Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана ООО «Б2МаркетПлейс» (ОГРН 1235000040087, ИНН 5050158842, адрес: 141100, Московская область, г. Щёлково, ул. Центральная, д. 9, кв. 178; далее — «Оператор») в соответствии с пунктом 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором.

1.2. Политика действует в отношении всей информации, которую Оператор может получить о субъектах персональных данных в процессе оказания услуг и (или) использования принадлежащих ему программных продуктов и интернет-сайтов, включая, но не ограничиваясь:

— b2marketplace.ru и его поддомены.

1.3. Целью настоящей Политики является обеспечение защиты прав и свобод субъектов персональных данных при обработке их персональных данных Оператором, в том числе защита прав на неприкосновенность частной жизни, личную и семейную тайну.

1.4. Настоящая Политика является общедоступным документом. Действующая редакция Политики постоянно размещается на интернет-сайтах Оператора в общедоступном для неограниченного круга лиц виде.

1.5. Оператор имеет право вносить изменения в Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента её размещения на сайтах Оператора, если иное не предусмотрено новой редакцией Политики.

2. Основные понятия, используемые в Политике

2.1. В настоящей Политике используются понятия, установленные статьёй 3 152-ФЗ. Для удобства восприятия ключевые понятия приведены ниже:

— Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

— Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных. В рамках настоящей Политики Оператором является ООО «Б2МаркетПлейс».

— Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без использования таких средств: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

— Субъект ПДн — физическое лицо, чьи персональные данные обрабатываются Оператором.

— Пользователь — физическое лицо, использующее интернет-сайты или программные продукты Оператора.

— Cookies — небольшой фрагмент данных, отправленный веб-сервером и хранимый на устройстве пользователя для идентификации сессии, сохранения настроек и сбора аналитики.

— Заказчик — юридическое лицо или индивидуальный предприниматель, заключивший с Оператором договор на использование программной платформы (далее — «Платформа») или иные услуги.

— Платформа — программный комплекс Оператора, предоставляемый по модели SaaS (Software as a Service — «программное обеспечение как услуга»), обеспечивающий автоматизацию работы продавцов на маркетплейсах (аналитика, репрайсинг, контроль РРЦ, управление ассортиментом и др.).

3. Принципы обработки персональных данных

3.1. Оператор осуществляет обработку персональных данных в соответствии со статьёй 5 152-ФЗ на основе следующих принципов:

— обработка персональных данных осуществляется на законной и справедливой основе;

— обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей;

— не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;

— не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

— обработке подлежат только персональные данные, которые отвечают целям их обработки;

— при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях — актуальность по отношению к целям обработки;

— хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки.

4. Категории субъектов персональных данных и обрабатываемые персональные данные

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

— Пользователи Платформы — физические лица, являющиеся представителями (сотрудниками, доверенными лицами, руководителями) Заказчиков, зарегистрированные в Платформе и использующие её функционал;

— Посетители сайтов Оператора — физические лица, посещающие интернет-сайты Оператора без регистрации;

— Контрагенты Оператора — физические лица, являющиеся представителями юридических лиц или индивидуальными предпринимателями, состоящими с Оператором в договорных отношениях;

— Кандидаты на трудоустройство и работники — лица, направившие свои данные с целью трудоустройства, а также действующие работники Оператора.

4.2. В отношении Пользователей Платформы Оператор обрабатывает следующие категории персональных данных:

— фамилия, имя, отчество;

— адрес электронной почты;

— номер мобильного телефона;

— должность и наименование организации-работодателя;

— идентификаторы и хеши паролей (для аутентификации);

— IP-адрес, тип браузера, операционная система, идентификаторы устройства;

— история действий в Платформе (журнал событий, audit log).

4.3. В отношении Посетителей сайтов Оператор обрабатывает:

— IP-адрес;

— данные о посещении сайтов, в том числе из cookies и аналогичных технологий;

— тип браузера, операционную систему, разрешение экрана;

— URL источника перехода (referer);

— идентификаторы рекламных и аналитических систем (Яндекс.Метрика, Google Analytics — при наличии).

4.4. Оператор не обрабатывает специальные категории персональных данных, перечень которых установлен статьёй 10 152-ФЗ (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь). Оператор не обрабатывает биометрические персональные данные.

5. Цели обработки персональных данных

5.1. Оператор обрабатывает персональные данные в следующих целях:

— регистрация и идентификация Пользователей в Платформе;

— оказание услуг по предоставлению доступа к Платформе и сопутствующих услуг;

— техническая поддержка Пользователей, в том числе ответ на обращения;

— обеспечение информационной безопасности Платформы и сайтов Оператора, выявление инцидентов;

— формирование статистической и аналитической отчётности о работе Платформы (в обезличенном виде);

— ведение бухгалтерского и налогового учёта, выставление счетов, оформление актов и иных учётных документов;

— заключение, исполнение и прекращение договоров с Заказчиками;

— направление информационных сообщений, связанных с использованием Платформы (нотификации о событиях, изменении тарифов, технических работах);

— направление маркетинговых сообщений (только при наличии отдельного согласия субъекта ПДн);

— соблюдение требований законодательства Российской Федерации.

6. Правовые основания обработки персональных данных

6.1. Оператор осуществляет обработку персональных данных на основании одного или нескольких из следующих правовых оснований:

— согласие субъекта персональных данных на обработку его персональных данных (статья 6 часть 1 пункт 1 152-ФЗ) — основное основание для большинства видов обработки;

— заключение и исполнение договора, стороной или выгодоприобретателем по которому является субъект персональных данных (статья 6 часть 1 пункт 5 152-ФЗ);

— необходимость осуществления прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта (статья 6 часть 1 пункт 7 152-ФЗ);

— обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом или по его просьбе (статья 6 часть 1 пункт 10 152-ФЗ);

— исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (статья 6 часть 1 пункт 2 152-ФЗ) — для целей бухгалтерского и налогового учёта.

7. Способы обработки персональных данных

7.1. Обработка персональных данных осуществляется Оператором с использованием средств автоматизации и без использования таких средств (смешанная обработка).

7.2. При обработке персональных данных с использованием средств автоматизации не происходит принятия Оператором решений, порождающих юридические последствия в отношении субъектов ПДн или иным образом затрагивающих их права и законные интересы, исключительно на основании автоматизированной обработки без участия человека. Решения о цене на товары Заказчиков принимаются Платформой автоматически в рамках договорных отношений с Заказчиком и не затрагивают прав Пользователей.

7.3. Места хранения персональных данных:

— серверы Оператора и привлечённого хостинг-провайдера ООО «Регистратор доменных имён РЕГ.РУ» / ООО «ФирстВДС» на территории Российской Федерации (г. Москва) — для российского сегмента Платформы (app.b2mp.ru);

— облачная инфраструктура Amazon Web Services, Inc. (AWS), регион Frankfurt, Германия — для международного сегмента Платформы (app.b2mp.com), исключительно в отношении субъектов ПДн, не являющихся гражданами Российской Федерации, либо с их явного согласия.

8. Передача персональных данных третьим лицам

8.1. Оператор передаёт персональные данные третьим лицам только в следующих случаях:

— при наличии согласия субъекта персональных данных;

— по поручению субъекта персональных данных или по его запросу;

— при наличии договора с третьим лицом, по условиям которого третье лицо обязуется обеспечивать конфиденциальность персональных данных и безопасность их обработки;

— по требованию уполномоченных государственных органов в случаях, установленных законодательством РФ.

8.2. Оператор привлекает следующие категории третьих лиц для обработки персональных данных по поручению:

— хостинг-провайдеры — для размещения серверной инфраструктуры (Россия);

— провайдеры услуг рассылки электронных писем — АО «Юнисендер Рус» (Unisender Go, Россия) и Amazon Web Services, Inc. (Amazon SES, Германия);

— провайдер защиты от DDoS-атак и DNS-сервиса — Cloudflare, Inc. (США) — обрабатывает только технические данные (IP-адрес, заголовки запросов) без доступа к содержимому ПДн;

— провайдер документооборота — АО «Производственная фирма «СКБ Контур» (Контур.Диадок) — для электронного документооборота с Заказчиками;

— банк, обслуживающий расчётный счёт Оператора — ПАО Сбербанк.

8.3. С каждым из указанных третьих лиц заключён договор (соглашение), обязывающий обеспечивать конфиденциальность и безопасность персональных данных при их обработке.

9. Трансграничная передача персональных данных

9.1. Оператор осуществляет трансграничную передачу персональных данных на территорию иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, в соответствии со статьёй 12 152-ФЗ.

9.2. Перечень государств, на территории которых осуществляется трансграничная передача персональных данных:

— Федеративная Республика Германия (для целей размещения международного сегмента Платформы в AWS) — государство, являющееся стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных от 28.01.1981.

9.3. Оператор уведомил Роскомнадзор о намерении осуществлять трансграничную передачу персональных данных в порядке, установленном статьёй 12 152-ФЗ.

9.4. Трансграничная передача персональных данных граждан Российской Федерации осуществляется только при наличии явного согласия субъекта персональных данных или в иных случаях, прямо предусмотренных статьёй 12 152-ФЗ. По умолчанию персональные данные граждан Российской Федерации обрабатываются исключительно на территории Российской Федерации.

10. Сроки обработки и хранения персональных данных

10.1. Сроки хранения персональных данных определяются дифференцированно в зависимости от категории данных и правового основания их обработки. По достижении целей обработки персональные данные подлежат уничтожению или обезличиванию, если иной срок не установлен законодательством Российской Федерации или договором с субъектом ПДн.

10.2. Сроки хранения отдельных категорий персональных данных:

Таблица сроков приведена строками вида: категория данных — срок хранения — правовое основание.

Учётная запись Пользователя (ФИО, email, телефон, должность) — До отзыва согласия субъектом или удаления аккаунта — ст. 5 ч. 7, ст. 21 152-ФЗ

Согласия на обработку ПДн (электронные записи) — 5 (пять) лет после отзыва согласия или прекращения договора — ст. 9 152-ФЗ; п. 8 ст. 23 НК РФ

Документы, связанные с договором (счета, акты, переписка) — 5 (пять) лет после прекращения договора — ст. 23 НК РФ, ст. 29 402-ФЗ «О бухгалтерском учёте»

Бизнес-данные Заказчика в обезличенном виде (без привязки к ФИО) — 5 (пять) лет в агрегированной форме — Правомерный интерес Оператора

Маркетинговое согласие и история рассылок — До отзыва согласия — ст. 15 152-ФЗ, ст. 18 ФЗ «О рекламе»

Журнал событий и действий в Платформе (audit log) — 3 (три) года, далее обезличивание — ст. 19 152-ФЗ; внутренние требования информационной безопасности

Cookies, IP-адреса, идентификаторы устройств — 1 (один) год после последней активности субъекта — Принцип минимизации; ст. 5 152-ФЗ

ПДн при отказе в регистрации (незавершённая регистрация) — 30 (тридцать) дней с момента последнего действия — Принцип минимизации; ст. 5 152-ФЗ

По истечении срока хранения персональные данные подлежат уничтожению или обезличиванию в соответствии с внутренними регламентами Оператора.

11. Меры по обеспечению безопасности персональных данных

11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных, в соответствии со статьёй 19 152-ФЗ, Постановлением Правительства РФ от 01.11.2012 № 1119 и Приказом ФСТЭК России от 18.02.2013 № 21.

11.2. К правовым мерам относятся:

— издание локальных нормативных актов Оператора, регламентирующих обработку и защиту ПДн;

— назначение лица, ответственного за организацию обработки персональных данных;

— заключение соглашений о неразглашении с работниками, имеющими доступ к ПДн;

— ознакомление работников с положениями законодательства РФ о ПДн и локальных актов Оператора.

11.3. К организационным мерам относятся:

— ограничение круга лиц, имеющих доступ к ПДн;

— ведение учёта лиц, имеющих доступ к ПДн;

— осуществление внутреннего контроля соответствия обработки ПДн требованиям законодательства;

— разработка и реализация политики паролей.

11.4. К техническим мерам относятся:

— использование шифрования данных при передаче (TLS 1.3) и хранении (AES-256 для конфиденциальных полей в БД);

— использование систем разграничения доступа (RBAC — Role-Based Access Control, ролевая модель управления доступом);

— ведение журналов событий безопасности (audit log);

— защита от вредоносного программного обеспечения;

— регулярное резервное копирование данных;

— использование межсетевых экранов и систем обнаружения вторжений;

— регулярное обновление программного обеспечения для устранения известных уязвимостей.

12. Права субъектов персональных данных

12.1. Субъект персональных данных имеет права, предусмотренные главой 3 152-ФЗ, в том числе:

— право на получение информации, касающейся обработки своих ПДн (статья 14 152-ФЗ);

— право требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

— право отозвать своё согласие на обработку ПДн (статья 9 часть 2 152-ФЗ);

— право обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;

— право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

12.2. Для реализации своих прав субъект персональных данных вправе направить Оператору запрос по адресу электронной почты privacy@b2marketplace.ru или по почтовому адресу: 141100, Московская область, г. Щёлково, ул. Центральная, д. 9, кв. 178. Запрос должен содержать сведения, перечисленные в статье 14 части 3 152-ФЗ, в том числе: номер документа, удостоверяющего личность субъекта или его представителя; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата заключения и т.п.); подпись субъекта или его представителя.

12.3. Срок ответа Оператора на запрос субъекта ПДн — в течение 10 рабочих дней с момента получения запроса (с возможностью продления до 5 рабочих дней с уведомлением субъекта о причинах продления, в соответствии со статьёй 20 152-ФЗ).

13. Порядок отзыва согласия на обработку персональных данных

13.1. Согласие на обработку персональных данных может быть отозвано субъектом ПДн в любое время.

13.2. Отзыв согласия осуществляется одним из следующих способов:

— через интерфейс Платформы — нажатием кнопки «Удалить аккаунт» в настройках профиля;

— направлением письменного заявления на адрес электронной почты privacy@b2marketplace.ru;

— направлением письменного заявления почтой по адресу: 141100, Московская область, г. Щёлково, ул. Центральная, д. 9, кв. 178.

13.3. В случае отзыва согласия Оператор прекращает обработку персональных данных и обеспечивает их уничтожение в срок не позднее 30 дней с момента получения отзыва, за исключением случаев, когда обработка ПДн может быть продолжена Оператором без согласия субъекта по основаниям, предусмотренным 152-ФЗ или иными федеральными законами (в частности, для хранения документов первичного учёта по требованию Налогового кодекса РФ).

14. Использование cookies и аналогичных технологий

14.1. Оператор использует на своих сайтах файлы cookies и аналогичные технологии (локальное хранилище браузера, веб-маяки, идентификаторы сессии) для следующих целей:

— обеспечение работоспособности сайта и аутентификации Пользователя в Платформе (технические cookies, обязательные);

— запоминание пользовательских предпочтений (язык, тема оформления);

— сбор обезличенной статистики посещаемости через системы веб-аналитики (опциональные cookies, требуют согласия).

14.2. При первом посещении сайта Пользователю предлагается ознакомиться с Cookies-уведомлением и выразить согласие на использование опциональных cookies. Технические (обязательные) cookies используются без отдельного согласия, поскольку без них невозможно функционирование сайта.

14.3. Пользователь может в любое время отключить cookies в настройках своего браузера. При отключении технических cookies использование Платформы может быть невозможным.

15. Контактная информация Оператора и ответственного за обработку ПДн

Полное наименование: Общество с ограниченной ответственностью «Б2МаркетПлейс»

Сокращённое наименование: ООО «Б2МаркетПлейс»

ОГРН: 1235000040087

ИНН: 5050158842 КПП: 505001001

Юридический адрес: 141100, Московская область, г. Щёлково, ул. Центральная, д. 9, кв. 178

Почтовый адрес: 141100, Московская область, г. Щёлково, ул. Центральная, д. 9, кв. 178

Телефон: +7 (909) 999-00-06

E-mail общий: hello@b2marketplace.ru

E-mail для запросов по ПДн: privacy@b2marketplace.ru

Лицо, ответственное за организацию обработки персональных данных:

Генеральный директор Сергеев Олег Владимирович

Контакт: privacy@b2marketplace.ru, тел. +7 (909) 999-00-06

16. Заключительные положения

16.1. Настоящая Политика является внутренним документом Оператора и подлежит размещению в общедоступном виде на сайтах Оператора.

16.2. Иные права и обязанности Оператора и субъектов персональных данных определяются законодательством Российской Федерации в области персональных данных.

16.3. Работники Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами Российской Федерации.