Политика в отношении обработки персональных данных QLess

Редакция от [дата утверждения]

Настоящая Политика определяет порядок обработки персональных данных при использовании платформы QLess, доступной на сайте https://qless.ru и его поддоменах, а также через создаваемые с её помощью цифровые интерфейсы. Политика разработана с учётом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Термины и определения

1.1. Оператор — [полное наименование юридического лица или Ф. И. О. индивидуального предпринимателя], ИНН [номер], ОГРН/ОГРНИП [номер], адрес [адрес], электронная почта для обращений по вопросам персональных данных: [адрес]. Оператор определяет цели и средства обработки персональных данных в пределах, описанных настоящей Политикой.

1.2. Платформа QLess (Платформа) — программный сервис, позволяющий создавать и администрировать проекты, включая цифровые витрины товаров и видов услуг, принимать заказы и заявки, организовывать запись на услуги и взаимодействовать с клиентами через веб-интерфейсы и интегрированные информационные сервисы.

1.3. Сайт — сайт https://qless.ru, его поддомены и связанные с ним веб-страницы, находящиеся под управлением Оператора.

1.4. Владелец проекта — зарегистрированный пользователь, организация или индивидуальный предприниматель, использующий Платформу для создания витрины товаров или видов услуг и организации взаимодействия со своими клиентами.

1.5. Клиент проекта — физическое лицо, использующее созданную Владельцем проекта витрину или иной клиентский интерфейс для просмотра предложений, оформления заказов, заявок или записи на услуги.

1.6. Пользователь — физическое лицо, использующее Сайт, Платформу или созданные посредством неё интерфейсы, в том числе Владелец проекта, его представитель, сотрудник или Клиент проекта.

1.7. Личный кабинет — защищённый раздел Платформы для управления учётной записью, проектами и доступными функциями.

1.8. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу.

1.9. Термины, не определённые настоящей Политикой, применяются в значениях, установленных законодательством Российской Федерации и пользовательскими соглашениями Платформы.

2. Общие положения и распределение ответственности

2.1. Политика применяется к обработке персональных данных Оператором при предоставлении и обеспечении работы Платформы, регистрации и авторизации, технической поддержке и исполнении договоров.

2.2. При обработке данных владельцев учётных записей, представителей и сотрудников Владельцев проектов, посетителей Сайта и лиц, обращающихся в поддержку, QLess выступает самостоятельным оператором персональных данных в отношении самостоятельно определяемых целей обработки.

2.3. В отношении персональных данных Клиентов проектов, которые Владелец проекта собирает и обрабатывает для продажи товаров, оказания услуг, исполнения заказов и записей, Владелец проекта, как правило, самостоятельно определяет цели и состав обработки и выступает оператором персональных данных. QLess осуществляет техническую обработку таких данных по поручению Владельца проекта в пределах заключённого договора и оформленного поручения на обработку персональных данных. Если QLess самостоятельно определяет отдельные цели обработки, в соответствующей части QLess выступает самостоятельным оператором.

2.4. Владелец проекта обязан обеспечить наличие надлежащих правовых оснований для обработки данных своих клиентов и сотрудников, предоставление им обязательной информации, исполнение запросов субъектов и законность передачи данных в Платформу.

2.5. Сам факт ознакомления с настоящей Политикой не заменяет отдельного согласия субъекта персональных данных в случаях, когда оно требуется законом. Обработка может осуществляться без отдельного согласия при наличии другого предусмотренного законом правового основания.

2.6. Платформа не предназначена для целенаправленного сбора специальных категорий персональных данных и биометрических персональных данных. Пользователям не следует загружать такие сведения без соответствующего правового основания и согласования допустимости их обработки.

3. Категории данных и цели обработки

3.1. Регистрация, авторизация и управление учётной записью. Могут обрабатываться номер телефона, идентификатор учётной записи во внешнем информационном сервисе, технические данные авторизации, сведения о предоставленных правах доступа, а также Telegram ID, username, имя, фамилия и язык, переданные Telegram. Цели: создание и обслуживание учётной записи, идентификация, обеспечение безопасности, предоставление доступа к функциям Платформы.

3.2. Исполнение договора с Владельцем проекта. Могут обрабатываться контактные данные представителей, данные организации или индивидуального предпринимателя, сведения о проектах, подписках, оплатах услуг Платформы, документах и обращениях. Реквизиты юридического лица сами по себе не всегда являются персональными данными, однако сведения об индивидуальном предпринимателе и представителях могут относиться к ним.

3.3. Работа сотрудников и представителей Владельца проекта. Могут обрабатываться номер телефона, идентификатор учётной записи, роль, принадлежность к проекту, сведения о действиях в интерфейсе, а также информация о сменах и операциях с заказами, если соответствующие функции используются Владельцем проекта.

3.4. Обработка данных Клиентов проектов по поручению Владельца проекта. В зависимости от включённых функций могут обрабатываться идентификатор клиента во внешнем информационном сервисе, номер телефона, имя, фамилия, Telegram ID, username и язык, состав и история заказов, сведения о выбранной точке получения, записи на услуги, выбранном пункте выдачи, адресе доставки (если предусмотрен), статусе заказа, оплате и бонусных операциях. Фактический состав данных определяется используемыми функциями и настройками конкретного проекта.

3.5. Техническое функционирование и безопасность. Могут обрабатываться IP-адрес, дата и время обращений, параметры браузера и устройства, идентификаторы сессий, технические журналы, сведения об ошибках и событиях безопасности. Эти сведения не считаются автоматически обезличенными: в зависимости от контекста они могут являться персональными данными.

3.6. Обращения в поддержку. Обрабатываются предоставленные заявителем контактные данные, содержание обращения, приложенные материалы и история взаимодействия в объёме, необходимом для рассмотрения обращения.

3.7. Аналитика и улучшение сервиса. При фактическом использовании аналитических инструментов могут обрабатываться сведения о посещениях, действиях и технических характеристиках устройств. Конкретные аналитические сервисы, виды файлов cookie и необходимые согласия указываются дополнительно в соответствии с реально подключёнными инструментами.

3.8. Информирование. Сервисные сообщения об авторизации, заказах, изменении статусов и функционировании Платформы направляются в рамках соответствующих правоотношений. Рекламные сообщения направляются при наличии самостоятельного надлежащего правового основания, включая предварительное согласие, когда оно требуется.

4. Правовые основания обработки

4.1. В зависимости от цели обработка осуществляется на основании: необходимости заключения или исполнения договора с субъектом персональных данных; требований законодательства; согласия субъекта персональных данных, если оно требуется; иных оснований, предусмотренных статьёй 6 Федерального закона № 152-ФЗ.

4.2. При обработке данных Клиентов проектов по поручению Владельца проекта правовые основания определяет соответствующий Владелец проекта. Отношения между ним и QLess оформляются договором и поручением, содержащим обязательные условия, предусмотренные законодательством.

4.3. Отзыв согласия не исключает дальнейшую обработку в случаях, когда она допускается на ином законном основании.

5. Порядок и сроки обработки

5.1. Обработка может включать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

5.2. Обработка осуществляется преимущественно с использованием средств автоматизации, а при необходимости — без них.

5.3. Персональные данные хранятся не дольше, чем необходимо для достижения конкретных целей обработки, если иной срок не установлен законом или договором в допустимых законом пределах. Сроки хранения учётных, договорных, платёжных и технических сведений определяются с учётом соответствующей цели, требований законодательства и установленных правил хранения.

5.4. После достижения целей обработки или возникновения иных предусмотренных законом оснований данные удаляются либо уничтожаются в установленные законодательством сроки, если отсутствуют законные основания для дальнейшего хранения. Резервные копии удаляются по установленному регламенту с учётом законных сроков и технических ограничений.

5.5. Удаление учётной записи не всегда влечёт немедленное уничтожение всех связанных данных: отдельные сведения могут сохраняться в силу требований закона, необходимости исполнения обязательств или защиты законных прав.

6. Локализация и трансграничная передача

6.1. При сборе персональных данных граждан Российской Федерации с использованием сети Интернет Оператор обеспечивает выполнение требований законодательства о локализации персональных данных, включая предусмотренные законом операции с использованием баз данных на территории Российской Федерации.

6.2. Использование инфраструктуры или подрядчиков за пределами Российской Федерации, а также передача данных иностранным лицам или сервисам оцениваются отдельно на предмет наличия трансграничной передачи персональных данных. При её осуществлении Оператор выполняет применимые требования статьи 12 Федерального закона № 152-ФЗ, включая уведомление уполномоченного органа в предусмотренных случаях.

6.3. Наличие сервера или базы данных на территории Российской Федерации само по себе не означает, что трансграничная передача отсутствует. Сведения о фактических странах обработки, получателях и правовых основаниях передачи должны соответствовать реально используемой инфраструктуре.

7. Передача данных третьим лицам

7.1. Персональные данные могут предоставляться третьим лицам в необходимом объёме: поставщикам серверной и облачной инфраструктуры, подрядчикам по техническому сопровождению, провайдерам авторизации и коммуникаций, платёжным организациям, поставщикам логистических услуг, аналитическим сервисам, а также уполномоченным государственным органам в случаях, предусмотренных законом.

7.2. Конкретный состав получателей зависит от используемых функций Платформы и подключённых Владельцем проекта интеграций. Подключение платёжных и логистических сервисов Владельцем проекта не означает, что QLess самостоятельно принимает оплату за товары или услуги такого Владельца.

7.3. Передача данных третьим лицам допускается при наличии правового основания и соблюдении требований к конфиденциальности и безопасности. В необходимых случаях с лицами, обрабатывающими данные по поручению Оператора, заключаются соответствующие договоры.

7.4. При использовании внешних информационных сервисов обработка данных их владельцами может дополнительно регулироваться их собственными документами. QLess отвечает за собственные действия и обязательства в пределах применимого законодательства.

8. Файлы cookie и техническая аналитика

8.1. Платформа может использовать технически необходимые cookie и аналогичные технологии для сохранения сессий, авторизации, обеспечения безопасности и корректной работы интерфейсов.

8.2. Необязательные аналитические и иные технологии применяются при соблюдении предусмотренных законом требований, включая получение согласия, если оно необходимо.

8.3. Пользователь может управлять файлами cookie средствами браузера. Ограничение технически необходимых cookie может нарушить работу отдельных функций.

8.4. Перечень фактически используемых аналитических и иных сторонних инструментов должен быть опубликован или отражён в документации Оператора после проверки их подключения и состава собираемых данных.

9. Защита персональных данных

9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий.

9.2. Такие меры могут включать разграничение прав доступа, проверку полномочий пользователей, защищённые соединения, регистрацию событий безопасности, резервное копирование, обновление программного обеспечения и контроль доступа к инфраструктуре.

9.3. Разделение данных по проектам используется для ограничения доступа к информации в соответствии с полномочиями пользователей. Наличие технической изоляции не освобождает Оператора от иных обязанностей по защите персональных данных.

9.4. Доступ сотрудников и подрядчиков к данным предоставляется только в объёме, необходимом для выполнения их обязанностей, с соблюдением установленных требований конфиденциальности.

10. Права субъектов персональных данных

10.1. Субъект персональных данных вправе в предусмотренных законом пределах получать сведения об обработке своих данных, требовать их уточнения, блокирования или уничтожения, отзывать согласие, требовать прекращения обработки, обжаловать действия Оператора в Роскомнадзор или суд, а также пользоваться иными правами, предусмотренными законодательством.

10.2. Запрос направляется по адресу электронной почты, указанному в разделе 1, либо иным опубликованным Оператором способом. Для защиты данных Оператор вправе запросить сведения, необходимые для идентификации заявителя, в пределах закона.

10.3. Если обращение касается персональных данных Клиента конкретного проекта, обрабатываемых QLess по поручению Владельца проекта, заявитель может обратиться непосредственно к Владельцу проекта. QLess оказывает Владельцу проекта содействие в исполнении законных запросов в соответствии с договором и законодательством.

10.4. Ответы на запросы, прекращение обработки, блокирование и уничтожение данных осуществляются в сроки, предусмотренные действующим законодательством Российской Федерации.

11. Обязанности Владельцев проектов

11.1. Владелец проекта самостоятельно обеспечивает законность обработки персональных данных своих клиентов и сотрудников, в том числе определяет цели, состав и сроки обработки, предоставляет необходимые уведомления и получает согласия, когда они обязательны.

11.2. Владелец проекта не вправе загружать в Платформу данные, на обработку которых у него отсутствуют надлежащие правовые основания, либо использовать функции Платформы с нарушением законодательства.

11.3. Владелец проекта обязан ограничивать доступ своих сотрудников к данным клиентов, своевременно отзывать доступ у лиц, утративших полномочия, и обеспечивать корректность собственных настроек интеграций.

11.4. Порядок обработки данных по поручению Владельца проекта, включая перечень данных, цели, операции, требования к защите и конфиденциальности, а также обязанности сторон, закрепляется в договоре и/или отдельном поручении на обработку персональных данных.

12. Изменение Политики

12.1. Оператор вправе изменять настоящую Политику с учётом изменений законодательства, функций Платформы и фактических процессов обработки данных.

12.2. Новая редакция размещается на сайте https://qless.ru по адресу https://qless.ru/privacy и вступает в силу с указанной в ней даты, если иной порядок не предусмотрен законодательством.

12.3. Если изменения требуют получения нового согласия или выполнения иных обязательных процедур, Оператор обеспечивает их проведение до начала соответствующей обработки.

13. Контактная информация

Оператор: [полное наименование / Ф. И. О. ИП] ИНН: [номер] ОГРН/ОГРНИП: [номер] Адрес: [адрес] Электронная почта для обращений по вопросам персональных данных: [адрес] Сайт: https://qless.ru