1. Роли сторон
1.1. Заказчик поручает Исполнителю обрабатывать персональные данные, которые Заказчик передаёт в Заданиях, через API маркетплейса, файл, кабинет или иной согласованный канал. Заказчик определяет цель и законность такой передачи; Исполнитель выполняет документированные инструкции.
1.2. Поручение является частью договора по Публичной оферте. Оно не передаёт Исполнителю право использовать данные покупателей и поставщиков для собственной рекламы, обогащения баз или иных несовместимых целей.
1.3. Физические операции с товаром и относящимися к ним складскими документами выполняются по основному фактическому адресу: г. Москва, ул. Верхние Поля, д. 51Б, если конкретным Заданием не согласовано иное место.
2. Цели и категории субъектов
Цели: связаться с поставщиком и забрать Товар; идентифицировать заказ; напечатать этикетку; собрать и передать Отправление; сообщить статус; принять возврат; подтвердить операцию и рассмотреть претензию.
Субъекты: представители и сотрудники Заказчика; поставщики и их представители; курьеры; покупатели и получатели заказов; иные лица, прямо указанные Заказчиком как участники Задания.
3. Перечень данных
Фамилия, имя, отчество при наличии; номер телефона; рабочий адрес или точка встречи; идентификатор заказа, магазина и отправления; сведения о товаре и доставке; подпись или отметка о передаче; содержание деловой связи в объёме, необходимом для операции.
Заказчик не поручает обработку паспортных, медицинских, биометрических, платёжных карточных данных, сведений о судимости и иных специальных/чувствительных категорий, если стороны заранее не заключили отдельное письменное соглашение и не внедрили необходимые меры.
4. Операции
Сбор из канала Заказчика, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление перевозчику или маркетплейсу по Заданию, блокирование, удаление и уничтожение. Распространение неопределённому кругу лиц не поручается.
5. Обязанности Исполнителя
- обрабатывать данные только для договора и по документированным инструкциям Заказчика;
- соблюдать конфиденциальность и допускать только уполномоченных лиц;
- применять правовые, организационные и технические меры защиты с учётом угроз;
- по запросу предоставить документы, подтверждающие меры и выполнение поручения, в разумном объёме без раскрытия данных других клиентов и уязвимостей;
- помогать Заказчику отвечать на запросы субъектов, если данные находятся у Исполнителя;
- уточнять, блокировать, удалять или возвращать данные по законной инструкции;
- уведомить Заказчика о подтверждённом инциденте без неоправданной задержки, по возможности не позднее 12 часов после его внутренней квалификации, сообщить известный объём, меры и контакт для расследования;
- не выполнять явно незаконную инструкцию, сообщив причину;
- обеспечить локализацию и трансграничную передачу в соответствии с применимыми требованиями.
6. Субобработчики
Исполнитель вправе привлекать складских исполнителей, хостинг/IT, связь и перевозчиков, когда это нужно для Задания. На них возлагаются не менее строгие применимые обязанности по целям, конфиденциальности, безопасности, удалению и инцидентам. Актуальные категории субобработчиков раскрываются по обоснованному запросу Заказчика.
Передача конкретному маркетплейсу или перевозчику, прямо выбранному Заказчиком, считается документированной инструкцией. Если Заказчик обоснованно возражает против нового субобработчика, стороны ищут равноценную альтернативу; при её отсутствии соответствующая операция может быть прекращена.
7. Обязанности Заказчика
- иметь и уметь подтвердить законное основание сбора и передачи данных;
- предоставить субъектам требуемую информацию о получателях и обработке;
- передавать минимально необходимый, точный и актуальный набор;
- не включать чувствительные сведения в комментарии и файлы;
- обеспечить законность своей интеграции с маркетплейсом и полномочия пользователей;
- самостоятельно отвечать субъекту как оператор, привлекая Исполнителя в относящейся к нему части;
- своевременно направлять инструкции по удалению, возврату или ограничению обработки.
8. Безопасность
Минимальные меры включают: индивидуальные учётные записи; разграничение ролей; шифрование передачи; шифрование API-токенов при хранении; хеширование паролей; журналирование; защиту сессий и CSRF; ограничения запросов; резервное копирование и восстановление; обновления; отзыв доступа; физическое ограничение складских документов; инструктаж лиц с доступом.
Конкретная реализация может меняться без снижения требуемого законом уровня. Заказчик не вправе требовать раскрытия секретных ключей, данных других клиентов или информации, создающей уязвимость.
9. Инцидент и взаимодействие
Уведомление Заказчику содержит по мере установления: время, затронутые системы и категории данных, примерное число субъектов, возможные последствия, принятые меры и необходимые действия Заказчика. Предварительная информация дополняется после расследования.
Стороны координируют уведомления субъектов и Роскомнадзора. Каждая сторона выполняет собственные обязанности оператора и не публикует неподтверждённые сведения о другой стороне без законной необходимости.
10. Срок и завершение
Поручение действует, пока Исполнитель выполняет Задания и хранит данные на законном основании. После прекращения услуги данные возвращаются в доступной форме или удаляются по выбору Заказчика, кроме данных, которые Исполнитель обязан сохранить по закону или для защиты в споре. Такие данные блокируются от иных целей.
Резервные копии очищаются в пределах обычного цикла перезаписи; до этого восстановленные данные остаются под условиями поручения.
11. Проверка
Не чаще одного раза в год, а также после существенного инцидента Заказчик вправе запросить подтверждение мер. Очная проверка согласуется заранее, проводится в рабочее время, не нарушает безопасность и конфиденциальность других клиентов; расходы вне стандартного пакета несёт инициатор, если проверка не выявила существенного нарушения Исполнителя.