Политика обработки персональных данных

Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и иными применимыми актами законодательства Российской Федерации.

Политика определяет порядок обработки и защиты персональных данных, которые Оператор получает от субъектов персональных данных (Исполнителей и пользователей ботов) при использовании платформы «ПАПА ГРУЗЧИК».

Оператором персональных данных является:

Индивидуальный предприниматель [ФИО ИП]; ОГРНИП: [номер], ИНН: [номер], адрес: [адрес], e-mail: [email], тел.: [телефон].

Обработке подлежат персональные данные следующих субъектов:

• Исполнители — зарегистрированные на Платформе физические лица, достигшие 18 лет;
• Пользователи ботов — лица, инициирующие взаимодействие с Telegram- и MAX-ботами до момента полноценной регистрации;
• Представители Заказчиков и Бригад — при необходимости идентификации в рамках функционала Платформы.

Оператор обрабатывает следующие категории персональных данных:

• Учетные данные — телефонный номер, ФИО (включая отчество при наличии), электронная почта (необязательно), город проживания, профессия/специальность, пароль (хеш), идентификаторы пользователя в Telegram и MAX (ID, username), идентификатор чата (chat_id).
• Паспортные данные (сведения, относимые к специальной категории) — обрабатываются с письменного согласия субъекта: серия паспорта, номер паспорта, дата рождения. Указанные данные шифруются алгоритмом AES-256-GCM и хранятся в зашифрованном виде.
• Платежные реквизиты — номер банковской карты, наименование банка, ФИО владельца карты, телефон для СБП; для самозанятых/ИП — ИНН, ОГРНИП, расчетный счет, БИК, наименование банка, корреспондентский счет.
• Данные использования — аватар, история откликов и выполненных задач, история выплат, подписки на уведомления, push-подписки, данные WebSocket-сессий.
• Данные о бригадах — наименование, город, состав участников, роль (руководитель/участник).
• Переписка — сообщения чата между Исполнителем и менеджером/Заказчиком, прикрепленные файлы, ответы, статусы прочтения.

Примечание об аватаре: аватар используется Оператором исключительно для отображения в профиле и карточке исполнителя и не применяется для биометрической идентификации личности, в связи с чем не рассматривается как биометрические персональные данные в смысле 152-ФЗ.

• регистрация, авторизация и идентификация на Платформе;
• верификация личности и подтверждение возраста (не менее 18 лет);
• формирование и ведение карточки исполнителя, подбор задач по специальности;
• предоставление доступа к карточке исполнителя сотрудникам Оператора (менеджерам) и Заказчикам в рамках конкретных Задач и откликов;
• рассылка сервисных уведомлений;
• рассылка рекламных и маркетинговых материалов — при наличии отдельного согласия субъекта.

• Согласие субъекта персональных данных (ст. 6, 9, 10 152-ФЗ) — для большинства категорий данных.
• Заключение и исполнение договора (пользовательского соглашения/оферты), стороной которого является субъект (пп. 2 п. 1 ст. 6 152-ФЗ).
• Исполнение обязанностей Оператора, возложенных законодательством РФ (пп. 1 п. 1 ст. 6 152-ФЗ), в том числе в сфере налоговых и антиотмывочных требований.
• Письменное согласие на обработку специальных категорий персональных данных — для паспортных данных (ч. 2 ст. 10 152-ФЗ).

Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется как с использованием средств автоматизации, так и без таковых.

• Данные хранятся в базе данных PostgreSQL, размещенной на территории Российской Федерации.
• Передача данных осуществляется по защищенному соединению HTTPS (TLS).
• Пароли пользователей хешируются алгоритмом bcrypt.
• Паспортные данные шифруются алгоритмом AES-256-GCM и хранятся в зашифрованном виде.
• Аутентификация осуществляется с использованием JWT-токенов; токен и данные исполнителя хранятся в localStorage браузера пользователя.
• Доступ к персональным данным ограничен; сотрудники получают доступ исключительно в пределах служебных обязанностей.

Оператор передает персональные данные следующим третьим лицам:

• Telegram Messenger — при привязке Telegram-бота (идентификатор пользователя);
• MAX Messenger — при привязке MAX-бота (идентификатор пользователя);
• Push-сервис (VAPID) — для доставки push-уведомлений (подписка push);
• GreenSMS — для отправки SMS-кодов подтверждения;
• Заказчикам — доступ к карточке исполнителя (ФИО, аватар, профессия, город) в рамках конкретных Задач;
• Платежным системам и банкам/провайдерам СБП — для осуществления выплат.

Персональные данные не передаются сторонним рекламным, аналитическим или маркетинговым компаниям в целях продажи данных.

При передаче идентификаторов в Telegram и MAX Messenger может осуществляться трансграничная передача персональных данных. Оператор обеспечивает соблюдение требований 152-ФЗ о трансграничной передаче, включая получение согласия субъекта.

• Персональные данные хранятся в течение срока действия пользовательского соглашения (аккаунта) и достижения целей обработки.
• Паспортные данные хранятся в течение срока, необходимого для верификации личности и подтверждения возраста, и подлежат удалению по достижении указанных целей либо по отзыву согласия.
• История задач, выплат и переписка хранятся не менее 3 лет.

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения своих персональных данных;
• отозвать согласие на обработку персональных данных, направив запрос на [email];
• обращаться с жалобами в Роскомнадзор.

Отзыв согласия не распространяется на обработку, осуществление которой необходимо для исполнения обязательств Оператора перед субъектом либо в силу требований законодательства.