Политика обработки персональных данных

Политика обработки персональных данных Unit12

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных при использовании информационно-аналитического сервиса Unit12.

1.2. Оператор персональных данных:

• индивидуальный предприниматель Боронин Максим Геннадьевич;
• ИНН 780419787509;
• ОГРНИП 323784700278802;
• место регистрации: Российская Федерация, г. Санкт-Петербург;
• email по вопросам персональных данных: ;
• телефон: .

1.3. Политика применяется к сайтам , , , связанным поддоменам, личному кабинету, технической поддержке и иным каналам взаимодействия, в которых размещена ссылка на настоящую Политику.

1.4. Рабочий аккаунт Unit12 предоставляется только российскому юридическому лицу или российскому индивидуальному предпринимателю («Заказчику»). Физическое лицо, которое регистрирует или использует аккаунт от имени Заказчика, является «Пользователем аккаунта» и субъектом персональных данных, но не становится стороной Пользовательского соглашения от собственного имени, если оно само не является Заказчиком-ИП.

1.5. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными применимыми нормами законодательства Российской Федерации.

1.6. Оператор не осуществляет рекламные рассылки и не использует персональные данные для передачи рекламным сетям.

2. Субъекты и категории данных

2.1. Оператор может обрабатывать данные:

• посетителей публичных сайтов Unit12;
• индивидуальных предпринимателей, которые являются Заказчиками;
• руководителей, представителей, работников и приглашённых участников российских юридических лиц и ИП, регистрирующих или использующих аккаунт;
• лиц, обращающихся в поддержку;
• третьих лиц, сведения о которых пользователь правомерно передал в составе данных маркетплейса или загруженного файла.

Юридическое лицо не является субъектом персональных данных. При этом сведения о Заказчике могут охраняться как коммерческая или иная конфиденциальная информация, а сведения о его представителях и ИП могут являться персональными данными.

2.2. Данные Заказчика и проверки B2B-статуса:

• тип Заказчика: юридическое лицо или ИП;
• наименование;
• ИНН;
• ОГРН или ОГРНИП;
• сведения о действующем статусе в ЕГРЮЛ или ЕГРИП;
• дата, время, источник и результат проверки;
• иные реквизиты, минимально необходимые для заключения и исполнения Пользовательского соглашения.

2.3. Данные Пользователя аккаунта, учётной записи и полномочий:

• адрес электронной почты;
• отображаемое имя;
• имя, фамилия, должность или роль, если они необходимы для идентификации представителя и управления доступом;
• хэш пароля;
• статус подтверждения и блокировки аккаунта;
• связь с Заказчиком, роли, права доступа, лимиты и пользовательские настройки;
• заявление о наличии полномочий действовать от имени Заказчика;
• тип, версия, хэш, дата, время, форма и технические сведения о принятии юридических документов;
• дата и время регистрации, входов и изменения данных.

Оператор не запрашивает паспорт или доверенность по умолчанию. Такие сведения могут быть запрошены только при наличии обоснованной необходимости проверить статус или полномочия и в минимально необходимом объёме.

2.4. Данные продавца и кабинетов маркетплейсов:

• наименование продавца или организации;
• ИНН и налоговые настройки;
• идентификаторы продавца, магазина и кабинета;
• номера и названия подключённых аккаунтов;
• маркетплейс и тип интеграции;
• зашифрованные API-ключи и служебные сведения о подключении;
• настройки и результаты синхронизации.

Данные юридического лица сами по себе не всегда являются персональными, но могут относиться к физическому лицу или индивидуальному предпринимателю и поэтому защищаются в соответствующем объёме.

2.5. Данные о хозяйственной деятельности:

• товары, артикулы, SKU и их наименования;
• продажи, заказы, отгрузки, поставки, возвраты и остатки;
• выручка, выплаты, комиссии, логистика, хранение, реклама, штрафы, компенсации и иные операции;
• себестоимость, расходы, налоги и настройки расчёта;
• финансовые, товарные, складские и аналитические показатели;
• исходные и нормализованные строки отчётов;
• идентификаторы операций и документов маркетплейса.

2.6. Загружаемые и создаваемые материалы:

• файлы отчётов и их имена;
• содержимое импортируемых файлов;
• результаты проверки и обработки загрузок;
• сформированные отчёты и выгрузки;
• обращения в поддержку, переписка и вложения;
• пользовательские настройки дашбордов и интерфейса.

2.7. Технические данные:

• IP-адрес;
• дата и время запросов;
• адрес запрошенной страницы и код ответа;
• сведения о браузере, устройстве и операционной системе, передаваемые браузером;
• технические идентификаторы сессии и авторизации;
• события безопасности, ошибки и диагностические журналы;
• данные cookie, localStorage и sessionStorage, перечисленные в Политике использования cookie и локального хранилища.

2.8. Оператор не запрашивает и не намерен обрабатывать:

• данные банковских карт;
• биометрические персональные данные;
• специальные категории персональных данных о здоровье, политических, религиозных или философских взглядах, интимной жизни, расовой или национальной принадлежности;
• паспортные данные, если их обработка не потребуется по отдельному законному основанию.

Пользователь не должен передавать такие данные через файлы, поддержку или иные функции Сервиса.

3. Цели и правовые основания

Цель	Данные	Правовое основание
Проверка права на B2B-доступ и заключение Соглашения	тип, наименование, ИНН, ОГРН/ОГРНИП, статус Заказчика, данные представителя и подтверждение полномочий	заключение и исполнение Пользовательского соглашения; осуществление прав и законных интересов Оператора и Заказчика; согласие в применимых случаях
Регистрация Пользователя аккаунта, подтверждение email, вход и восстановление доступа	email, хэш пароля, связь с Заказчиком, роль, технические данные	заключение и исполнение Пользовательского соглашения с Заказчиком; осуществление прав и законных интересов Оператора и Заказчика; согласие в применимых случаях
Управление участниками и доступом	имя, email, роль, права, события предоставления и отзыва доступа	исполнение Пользовательского соглашения; осуществление прав и законных интересов Оператора и Заказчика
Доказательство заключения Соглашения и полномочий	Заказчик, представитель, заявление о полномочиях, версия и хэш документов, время и технические подтверждения	заключение и исполнение Пользовательского соглашения; осуществление и защита прав
Предоставление функций Unit12	профиль, продавцы, кабинеты, файлы, операции, настройки	исполнение Пользовательского соглашения и действия по инициативе Заказчика через его Пользователей аккаунта
Получение данных из API Wildberries и Ozon	API-ключ, идентификаторы кабинета, хозяйственные данные	исполнение Пользовательского соглашения; поручение и инициатива Заказчика
Расчёт и отображение аналитики	хозяйственные данные, настройки себестоимости и налогов	исполнение Пользовательского соглашения
Техническая поддержка	email, переписка, вложения, диагностические данные	исполнение Пользовательского соглашения; законный интерес в обработке обращений
Защита аккаунтов и инфраструктуры	IP, журналы запросов, события безопасности	законный интерес Оператора в обеспечении безопасности и защите прав
Выполнение требований закона	данные, указанные в законном запросе	исполнение обязанностей, возложенных законодательством
Рассмотрение претензий и защита прав	данные аккаунта, обращения и технические подтверждения	законный интерес и осуществление прав Оператора или Пользователя

3.1. Если для конкретной операции требуется согласие, Оператор получает его отдельно от Пользовательского соглашения и иных документов.

3.2. Отзыв согласия не прекращает обработку, для которой существует другое законное основание, например необходимость исполнить действующее соглашение, выполнить требование закона или защитить права в споре.

3.3. Решения, порождающие для Пользователя юридические последствия, не принимаются исключительно на основании автоматизированной обработки персональных данных.

4. Операции и способы обработки

4.1. Оператор может совершать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, сопоставление, передачу в установленном объёме, обезличивание, блокирование, удаление и уничтожение персональных данных.

4.2. Обработка выполняется преимущественно автоматизированным способом. Ограниченная неавтоматизированная обработка возможна при работе поддержки, разборе инцидента, миграции данных, восстановлении из резервной копии и исполнении законного запроса.

4.3. Доступ к данным предоставляется только лицам, которым он требуется для выполнения соответствующей задачи.

5. Источники данных

5.1. Оператор получает данные:

• непосредственно от Заказчика и Пользователя аккаунта;
• от руководителя, представителя или участника рабочего пространства, уполномоченного Заказчиком;
• из ЕГРЮЛ, ЕГРИП и иных законных источников для проверки статуса и реквизитов Заказчика;
• из API Wildberries и Ozon после подключения Заказчиком;
• из файлов и иных источников, загруженных Заказчиком через Пользователя аккаунта;
• автоматически от браузера, веб-сервера и средств защиты;
• из обращений в поддержку.

5.2. Передавая данные другого лица, Заказчик и Пользователь аккаунта подтверждают наличие законного основания и обязанность проинформировать это лицо об обработке, когда это требуется законом.

6. Хранение и локализация

6.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

6.2. Основная база данных и production-сервер размещены в инфраструктуре Beget на площадке в Санкт-Петербурге, Российская Федерация. Рабочие файлы production-среды размещены на этом production-сервере.

6.3. Резервные копии базы и файлов создаются в зашифрованном виде и хранятся в объектном хранилище Beget S3 на площадке в Санкт-Петербурге, Российская Федерация.

6.4. Оператор не осуществляет трансграничную передачу персональных данных. Если она потребуется в будущем, Политика и необходимые процедуры будут обновлены до начала такой передачи.

7. Лица, участвующие в обработке

7.1. Для размещения инфраструктуры, базы данных, резервных копий, доменов и почтовой доставки Оператор использует услуги ООО «Бегет», ИНН 7801451618, на территории Российской Федерации. Состав используемых услуг может изменяться без расширения целей обработки.

7.2. Wildberries и Ozon являются внешними информационными системами, которые Пользователь подключает по собственной инициативе. Обмен данными осуществляется в объёме, предусмотренном соответствующим API и разрешениями ключа.

7.3. Данные могут быть предоставлены государственному органу, суду или иному лицу, если это требуется законодательством либо необходимо для защиты прав при наличии законного основания.

7.4. Оператор не продаёт персональные данные, не передаёт их рекламным сетям и не разрешает инфраструктурным провайдерам использовать их для собственных рекламных целей.

8. Сроки хранения

8.1. Данные активного Заказчика, его Пользователей аккаунта и рабочие данные хранятся в течение срока использования Сервиса и действия Пользовательского соглашения, пока соответствующие данные необходимы для предоставления доступа.

8.2. После прекращения полномочий отдельного Пользователя аккаунта его рабочий доступ блокируется. Минимальные сведения об истории доступа, акцепте, действиях безопасности и полномочиях могут храниться после блокирования в пределах срока, необходимого для выполнения закона, разрешения споров и защиты прав.

8.3. После подтверждённого запроса на удаление Оператор удаляет или обезличивает данные из активных систем в срок до 30 календарных дней, кроме сведений, которые необходимо продолжать хранить на другом законном основании.

8.4. Журналы веб-сервера и прикладные журналы production ротируются ежедневно; обычно сохраняются последние 14 ротаций. Сведения об инциденте могут храниться дольше, если это необходимо для расследования и защиты прав.

8.5. Плановые зашифрованные резервные копии сохраняются по схеме:

• 14 дневных;
• 8 недельных;
• 12 месячных снимков.

8.6. Резервные снимки, создаваемые перед развёртыванием или откатом релиза, хранятся отдельно в количестве не более последних 20 снимков.

8.7. Резервные копии являются целостными зашифрованными снимками и не редактируются выборочно. Поэтому удалённые из активной системы сведения могут оставаться в резервной копии до её автоматического выбытия по правилам пунктов 8.5–8.6. Они не используются для обычной работы. При восстановлении Оператор обязан повторно применить ранее исполненные запросы на удаление до возобновления штатной обработки.

8.8. Переписка по обращениям и претензиям хранится до завершения их рассмотрения и далее в пределах применимых сроков исковой давности, если более длительный срок не требуется законом.

9. Удаление, уточнение и отзыв согласия

9.1. Пользователь аккаунта может изменить доступные данные своего профиля. Заказчик через уполномоченного Пользователя аккаунта может управлять участниками и удалить часть рабочих данных средствами личного кабинета, если такие функции доступны.

9.2. Для получения сведений об обработке собственных персональных данных, их уточнения, блокирования, удаления или отзыва согласия субъект направляет запрос из раздела юридических настроек, когда такая функция доступна, либо письмо со своего подтверждённого email на . Отзыв может относиться ко всему согласию или к отдельной цели, операции либо каналу.

9.3. Запрос на удаление аккаунта Заказчика и общих рабочих данных может направить Заказчик-ИП либо подтверждённый уполномоченный представитель юридического лица. Оператор вправе проверить полномочия заявителя и учесть права других уполномоченных лиц Заказчика.

Рекомендуемые темы письма:

• «Запрос персональных данных»;
• «Уточнение персональных данных»;
• «Отзыв согласия на обработку персональных данных»;
• «Удаление аккаунта».

9.4. Оператор вправе запросить дополнительное подтверждение, достаточное для защиты аккаунта от несанкционированного запроса. Не следует направлять копию паспорта, если Оператор прямо и обоснованно её не запросил.

9.5. Оператор сохраняет отдельное неизменяемое событие отзыва с указанием субъекта, точной редакции и объёма согласия, времени, способа, момента вступления отзыва в силу и достаточного технического доказательства. Запись о ранее данном согласии не удаляется и не изменяется задним числом.

9.6. После отзыва Оператор прекращает будущую обработку, основанную исключительно на отозванном согласии, и уничтожает соответствующие данные в установленный срок, если отсутствует другое законное основание. Обработка, необходимая для исполнения Соглашения с Заказчиком, выполнения требований закона или защиты прав, может продолжаться на соответствующем основании.

9.7. Отзыв согласия или удаление данных, необходимых для доступа конкретного Пользователя аккаунта, может сделать его дальнейшее использование Сервиса невозможным. Удаление данных одного Пользователя аккаунта само по себе не означает прекращение Соглашения с Заказчиком.

9.8. Отзыв полномочий представителя или участника приводит к прекращению его сеансов и прав доступа, но не отменяет ранее совершённые им правомерные действия и не прекращает Соглашение с Заказчиком. Заказчик должен сохранить хотя бы одного уполномоченного администратора либо пройти процедуру подтверждения права на аккаунт.

9.9. Отзыв отдельного согласия на передачу данных в канал поддержки, включая MAX при его внедрении, прекращает будущую передачу через этот канал. История уже состоявшихся обращений хранится или удаляется по применимым основаниям и утверждённым срокам.

9.10. При восстановлении резервной копии Оператор до возобновления штатной обработки повторно применяет зарегистрированные события отзыва согласия, прекращения доступа и удаления данных.

10. Защита данных

10.1. Оператор применяет необходимые правовые, организационные и технические меры, в том числе:

• разграничение доступа;
• шифрование API-ключей маркетплейсов;
• передачу данных по HTTPS;
• хранение паролей в виде криптографических хэшей;
• отдельные базы и файловые хранилища production и RC;
• закрытие баз данных и внутренних сервисов от публичного доступа;
• сетевой экран и ограничение административного доступа;
• зашифрованные внешние резервные копии;
• мониторинг доступности, резервного копирования и инфраструктуры;
• журналирование и регулярное обновление программного обеспечения.

10.2. Ни один способ передачи или хранения не исключает риск полностью. При инциденте Оператор принимает меры по его локализации, устранению последствий и уведомлению уполномоченных лиц в случаях и сроки, предусмотренные законом.

11. Cookie и локальное хранилище

11.1. Unit12 использует только технические cookie и средства локального хранилища, необходимые для авторизации, безопасности и сохранения настроек.

11.2. На дату настоящей редакции Unit12 не использует рекламные cookies и сторонние системы маркетинговой или поведенческой аналитики.

11.3. Подробный перечень приведён в Политике использования cookie и локального хранилища: https://unit12.ru/legal/cookies.

12. Права субъекта персональных данных

Субъект вправе:

• получать сведения об обработке своих данных;
• требовать уточнения, блокирования или удаления неполных, устаревших, неточных или незаконно обработанных данных;
• отозвать согласие;
• возражать против обработки на основании законного интереса;
• обжаловать действия Оператора в Роскомнадзор или суд;
• осуществлять иные права, предусмотренные законодательством.

13. Изменение Политики

13.1. Оператор обновляет Политику при изменении законодательства, инфраструктуры, состава данных, целей или способов обработки.

13.2. Для каждой опубликованной редакции сохраняются уникальный идентификатор, дата и время публикации, дата вступления в силу, дата утраты силы, полный неизменяемый текст, криптографический хэш и краткое описание изменений.

13.3. Действующая редакция размещается по стабильному адресу https://unit12.ru/legal/privacy. История редакций размещается по адресу https://unit12.ru/legal/privacy/versions. Каждая ранее действовавшая редакция имеет отдельный постоянный публичный адрес и доступна без авторизации.

13.4. Опубликованная редакция не перезаписывается и не удаляется. Даже редакционное исправление создаёт новую версию. На странице старой редакции указываются период её действия, статус и ссылка на текущую редакцию.

13.5. О существенных изменениях Заказчикам и Пользователям аккаунта сообщается через интерфейс или по email до начала новой обработки, если закон не требует иного порядка. Если новая обработка требует отдельного согласия, она не начинается до получения согласия на точную применимую редакцию. Отказ предоставить новое согласие не отменяет прежнее согласие задним числом: Оператор не начинает только ту новую или расширенную обработку, для которой прежнего основания недостаточно.

14. Контакты

По вопросам обработки персональных данных:

• Оператор: индивидуальный предприниматель Боронин Максим Геннадьевич;
• ИНН 780419787509;
• ОГРНИП 323784700278802;
• место регистрации: Российская Федерация, г. Санкт-Петербург;
• email: ;
• телефон: ;
• тема письма: «Персональные данные».