальность персональных данных и требования к их защите. Состав обрабатываемых данных зависит также от настроек интеграций, подключённых пользователем.

9. Файлы cookie и технические данные

Сервис использует файлы cookie и аналогичные технологии, включая локальное хранилище браузера. Они используются для:

• авторизации, обновления и защиты пользовательской сессии;
• определения текущего магазина, сохранения состояния входа через внешний сервис и настроек интерфейса;
• защиты формы регистрации от автоматических запросов;
• учёта просмотров и реакций в публичном блоге с помощью случайного идентификатора rs_blog_uid, срок хранения которого составляет один год;
• диагностики ошибок и стабильности Сервиса, включая маскированные записи отдельных сеансов взаимодействия с интерфейсом.

Технические данные собираются в объёме, необходимом для предоставления функций, обеспечения безопасности, предотвращения повторных действий и устранения ошибок. Сервис не использует cookie для продажи персональных данных.

Пользователь может настроить параметры использования cookie в своём браузере, удалить сохранённые данные сайта или ограничить локальное хранилище. Отключение строго необходимых cookie может привести к невозможности авторизации и использования отдельных функций Сервиса.

10. Меры защиты

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения, а также от иных неправомерных действий. В частности:

• разграничение доступа к данным на уровне ролей и шопа (multi-tenant-изоляция, RLS);
• шифрование канала передачи данных (HTTPS/TLS);
• хранение паролей в виде необратимых хэшей;
• ограничение административного и сервисного доступа, проверка принадлежности данных магазину и журналирование значимых действий;
• защита ключей, токенов и параметров интеграций от отображения неуполномоченным пользователям;
• ведение журналов действий и мониторинг нештатных событий;
• регулярное обновление программного обеспечения и зависимостей.

11. Права субъекта персональных данных

Субъект персональных данных имеет право:

• получать информацию об обработке своих персональных данных;
• получать сведения о целях, способах, сроках обработки, составе данных и лицах, которым они могут быть раскрыты;
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отзывать согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• защищать свои права и законные интересы иными предусмотренными законом способами.

12. Отзыв согласия и обращения

Для отзыва согласия на обработку персональных данных, получения сведений об обработке, уточнения, блокирования или уничтожения данных субъект персональных данных направляет письменное обращение на адрес электронной почты info@refsales.ru либо по адресу Оператора, указанному в разделе 3. В обращении необходимо указать ФИО, доступные сведения для идентификации заявителя, описание взаимоотношений с Сервисом или магазином и существо требования.

Оператор рассматривает обращение и направляет ответ в течение 10 (десяти) рабочих дней с даты его получения; срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя. Для защиты данных от раскрытия постороннему лицу Оператор вправе запросить сведения, необходимые для подтверждения личности и полномочий заявителя.

Отзыв согласия прекращает операции, основанные на таком согласии, но не влияет на обработку, необходимую для исполнения закона, договора, рассмотрения требований или осуществляемую на ином законном основании.

13. Изменения политики

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на странице refsales.ru/privacy, если иное не предусмотрено новой редакцией. Дата последнего обновления указывается в начале документа.

При существенных изменениях, затрагивающих цели, состав данных или права субъектов, Оператор может дополнительно уведомить зарегистрированных пользователей через интерфейс Сервиса или по электронной почте. Если новые операции требуют согласия, Оператор запрашивает его отдельно.