Политика обработки персональных данных

1Общие положения

Политика определяет порядок обработки персональных данных Индивидуального предпринимателя Колесникова Кирилла Александровича (далее Оператор) и меры по их защите.

Политика разработана в соответствии с Конституцией Российской Федерации и Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Политика применяется ко всем персональным данным, которые Оператор получает через сайт mpup.ru и сервис mpup.

Действующая редакция опубликована на этой странице и доступна без ограничений. Публикация выполняется во исполнение части 2 статьи 18.1 152-ФЗ: оператор, собирающий персональные данные через интернет, обязан опубликовать документ о политике обработки и сведения о реализуемых требованиях к защите.

Оператор обрабатывает данные по принципам статьи 5 152-ФЗ: обработка законна и справедлива, ограничена заранее определёнными целями, объём данных соответствует целям и не избыточен, данные точны и при необходимости обновляются, хранение ведётся не дольше, чем требуют цели обработки.

2Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу.
• Оператор — лицо, организующее обработку персональных данных и определяющее её цели и состав.
• Обработка — любое действие с персональными данными: сбор, запись, хранение, уточнение, использование, передача, удаление, обезличивание.
• Субъект — физическое лицо, к которому относятся персональные данные.
• Пользователь — посетитель сайта или пользователь сервиса.
• Cookie — небольшие файлы, которые сайт сохраняет в браузере пользователя.

3Категории субъектов

Оператор обрабатывает персональные данные следующих категорий лиц:

• посетители сайта
• пользователи сервиса и приглашённые ими сотрудники
• контрагенты Оператора и их представители
• покупатели торговых площадок — только имя и содержание отзыва, попадающие в сервис вместе с данными магазина; в отношении этих данных Оператор действует не как оператор, а по поручению пользователя (раздел 10)

Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные.

Ответственным за организацию обработки персональных данных является сам Оператор как индивидуальный предприниматель. Обращения по вопросам обработки принимаются на help@mpup.ru.

4Состав данных, цели и правовые основания

Регистрация и доступ к сервису. Обрабатываются имя, адрес электронной почты, хэш пароля. Категории субъектов — пользователи сервиса и приглашённые ими сотрудники. Цель — создание учётной записи, аутентификация, предоставление функций сервиса. Основание — исполнение договора-оферты, стороной которого является субъект: пункт 5 части 1 статьи 6 152-ФЗ. Отдельного согласия такая обработка не требует. Срок хранения — срок действия договора и три года после его прекращения.

Работа сервиса. Обрабатываются данные подключённых магазинов, полученные из API торговых площадок по токену, который пользователь ввёл добровольно: сведения о товарах, заказах, продажах, рекламных кампаниях, финансовых отчётах и отзывах покупателей. Категории субъектов — пользователи сервиса. Цель — предоставление функций сервиса. Основание — исполнение договора-оферты. Срок хранения — срок действия договора и три года после его прекращения.

Обращения в поддержку. Обрабатываются имя, адрес электронной почты и содержание обращения. Категории субъектов — пользователи сервиса и приглашённые ими сотрудники. Цель — ответ на обращение. Основание — исполнение договора-оферты. Срок хранения — срок действия договора и три года после его прекращения.

Безопасность доступа и разбор обращений. Обрабатываются IP-адрес, данные браузера, дата и время входа, а также изображение профиля и имя, видимые другим участникам магазина. Категории субъектов — пользователи сервиса и приглашённые ими сотрудники. Цель — защита от подбора паролей, расследование инцидентов, разбор обращений сотрудником поддержки, совместная работа команды в кабинете. Основание — отдельное согласие субъекта, которое даётся при регистрации самостоятельной отметкой и может быть отозвано. Срок хранения журнала входов — не более девяноста дней; имени и изображения профиля — срок действия договора и три года после его прекращения.

Информационная и рекламная рассылка. Обрабатываются имя, адрес электронной почты и идентификатор чата в Telegram, если пользователь подключил бота. Категории субъектов — пользователи сервиса. Цель — сообщения об обновлениях сервиса и предложениях Оператора. Основание — отдельное согласие по статье 15 152-ФЗ и части 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе», которое можно отозвать в любой момент. Срок хранения — пять лет с момента предоставления согласия либо до его отзыва, если отзыв поступит раньше.

Бухгалтерский и налоговый учёт. Обрабатываются реквизиты контрагентов и их представителей. Категории субъектов — контрагенты Оператора и их представители. Цель — исполнение обязанностей, возложенных законом. Основание — требования законодательства, пункт 2 части 1 статьи 6 152-ФЗ. Срок хранения — не менее пяти лет, как требуют законодательство о бухгалтерском учёте и Налоговый кодекс.

Данные покупателей торговых площадок Оператор обрабатывает по поручению пользователя, а не для собственных целей. Категории субъектов — покупатели торговых площадок. Срок хранения — срок действия договора с пользователем; после прекращения поручения данные уничтожаются. Условия поручения — в разделе 10.

Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.

5Порядок и сроки обработки, хранение

Обработка ведётся смешанным способом: с использованием средств автоматизации и без них.

Данные пользователей сервиса обрабатываются в течение срока действия договора и трёх лет после его прекращения. Данные, необходимые для бухгалтерского и налогового учёта, хранятся в сроки, установленные законом. Данные для рассылки обрабатываются до отзыва согласия.

По достижении цели обработки или после отзыва согласия данные уничтожаются в течение тридцати дней либо обезличиваются, если дальнейшая обработка возможна только в обезличенном виде.

Уничтожение выполняется удалением записей из базы данных сервиса без возможности восстановить их содержание средствами сервиса; из резервных копий такие данные исчезают по мере плановой замены копий. Факт уничтожения подтверждается актом.

Записи журнала согласий — дата, адрес электронной почты, IP-адрес, редакция документа — хранятся дольше учётной записи: они служат доказательством получения согласия, которое Оператор обязан представить по части 3 статьи 9 152-ФЗ.

Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на территории России: сервис работает на сервере, арендованном у ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525), Российская Федерация. Требование части 5 статьи 18 152-ФЗ соблюдается.

Трансграничная передача персональных данных не осуществляется.

Токены доступа к API торговых площадок хранятся в зашифрованном виде и не относятся к персональным данным, но защищаются наравне с ними.

6Передача третьим лицам

Оператор не продаёт персональные данные и не передаёт их для самостоятельных целей третьих лиц.

Передача возможна только в следующих случаях:

• торговым площадкам — в объёме запросов их API, совершаемых по поручению пользователя
• государственным органам — по мотивированному требованию в порядке, установленном законом

Размещение сервиса на арендованном сервере передачей персональных данных не является. Оператор арендует вычислительные ресурсы у ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525), Российская Федерация; по условиям договора провайдер персональные данные, обрабатываемые Оператором, по его поручению не обрабатывает и доступа к ним не получает. Безопасность данных на арендованных ресурсах обеспечивает Оператор.

Иных лиц к обработке персональных данных Оператор не привлекает.

Данные одного пользователя не показываются другому, за исключением сотрудников, которых пользователь сам пригласил в свой магазин.

7Права субъекта и как их реализовать

Субъект персональных данных вправе получить у Оператора следующие сведения (часть 7 статьи 14 152-ФЗ):

• подтверждение факта обработки его данных
• правовые основания и цели обработки
• применяемые Оператором способы обработки
• наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным или которым данные могут быть раскрыты по договору или по закону
• обрабатываемые данные, относящиеся к субъекту, и источник их получения
• сроки обработки данных, в том числе сроки их хранения
• порядок осуществления субъектом прав, предусмотренных 152-ФЗ
• сведения об осуществлённой или предполагаемой трансграничной передаче
• наименование лица, осуществляющего обработку по поручению Оператора

Кроме того, субъект вправе требовать уточнения, блокирования или уничтожения неточных, устаревших или незаконно полученных данных, отозвать согласие на обработку и обжаловать действия Оператора в Роскомнадзор или в суд.

Запрос направляется на help@mpup.ru или почтой по адресу Оператора. По части 3 статьи 14 152-ФЗ запрос содержит номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи документа и выдавшем его органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты учётной записи), и подпись.

Ответ направляется в течение десяти рабочих дней с момента получения запроса. Срок может быть продлён не более чем на пять рабочих дней с уведомлением заявителя. Повторный запрос тех же сведений направляется не ранее чем через тридцать дней после первоначального, если Оператор не представил их в полном объёме.

При выявлении неправомерной обработки Оператор прекращает её в течение трёх рабочих дней, а если это невозможно — уничтожает данные в течение десяти рабочих дней. Подтверждённая неточность данных устраняется в течение семи рабочих дней. Данные уничтожаются в течение тридцати дней после достижения цели обработки или отзыва согласия.

Отзыв согласия влечёт прекращение обработки и уничтожение данных, кроме случаев, когда обработка продолжается на другом законном основании — например, необходима для исполнения договора или предусмотрена законом.

8Меры защиты

Оператор принимает меры, предусмотренные статьёй 18.1 152-ФЗ, состав и перечень которых определяет самостоятельно.

Правовые меры: публикация настоящей Политики в открытом доступе на сайте, включение условий о конфиденциальности в договоры, оформление поручений на обработку.

Организационные меры: обязанности ответственного за организацию обработки исполняет сам Оператор, ограничение круга лиц с доступом к данным, разграничение прав доступа внутри сервиса по ролям и разделам, оценка вреда, который может быть причинён субъектам, внутренний контроль соответствия обработки требованиям закона, ознакомление лиц, привлекаемых к обработке, с требованиями 152-ФЗ и настоящей Политикой.

Технические меры:

• передача данных только по протоколу HTTPS с шифрованием TLS
• хранение паролей в виде необратимого хэша bcrypt, пароли в открытом виде не хранятся
• шифрование токенов доступа к API торговых площадок алгоритмом AES-256-GCM
• журналирование значимых действий в кабинете с указанием автора и времени
• отзыв всех ранее выданных сессий при смене пароля
• регулярное резервное копирование базы данных

При неправомерной передаче персональных данных Оператор уведомляет Роскомнадзор в течение двадцати четырёх часов с момента выявления инцидента и в течение семидесяти двух часов сообщает результаты внутреннего расследования, как требует часть 3.1 статьи 21 152-ФЗ. Затронутые субъекты уведомляются на адрес электронной почты.

9Cookie и журналы сервера

Технические cookie обеспечивают работу сервиса: сессия входа, выбранная тема оформления, состояние интерфейса. Аналитические cookie ставятся только с согласия посетителя, которое даётся кнопкой «Принять» в баннере: это счётчик Яндекс.Метрики (данные обрабатываются в России) и собственная метка источника перехода. Рекламных трекеров на сайте нет, данные о посещениях рекламным сетям не передаются. Состав cookie, сроки хранения и порядок отзыва согласия — в Политике в отношении файлов cookie.

Сервер ведёт технический журнал обращений: IP-адрес, время запроса, адрес страницы, данные браузера. Журнал нужен для поиска сбоев и защиты от подбора паролей и хранится не более девяноста дней.

10Обработка данных покупателей по поручению пользователя

Вместе с данными магазина в сервис попадают персональные данные покупателей торговой площадки: имя, указанное покупателем в отзыве, текст отзыва и приложенные к нему фотографии и видео.

Оператором этих данных является пользователь сервиса — продавец. Оператор сервиса обрабатывает их по поручению пользователя на основании части 3 статьи 6 152-ФЗ и только в целях, ради которых пользователь подключил магазин: показ отзывов и вопросов, подготовка ответов, аналитика по товарам магазина.

В собственных целях эти данные не обрабатываются, другим пользователям не показываются и третьим лицам не передаются. Условия поручения изложены в разделе 10 оферты.

Ответственность перед покупателем несёт пользователь как оператор. Запросы покупателей об их данных Оператор сервиса передаёт пользователю, у которого подключён соответствующий магазин.

11Браузерное расширение

Оператор распространяет браузерное расширение mpup для Google Chrome. Расширение работает в браузере пользователя и использует его действующую сессию в кабинете торговой площадки. Логин и пароль расширение не запрашивает и не получает.

Токены авторизации торговой площадки сохраняются только в локальном хранилище расширения на устройстве пользователя. Оператору и третьим лицам они не передаются.

На сервер Оператора расширение передаёт данные магазина, полученные из кабинета торговой площадки: сведения о товарах, ценах, позициях в поисковой выдаче, остатках, рекламных кампаниях и их метриках, отчёты о поисковых запросах, а также идентификатор магазина. Цель передачи — показать эти данные в личном кабинете пользователя и синхронизировать их между сотрудниками магазина. Правовое основание — исполнение договора-оферты, пункт 5 части 1 статьи 6 152-ФЗ.

Если к аккаунту подключено несколько магазинов, расширение получает данные каждого по очереди и возвращает исходный выбор активного магазина.

Часть обновлений расширение выполняет периодически в фоне, без действий пользователя: собирает общедоступные данные поисковой выдачи торговых площадок, в том числе по заданиям сервиса, и передаёт результат Оператору. Персональные данные при этом не собираются.

Персональные данные покупателей расширение не собирает. Историю просмотров, содержимое других сайтов и переписку расширение не читает и не передаёт.

Удалить переданные данные можно по обращению на help@mpup.ru. Расширение удаляется из браузера стандартными средствами Google Chrome; после удаления сохранённые им токены перестают существовать вместе с его локальным хранилищем.

12Изменения политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на этой странице.

Вопросы по обработке персональных данных направляйте на help@mpup.ru.

Сведения о документе

Дата публикации настоящей редакции — 29.08.2026. Действующая редакция размещена по адресу mpup.ru/privacy и доступна без ограничений.