Политика конфиденциальности

Этот документ объясняет, какие данные площадка «Сервисный эпицентр» о вас собирает, зачем, кому передаёт, сколько хранит и что вы можете с этим сделать.

Перечень ниже снят с самой системы, поле за полем, а не написан по образцу. Если что-то в нём кажется лишним — значит, оно действительно хранится, и это повод спросить, а не повод считать текст формальностью.

Это черновая редакция. Реквизиты оператора ещё не заполнены — блок в конце документа помечен видимым образом. Пока он пуст, согласия к этой редакции не привязаны.

1. Какие данные мы обрабатываем и зачем

Учётная запись

• Адрес электронной почты. Он же логин. Нужен для входа, подтверждения регистрации, восстановления пароля и писем о самой учётной записи.
• Пароль. Хранится не сам пароль, а его необратимое преобразование. Восстановить исходный пароль не может никто, включая площадку.
• Отметка о подтверждении почты и действующие сессии. Без подтверждённой почты покупки закрыты; сессия нужна, чтобы не входить заново на каждой странице.

Профиль

• Имя и фамилия. Сервисный центр должен знать, кому выдавать заказ.
• Город. Подбор ближайших центров и показ каталога.
• Телефон. Необязателен и при регистрации не спрашивается; нужен центру, чтобы позвонить по заявке. Рядом хранится отметка «телефон не проверен» — владение номером площадка не проверяет и не утверждает обратного.
• Отметка о согласии с документами и время согласия. Время ставит база своим часами, а не браузер: дата, присланная из браузера, доказательством не является.
• Адреса доставки: город, улица, дом, квартира. Нужны для доставки и для расчёта расстояния до центра при подборе. Для индекса, комментария к адресу и координат место заведено, но формы площадки их сейчас не заполняют.
• Партнёрские номера Greenleaf — действующий и прежние. Нужны для партнёрской цены; номер проверяет сам центр вручную. Прежние номера не удаляются: центр может вернуться к старой заявке и должен увидеть тот номер, который проверял.

Покупки

• Корзина: товар, выбранный сервисный центр, количество.
• Избранное: отмеченные товары и отмеченные центры. Избранный центр показывается в списке предложений первым.
• Заявки — снимками. В заявку копируются имя, телефон, почта, адрес доставки (при доставке), комментарий, заявленный партнёрский номер и тип цены, а также состав заявки и суммы. Именно снимок, а не ссылка: правка профиля уже поданную заявку не меняет — центр должен видеть то, о чём договаривались.
• История изменений заявки и резервы: кто и когда менял состояние, сколько товара отложено и до какого момента, по какой причине резерв снят.
• Свободные поля, которые вы заполняете сами. Их стоит назвать отдельно, потому что человек пишет в них что угодно, в том числе личное: комментарий к заявке, комментарий при отмене заявки, комментарии в истории изменений заявки — их пишете и вы, и сотрудник центра, — и сообщения в переписке. Довод тут тот же, что и про переписку: свободное поле не ограничивает пишущего.
• Уведомления: номер заявки, код состояния, название центра. Персональных данных в них нет намеренно — уведомления рассчитаны на отправку почтой, а письмо это ещё одно место, где данные оказываются вне площадки.

Переписка с сервисным центром

• Сообщения — свободный текст, который вы пишете сами. Там неизбежно оказываются адреса, телефоны и номера заявок: их пишет человек. Площадка переписку не читает — её видят только две стороны разговора.
• Отметка о том, до какого момента вы дочитали переписку.

Согласия с документами

• Запись согласия: какой документ, какая его редакция, время согласия и время записи, IP-адрес и строка браузера. Нужна затем, чтобы можно было доказать, с какой именно редакцией вы согласились. Запись нельзя изменить — доказательство, которое правится задним числом, доказательством не является.
• Отпечаток текста документа будет сохраняться рядом с редакцией после включения этой редакции в действие. Сейчас он не сохраняется, и написано это так, а не иначе, намеренно: место для него в записи есть, но пустое место — не доказательство.
• Честная оговорка: адрес и браузер записываются в тот момент, когда согласие записано, а не когда поставлена галочка. При регистрации сессии ещё нет, и первый запрос от вашего имени приходит позже — при переходе по ссылке из письма. Обычно это тот же браузер и тот же адрес, но утверждать этого нельзя.

Журнал действий площадки

• Записи журнала: какое действие совершил сотрудник площадки, над чем и когда. Сюда же попадает каждое обращение сотрудника площадки к карточке покупателя и каждый поиск по людям — эти две записи несут только ссылку на то, к чему обращались, персональных данных в них нет. Журнал существует затем, чтобы обращение к чужим данным нельзя было совершить незаметно.
• Но не весь журнал устроен так — и об этом нужно сказать прямо. Часть записей несёт свободный текст, который сотрудник площадки набирает сам, руками, в обычное поле ввода: причину отклонения заявки на подключение центра, причину смены состояния центра (скрытие, блокировка, возврат к работе), примечание при продлении подписки и примечание при исправлении её срока (в последнем случае поле обязательно). Обработка поля — только обрезка пробелов по краям, больше ничего. Если сотрудник впишет туда персональные данные постороннего человека — номер телефона, фамилию, адрес, — они останутся в журнале навсегда: по своему устройству журнал нельзя ни изменить, ни удалить, и это его смысл, а не недоработка, которую можно почистить. От этого не защищает ни одна проверка в коде — только дисциплина того, кто пишет.

Заявка на подключение сервисного центра

Если вы её подавали, дополнительно хранятся:

• имя ответственного, телефон и почта для связи;
• сведения об организации: наименование, форма, ИНН, ОГРН, юридический адрес;
• адрес торговой точки. Место для координат заведено, но форма заявки их сейчас не заполняет;
• подтверждение статуса официального сервисного центра — свободный текст, который заявитель пишет сам;
• документы и фотографии, приложенные к заявке. Они лежат в закрытом хранилище: ссылка на файл не работает без временной подписи, выданной тому, кому файл положен.

Чего мы не собираем

Аналитика и сбор ошибок на площадке не используются.

Рекламных и следящих сценариев на страницах нет. Своих файлов cookie, кроме тех, что держат вашу сессию, площадка не ставит.

Сказано в настоящем времени намеренно. Сбор ошибок в приложение встроен, но выключен и в браузер не загружается вовсе; включается он одной настройкой площадки, без единой строки кода. В день, когда его включат, этот документ будет изменён — здесь появится, что именно уходит в сбор ошибок и кому.

2. Где и как данные обрабатываются

Данные обрабатываются в облачной инфраструктуре.

Мы не называем здесь ни страну размещения, ни утверждение об отсутствии трансграничной передачи. Написать это сейчас значило бы пообещать то, чего никто не проверял, — а обещание в этом документе стоит дороже всего. Как только вопрос будет решён по существу, редакция изменится.

Две вещи ваш браузер запрашивает не у площадки, и об этом честно:

• Проверка от роботов на форме входа, форме регистрации и форме запроса восстановления пароля. Её выполняет сторонний сервис (Cloudflare Turnstile), и он видит ваш сетевой адрес и сведения о браузере. На форме ввода нового пароля этой проверки нет.
• Подложка карты сервисных центров. Плитки карты грузятся с серверов проекта OpenStreetMap, и им виден ваш сетевой адрес и та область карты, которую вы смотрите.

Остальное — шрифты, снимки, стили — отдаёт сама площадка.

3. Кому передаются данные

Сервисному центру, которому вы отправили заявку. Он получает имя, телефон, почту, адрес доставки (при доставке), комментарий, заявленный партнёрский номер и состав заявки — всё, без чего заявку нельзя исполнить.

Сервисный центр, получивший заявку, становится самостоятельным оператором ваших данных и отвечает за них сам.

Сервисному центру, с которым вы переписываетесь. В переписке центр видит ваше имя без фамилии и то, что вы написали сами. Фамилия в переписке не нужна ни разу; по заявке центр и так получает полное контактное имя.

Сотрудникам площадки — в объёме, необходимом для работы сервиса. Карточка покупателя и поиск по людям отдаются только вместе с записью в журнал: выдача данных и запись о ней — одно неразделимое действие.

Границу этого утверждения надо назвать честно: остальные обращения записи в журнал не оставляют. Заявки на подключение вместе с контактами заявителя, приложенные к ним документы и записи о согласиях сотрудник площадки читает без следа в журнале. Самое крупное в этом перечне — ваши заявки на покупку: суперадминистратору открыта вся таблица заявок со снимком имени, телефона, почты и адреса доставки, экран площадки «Все заявки» читает её напрямую, и такое чтение журнала тоже не оставляет.

Организациям, обеспечивающим работу площадки, — в объёме, необходимом для её работы.

По требованию закона — уполномоченным органам, в предусмотренных законом случаях и порядке.

Мы не продаём ваши данные и не передаём их для рекламы.

4. Сколько мы храним

• Данные учётной записи и профиля — пока существует учётная запись.
• Заявки — после удаления учётной записи остаются в обезличенном виде, см. раздел 6.
• Записи журнала доступа к персональным данным — по своему устройству журнал неизменяем, см. раздел 6. Отдельный срок хранения журнала пока не установлен; когда он появится, эта строка изменится.
• Документы и фотографии, приложенные к заявке на подключение сервисного центра, — не дольше трёх лет со дня решения по заявке. Дальше они удаляются. Отдельной автоматической уборки хранилища сейчас нет: файлы удаляются вручную, и об этом сказано прямо, а не спрятано за словом «хранятся до достижения целей обработки».
• Записи о согласиях — удаляются вместе с учётной записью.

5. Ваши права

• Узнать, какие данные о вас есть, и получить их копию.
• Исправить их. Имя, фамилию, город, телефон, адреса и партнёрский номер вы правите сами в профиле. Адрес почты меняется отдельным порядком — с подтверждением на оба адреса, старый и новый.
• Отозвать согласие на обработку. Практически это означает удаление учётной записи: без согласия у площадки не остаётся основания обрабатывать ваши данные для её работы.
• Удалить учётную запись — самому, из профиля, без обращения к площадке.
• Обратиться с жалобой — к оператору по адресу из блока реквизитов или в уполномоченный орган по защите прав субъектов персональных данных.

6. Что происходит при удалении учётной записи

Обезличивается:

• профиль — имя, фамилия, город и телефон стираются, ставится отметка обезличивания;
• снимки в ваших заявках — имя заменяется на «Удалённый покупатель», телефон, почта, адрес доставки и партнёрский номер заменяются на заглушки, комментарий стирается;
• контакты в заявке на подключение сервисного центра — имя ответственного, телефон и почта. Сведения об организации остаются: ими площадка объясняет своё решение по заявке;
• ваши сообщения в переписке — текст заменяется, а сама переписка остаётся у центра: она принадлежит двоим, и второй вправе помнить о своём заказе.

Удаляется совсем: адреса доставки, партнёрские номера, избранные товары и центры, корзина, записи о ваших согласиях.

Остаётся как есть, потому что персональных данных в этом нет: уведомления (в них лежат номер заявки, код состояния и название центра), отметки о том, до какого места вы дочитали переписку, резервы товара и сами записи истории изменений заявки — кто и когда менял состояние. Связь с вами у этих записей остаётся, но за ней уже нет ни имени, ни телефона, ни адреса.

Одно уточнение внутри этого перечня: комментарии в истории изменений заявки — свободный текст, и они обезличиваются тем же порядком, что и сообщения переписки — заменяется текст, а не запись.

Учётная запись: адрес почты заменяется служебным, пароль стирается, подтверждение почты снимается, записи о ваших сессиях в базе удаляются — новый вход невозможен, и обновление уже открытой сессии больше не пройдёт. Точность здесь важна: токен доступа, уже выданный браузеру до удаления, продолжает действовать до собственного истечения — это может быть до часа. Он не открывает вход заново и не переживёт следующее обновление сессии, но в это окно всё ещё действует — сказать «войти нельзя» без этой оговорки значило бы сказать неточно. Сама строка учётной записи в базе остаётся, но ваших данных в ней нет.

Про согласия отдельно, потому что это размен, а не мелочь: они удаляются вместе с вами. Если потом кто-то спросит, давали ли вы согласие, предъявить будет нечего. Взамен площадка не хранит адрес и браузер того, кто попросил себя забыть.

После удаления учётной записи остаются: обезличенные заявки — они являются бухгалтерским следом сервисного центра; записи журнала о доступе сотрудников площадки к персональным данным — этот журнал неизменяем по устройству, и в этом его смысл.

Остаётся и третье, и об этом надо сказать прямо: документы и фотографии, приложенные к заявке на подключение сервисного центра, при удалении учётной записи из хранилища не исчезают. Убрать их умеет только отдельная уборка, которой сейчас нет; они хранятся не дольше трёх лет со дня решения по заявке и удаляются вручную. Прочитать их может только суперадминистратор площадки — тот же, кто читал их при рассмотрении заявки.

7. Как мы защищаем данные

• Разграничение доступа живёт в самой базе, а не только в интерфейсе. Каждая таблица закрыта правилами, и запрос, обошедший экран, упирается в те же правила. Забытый фильтр в коде ловится второй линией, а не становится утечкой.
• Служебный ключ доступа к базе не покидает сервер. В браузер уходит только ключ с правами обычного посетителя.
• Документы заявителей лежат в закрытом хранилище, ссылки на них временные и подписанные.
• Обращение сотрудника площадки к карточке покупателя невозможно без записи в журнал — выдача данных и запись о ней выполняются одним действием.
• Переписка недоступна площадке — не по обещанию, а по правам доступа.
• Пароль хранится в необратимом виде, соединение с площадкой защищено.
• Форма входа, форма регистрации и форма запроса восстановления пароля защищены проверкой от роботов; частота регистраций и частота отправки сообщений ограничены порогами.

Чего эта защита не делает: содержимое загружаемых файлов не проверяется — проверяются только объявленный тип и размер. И общее: абсолютной защиты не существует, и обещать её здесь никто не будет.

8. Как с нами связаться

Обращение по любому вопросу этого документа — по адресу из блока реквизитов. Укажите, о какой учётной записи речь (адрес почты, на который она заведена), и чего вы хотите: получить копию данных, исправить их, отозвать согласие, удалить учётную запись. Ответ даётся в тридцатидневный срок со дня получения обращения.

Обработка данных ведётся в соответствии с законодательством о персональных данных.

Реквизиты оператора

Реквизиты уточняются. Наименование, ИНН, адрес и почта для обращений будут указаны здесь до включения документа в действие. Пока этот блок не заполнен, документ является черновиком и согласия к нему не привязаны.