1. Общие положения
1.1. Настоящая Политика подготовлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных Оператором.
1.2. Оператор персональных данных: ИП Ковалев Денис Владимирович, ИНН 773418425336, ОГРНИП 322774600358061. Сервис: КОВАЛС.iO (kovals.ru).
1.3. Политика распространяется на данные, полученные Оператором через сайт, личный кабинет, страницы получения товара, электронную почту и каналы поддержки.
1.4. Оператор не проверяет достоверность предоставленных данных и исходит из того, что субъект предоставляет их добросовестно.
2. Какие данные обрабатываются
2.1. Данные учётной записи продавца: адрес электронной почты, имя (если указано), хеш пароля, дата регистрации, статус подтверждения почты, выбранный тариф и срок его действия.
2.2. Данные подключённых магазинов: идентификаторы кабинетов и магазинов маркетплейсов, названия магазинов. API-ключи хранятся в зашифрованном виде и в интерфейс не возвращаются.
2.3. Данные о заказах: номер заказа маркетплейса, состав, сумма, статус выдачи, дата и время передачи товара. Персональные данные покупателя Оператор из маркетплейса не выгружает, если это не требуется для доставки товара.
2.4. Загружаемый контент: файлы, ключи и тексты, которые продавец размещает в Сервисе для передачи покупателям.
2.5. Данные покупателя: при получении товара обрабатываются только технические сведения (токен ссылки, время открытия, счётчик скачиваний, IP-адрес, тип браузера). Ссылка не содержит персональных данных.
2.6. Платёжные данные: при подключении оплаты обрабатываются сведения о платеже (сумма, дата, статус, маскированный номер карты и идентификатор подписки). Полные реквизиты карты Оператору не передаются и обрабатываются платёжным провайдером.
2.7. Технические данные: IP-адрес, тип устройства и браузера, идентификаторы cookie и сессий, журналы входов, событий безопасности и действий в кабинете.
2.8. Данные из сервисов авторизации: при входе или регистрации через Яндекс ID Оператор получает от сервиса идентификатор пользователя, адрес электронной почты, логин, имя, фамилию, пол и ссылку на фото профиля. Через VK ID (в том числе кнопки Mail.ru и Одноклассники) передаются идентификатор пользователя, адрес электронной почты, имя, фамилия, пол и ссылка на фото профиля. Сами фотографии Оператор не хранит: сохраняется только ссылка на изображение в сервисе, и она показывается в кабинете продавца. Пароль от аккаунта в этих сервисах Оператору не передаётся. Состав переданных данных фиксируется в файле согласия при регистрации.
2.9. Специальные категории персональных данных и биометрические данные Оператор не обрабатывает.
3. Цели обработки
- регистрация, идентификация и защита учётной записи;
- предоставление функций Сервиса: подключение магазинов, хранение товаров, автоматическая выдача заказов;
- формирование и доставка покупателю страницы получения товара;
- расчёт оборота, тарификация, выставление и подтверждение платежей;
- отправка сервисных уведомлений (коды подтверждения, сброс пароля, остатки, ошибки выдачи);
- рассмотрение обращений в поддержку;
- обеспечение безопасности: защита от подбора паролей, злоупотреблений и мошенничества;
- аналитика и улучшение продукта в обезличенном виде;
- исполнение требований законодательства, включая налоговое и бухгалтерское.
4. Правовые основания
4.1. Согласие субъекта персональных данных, выражаемое при регистрации отметкой о принятии документов (ст. 6 ч. 1 п. 1 152-ФЗ).
4.2. Исполнение договора, стороной которого является субъект (ст. 6 ч. 1 п. 5 152-ФЗ), — Публичная оферта и Пользовательское соглашение.
4.3. Исполнение обязанностей, возложенных на Оператора законодательством.
4.4. Законные интересы Оператора в части обеспечения безопасности Сервиса и предотвращения злоупотреблений.
5. Передача данных третьим лицам
5.1. Оператор не продаёт персональные данные. Передача осуществляется в минимально необходимом объёме и только следующим категориям получателей:
- маркетплейсам — в объёме, необходимом для получения заказов и доставки цифрового товара покупателю;
- платёжным сервисам — для приёма оплаты подписки и рекуррентных списаний;
- хостинг-провайдеру и провайдеру инфраструктуры — для размещения Сервиса;
- сервисам отправки писем — для доставки кодов подтверждения и уведомлений;
- мессенджерам Telegram и MAX — если Пользователь сам подключил бота: текст уведомления о заказе, ошибке выдачи, остатке ключей или ежедневного отчёта;
- провайдеру языковой модели — при обращении в чат поддержки: текст вопроса Пользователя, история переписки и краткая справка о его тарифе и проценте использования лимита. Адрес электронной почты, пароли, API-ключи магазинов и ключи товаров в такой запрос не попадают;
- сервисам веб-аналитики — в обезличенном виде;
- государственным органам — по основаниям, предусмотренным законодательством.
5.2. Пользователь сам решает, отправлять ли данные в мессенджер и в чат поддержки: обе функции подключаются по его инициативе, а бота можно отключить в разделе «Бот» личного кабинета.
5.3. Подробные условия — в Согласии на передачу персональных данных третьим лицам.
6. Сроки хранения
6.1. Данные учётной записи хранятся, пока учётная запись активна, и в течение 12 месяцев после её удаления или последней активности, после чего удаляются или обезличиваются.
6.2. Загруженные файлы и ключи хранятся до их удаления Пользователем либо до удаления учётной записи.
6.3. Записи о заказах и выдачах хранятся 3 года — срок, необходимый для разрешения споров с покупателями и маркетплейсами.
6.4. Ссылки выдачи и связанные с ними технические данные удаляются по истечении срока действия ссылки.
6.5. Журналы безопасности хранятся не более 12 месяцев.
6.6. Документы, обязательные к хранению по законодательству (бухгалтерские, налоговые), хранятся в установленные им сроки.
7. Защита данных
- передача данных по защищённому протоколу HTTPS;
- шифрование API-ключей магазинов и ключей товаров алгоритмом AES-256-GCM;
- хранение паролей в виде необратимого хеша (bcrypt);
- файлы хранятся под случайными именами в закрытой от прямого доступа папке, выдача — только по проверенному токену;
- разграничение доступа: любая выборка данных ограничена владельцем учётной записи;
- защита от подбора паролей, ограничение частоты запросов и журналирование событий;
- регулярное резервное копирование и контроль доступа сотрудников.
8. Права субъекта персональных данных
8.1. Субъект вправе: получить информацию об обработке своих данных; требовать их уточнения, блокирования или уничтожения; отозвать согласие; обжаловать действия Оператора в Роскомнадзоре или в суде.
8.2. Реализовать права можно в личном кабинете либо письменным запросом на info@kovals.io с подтверждением личности. Срок ответа — 30 календарных дней.
8.3. Отзыв согласия влечёт прекращение оказания услуг, если обработка данных необходима для их предоставления.
9. Cookie и аналитика
9.1. Сервис использует технические cookie для авторизации и работы интерфейса, а также аналитические cookie для оценки использования сайта. Подробности — в Политике использования файлов cookie.
10. Локализация и трансграничная передача
10.1. Базы данных Оператора размещены на серверах в Российской Федерации.
10.2. Трансграничная передача возможна при работе с зарубежными маркетплейсами (например, Etsy) в объёме, необходимом для исполнения поручения Пользователя, и только по его инициативе.
11. Несовершеннолетние
11.1. Сервис предназначен для лиц старше 18 лет. Оператор сознательно не собирает данные несовершеннолетних. При обнаружении таких данных они удаляются по обращению на info@kovals.io.
12. Изменения Политики
12.1. Оператор вправе обновлять Политику. Актуальная редакция всегда доступна по адресу https://kovals.ru/kv_policy.php. О существенных изменениях Оператор уведомляет по электронной почте или в личном кабинете не менее чем за 7 дней.