Политика конфиденциальности

Это перевод с английского языка. При любом расхождении преимущественную силу имеет английская версия.

Дата вступления в силу: ‹effective_date›

1. Кто мы

Контролёр данных. Контролёром персональных данных, обрабатываемых через платформу WAW365 (waw365.com, далее — «Платформа»), является:

‹controller_name›
‹registered_address›
Регистрационный номер: ‹registration_number› · VAT: ‹vat_number›
Контакт: ‹contact_email›

⚠ окончательные реквизиты лица — организационно-правовая форма, регистрационный номер (KRS/NIP) и номер НДС после регистрации

Контакт по вопросам защиты данных. По любым вопросам обработки ваших персональных данных, а также для реализации ваших прав пишите на ‹contact_email› (тема «Data protection») или выберите тему «Запрос по защите данных» в контактной форме на странице /contact. Правовая информация (реквизиты оператора) опубликована на странице /legal.

⚠ оценка необходимости DPO (ст. 37 GDPR) — задокументировать вывод; при назначении DPO заполнить поля DPO

⚠ представитель в ЕС по ст. 27 — нужен, только если лицо учреждено вне ЕС/ЕЭЗ; подтвердить после определения места учреждения

2. Какие данные мы собираем и зачем

WAW365 — B2B-маркетплейс автомобильных запчастей, который в настоящее время работает в режиме закрытой беты для зарегистрированных бизнес-пользователей. В этом разделе описаны все категории персональных данных, которые мы фактически собираем, цели сбора и правовые основания по статье 6 GDPR.

2.1 Регистрация аккаунта, вход и проверка бизнеса

Собираемые данные: имя пользователя, адрес электронной почты, пароль (хранится только в виде солёного криптографического хеша — никогда в открытом виде), название компании / отображаемое имя, страна и город, язык интерфейса, а также — если вы зарегистрировались по реферальной или пригласительной ссылке — использованный реферальный код.

Если вы входите через Google Sign-In, мы получаем от Google ваш адрес электронной почты и имя; Google узнаёт, что вы пользуетесь Платформой. Этот процесс инициируете вы сами.

При регистрации, входе или выборе настроек согласия мы записываем событие согласия: снимок вашего e-mail, IP-адрес, user-agent браузера, язык интерфейса, версии юридических документов, действовавших в этот момент, и ваш выбор по cookie (в том числе отметку о том, что выбор был применён автоматически, потому что ваш браузер передал сигнал Global Privacy Control или Do Not Track, — см. Политику cookie). Эти записи — наше доказательство согласия и принятия договора (ст. 7(1) GDPR).

Проверка бизнеса. Регистрация требует подтверждения адреса электронной почты. При регистрации не требуются номер плательщика НДС, юридический адрес или регистрационные документы компании; однако позднее мы можем запросить документы компании (например, выписку из торгового реестра и номер НДС), проверить номер НДС через сервис VIES Европейской комиссии, а также отказать в регистрации или приостановить аккаунты, связанные с лицами или организациями, находящимися под санкциями ЕС. Если такие документы относятся к идентифицируемому лицу (например, индивидуальному предпринимателю или уполномоченному представителю), мы обрабатываем их для проверки бизнеса и исполнения правовых обязанностей.

Цели: создание и защита аккаунта, аутентификация, сервисные коммуникации, проверка бизнеса, соблюдение санкционных требований, доказательство факта согласия и принятия договора.

Правовое основание: ст. 6(1)(b) GDPR (договор) — для аккаунта; ст. 6(1)(c) GDPR (правовые обязанности, включая санкционное право ЕС) и ст. 6(1)(f) GDPR (законный интерес в надёжном B2B-маркетплейсе) — для проверки; ст. 6(1)(c) и (f) GDPR — для записей о согласии (юридическая подотчётность и защита правовых требований).

2.2 Профиль поставщика и данные каталога

Собираемые данные: торговое название, номер телефона, адрес и — если вы включили видимость на карте — точные географические координаты, страна/город, локаль, позиции каталога (артикулы, цены, остатки) и загруженные вами фотографии товаров. Для программного доступа мы храним ваш API-ключ и аппаратный идентификатор только в виде криптографических хешей.

Цели: показ вашего предложения покупателям, поиск и оформление заказов, карта поставщиков (только если вы разрешили отображение) и безопасная авторизация агента/API.

Правовое основание: ст. 6(1)(b) GDPR — исполнение договора о пользовании Платформой. Если профиль относится к конкретному физическому лицу (например, ИП/ФОП), применяется то же основание.

Фотографии товаров, которые вы загружаете, приватны: они видны только в вашем аккаунте и на карточках товаров, к которым вы их привязали, и нигде больше не публикуются.

2.3 Заказы и транзакции

Собираемые данные: содержимое заказа (артикулы, количество, цены, валюта и зафиксированный на момент заказа снимок обменного курса), идентификация покупателя и поставщика, снимок вашей страны/города на момент заказа, история статусов заказа и позиций с указанием, кто выполнил каждое изменение, применённые реферальные скидки, фотографии, приложенные к позициям заказа, а также — только если вы дали согласие на маркетинговые cookie — рекламные идентификаторы атрибуции (Google click ID и UTM-параметры кампаний), зафиксированные при переходе по рекламной ссылке.

Платежи: деньги за заказы через Платформу не проходят. Покупатели платят поставщикам напрямую, вне Платформы; Оператор никогда не является стороной сделки купли-продажи, никогда не получает и не удерживает денежные средства покупателей и не обрабатывает данные платёжных карт. Единственные платежи, которые получает Оператор, — это его собственные сборы (подписки и реклама), выставляемые пользователю по счёту; по ним мы храним счета и записи о поступлении оплаты, требуемые законодательством о бухгалтерском учёте.

Цели: исполнение заказов, разрешение споров, бухгалтерский учёт, предотвращение мошенничества и (при наличии согласия) измерение эффективности рекламы.

Правовое основание: ст. 6(1)(b) GDPR (договор); ст. 6(1)(c) GDPR (бухгалтерские и налоговые записи); ст. 6(1)(a) GDPR (согласие) — для рекламной атрибуции.

2.4 Заявки (RFQ), мессенджер и вложения

Собираемые данные: созданные вами заявки на запчасти (свободный текст названий и примечаний, приложенные файлы и фото, необязательная ссылка на сохранённый автомобиль), полученные предложения, а также сообщения между покупателями и поставщиками во встроенном мессенджере, включая вложения, отметки о прочтении и файлы, загружаемые вами для автоматического распознавания списков запчастей.

Цели: процесс запроса предложений, коммуникация между контрагентами, ведение проверяемой записи договорённостей.

Правовое основание: ст. 6(1)(b) GDPR — исполнение договора.

Сообщения являются общей записью двух сторон. Удаление вашего аккаунта не удаляет копию переписки у контрагента — она остаётся частью его записей о сделке.

2.5 Данные получателей доставки (данные третьих лиц)

При оформлении сделки заказывающий пользователь может указать данные доставки: имя получателя, номер телефона, адрес доставки и примечания к доставке. Получателем может быть не владелец аккаунта, а другое лицо (сотрудник, клиент, контакт склада).

Источник этих данных: пользователь, оформляющий заказ, а не сам получатель. Указывая контактные данные другого человека, вы отвечаете за наличие у вас права передать их нам и контрагенту.

Цели: доставка и исполнение конкретной сделки; данные видны только сторонам этой сделки.

Правовое основание: ст. 6(1)(b) GDPR (исполнение договора с заказывающим пользователем) и ст. 6(1)(f) GDPR (законный интерес в завершении доставки) — в отношении получателя.

Если вы получатель доставки и не являетесь пользователем Платформы, вы можете реализовать права из раздела 9, написав на ‹contact_email›.

2.6 Загрузка прайс-листов

Собираемые данные: файлы, загружаемые поставщиками для автоматического импорта каталога (таблицы и структурированные файлы). Такие файлы иногда содержат контактные данные сотрудников поставщика.

Цели: разбор и импорт товарных данных в каталог поставщика.

Правовое основание: ст. 6(1)(b) GDPR — исполнение договора. В отношении контактов сотрудников, содержащихся в файлах, см. раздел 4 (роли): поставщик гарантирует право на их передачу.

Примечание об обработке: загруженные прайс-листы разбираются собственными парсерами Платформы на собственных серверах Платформы (Hetzner, Германия, ЕЭЗ). Ни файлы, ни результаты разбора не передаются никаким третьим лицам.

2.7 IP-адреса, геолокация и журналы безопасности

Здесь мы говорим конкретно, поскольку эти данные собираются с каждого посетителя.

Что мы собираем и где это хранится:

• Журналы доступа веб-сервера — IP-адрес, запрошенный URL, user-agent и referrer каждого запроса; хранятся на наших собственных серверах для мониторинга безопасности и расследования злоупотреблений.
• Записи сессий и устройств — для вошедших пользователей: IP-адрес, user-agent браузера и определённые по ним страна/город для каждой активной сессии. Они показываются вам в разделе «Настройки → Устройства», где можно отозвать любую сессию. Записи удаляются при отзыве сессии или при очистке истёкших сессий из списка устройств.
• Подтверждения региона — когда вы подтверждаете или меняете регион, мы записываем выбор вместе с IP-адресом и user-agent, чтобы сохранять стабильную локализацию и выявлять злоупотребления.
• События согласия — см. раздел 2.1 (включают IP и user-agent).
• Отправка отзывов — IP-адрес на момент отправки хранится для антифрод-модерации (см. раздел 2.9).
• Антифрод-хеши — для учёта реферальных переходов, событий открытия писем и рекламных кликов мы храним только усечённый или солёный хеш IP-адреса, а не сам адрес.

Как работает геолокация: IP-адреса сопоставляются со страной/городом по локальной базе MaxMind GeoLite2 на наших собственных серверах — для подавляющего большинства запросов ваш IP-адрес никуда для геолокации не отправляется. Для небольшой доли адресов, которые локальная база не распознаёт, мы обращаемся к внешнему сервису ipapi.co (оператор вне ЕЭЗ), который в этом случае получает IP-адрес; результаты кэшируются на 24 часа. Мы работаем над минимизацией и устранением этого резервного механизма.

Цели: защита Платформы от несанкционированного доступа, перебора учётных данных, скрейпинга и мошенничества; ограничение частоты запросов; показ контента и валюты, соответствующих региону; возможность видеть и контролировать свои активные сессии.

Правовое основание: ст. 6(1)(f) GDPR — законный интерес в безопасности, целостности и доступности Платформы. Критерии и сроки хранения — в разделе 8.

2.8 Данные об автомобилях: VIN-декодер и паспорт автомобиля

VIN как персональные данные. Идентификационный номер транспортного средства (VIN) идентифицирует автомобиль, а не человека. Тем не менее мы рассматриваем VIN как персональные данные во всех случаях, когда его можно связать с идентифицируемым владельцем автомобиля или пользователем — например, когда его вводит конкретный аккаунт, когда он сохранён в гараже или сочетается с государственным номером.

Цели: декодирование VIN для идентификации автомобиля (марка, модель, комплектация) и подбор совместимых запчастей; для сохранённых автомобилей — ведение записи об автомобиле, которую вы попросили нас хранить.

VIN-декодер. Когда VIN вводится для подбора запчастей, мы декодируем его и бессрочно кэшируем результат декодирования как справочные данные — кэш хранит VIN и его техническую расшифровку (марка, модель, комплектация), но не то, кто его ввёл. Журнал декодирований (какой VIN, каким аккаунтом, с какого IP) автоматически удаляется через 90 дней (раздел 8.1).

Ваш гараж / цифровой паспорт автомобиля. Если вы сохраняете автомобиль в аккаунте, мы храним: VIN, государственный номер, данные автомобиля, историю владения в рамках Платформы, а также загруженные документы и фотографии. У каждого сохранённого автомобиля может быть ссылка с QR-кодом на его сервисную историю; любой, у кого есть эта ссылка, может просматривать историю, которую вы решили открыть — относитесь к QR-ссылке соответственно. Данные гаража хранятся до удаления автомобиля или аккаунта вами.

Мы не используем VIN для идентификации людей за пределами сохранившего их аккаунта и не передаём VIN третьим лицам в целях идентификации.

Правовое основание: ст. 6(1)(b) GDPR — декодер и гараж предоставляются по вашему запросу; ст. 6(1)(f) GDPR — законный интерес в ведении журнала декодирований для безопасности и предотвращения злоупотреблений, а также в поддержании технического кэша декодирований.

2.9 Отзывы о товарах

Собираемые данные: аккаунт автора, отображаемое имя, текст отзыва и IP-адрес на момент отправки (хранится для проверок против накруток). Отзывы проходят модерацию до и после публикации.

Правовое основание: ст. 6(1)(b) GDPR — публикация вашего отзыва; ст. 6(1)(f) GDPR — хранение IP в антифрод-целях.

2.10 Уведомления о наличии (сохранённые поиски)

Если вы просите сообщить, когда артикул появится в продаже, мы храним поисковый запрос и — для посетителей без аккаунта — указанный вами адрес электронной почты, используемый исключительно для отправки этого уведомления.

Правовое основание: ст. 6(1)(b) GDPR — услуга, которую вы явно запросили.

2.11 Доставка электронной почты и аналитика вовлечённости

Мы отправляем письма с собственного почтового сервера, размещённого в ЕЭЗ — никакой сторонний сервис email-рассылок не обрабатывает ваш адрес или содержимое писем (ваш собственный почтовый провайдер, например Gmail, разумеется, видит доставляемую вам почту).

Для доставленных писем мы измеряем открытия и клики с помощью пикселя и ссылок-редиректов, обслуживаемых с нашего собственного домена. Для каждого события хранится усечённый хеш IP-адреса (не сам IP) и user-agent.

Правовое основание: ст. 6(1)(f) GDPR (законный интерес в доставляемости и релевантности) — для транзакционных и сервисных писем; ст. 6(1)(a) GDPR (согласие) — для любых маркетинговых писем. Вы можете в любой момент отказаться от необязательных писем; отказы заносятся в постоянный список подавления, чтобы мы никогда не написали вам по ошибке.

2.12 Push-уведомления

Браузерные push-уведомления работают строго по подписке (opt-in) через нативный запрос разрешения вашего браузера. При подписке мы храним endpoint подписки и ключи. Доставка проходит через push-сервис производителя вашего браузера (Google, Mozilla или Apple); полезная нагрузка шифруется сквозным образом (RFC 8291), поэтому эти сервисы не могут прочитать содержимое уведомлений. Отписаться можно в любой момент в браузере или в настройках уведомлений.

Правовое основание: ст. 6(1)(a) GDPR — согласие.

2.13 Аналитика и реклама

На Платформе работает Google Analytics 4 (GA4) в режиме Google Consent Mode v2, который применяет выбор, сделанный вами в нашем баннере согласия. Аналитические cookie устанавливаются, а аналитические идентификаторы используются только после того, как вы нажмёте «Принять все»; если вы выберете «Только необходимые» или ваш браузер передаёт сигнал Global Privacy Control или Do Not Track до того, как вы сделали выбор, хранение аналитических и рекламных данных остаётся отключённым. Подробности — включая поведение тега Google до вашего выбора — приведены в Политике cookie.

Рекламные атрибуционные cookie (Google click ID и UTM-параметры, first-party cookie) устанавливаются только если вы приняли маркетинговые cookie в баннере согласия. Без этого согласия переход по рекламной ссылке не устанавливает атрибуционных cookie.

Аналитические данные хранятся в Google Analytics 14 месяцев (раздел 8.2).

Правовое основание: ст. 6(1)(a) GDPR — согласие. Подробности — в разделе 5 и в Политике cookie.

3. Данные из общедоступных источников (ст. 14 GDPR)

Помимо данных, которые вы предоставляете сами, мы ведём бизнес-справочник, построенный на общедоступных источниках. Речь идёт о компаниях и продавцах на рынке автозапчастей — включая индивидуальных предпринимателей и частных продавцов, не являющихся пользователями Платформы.

Категории данных: название бизнеса/продавца, номера телефонов, адреса электронной почты, адрес и географические координаты, сайт и содержимое публичных объявлений, в которых они фигурировали.

Источники:

• OpenStreetMap (через Overpass API) — публично отмеченные на карте автомобильные бизнесы (сервисы, магазины запчастей);
• публичные автомобильные маркетплейсы и сайты объявлений (например, OLX, Allegro, eBay, Finn.no и подобные) — публичные объявления и опубликованные в них данные продавцов;
• avto.pro — публично размещённые контакты продавцов и производителей;
• finndel.no — норвежские разборки б/у запчастей и их объявления (могут включать VIN автомобиля-донора);
• Statens vegvesen (норвежский государственный реестр транспортных средств) — данные об автомобилях (регистрационный номер, VIN, технические данные) из публичного реестра.

Цели: поиск потенциальных деловых партнёров и поставщиков (B2B-аутрич), обогащение каталога запчастей и анализ рынка.

Чего мы с этими данными не делаем: справочник не публикуется на Платформе, не продаётся и не передаётся третьим лицам; доступ ограничен нашей операционной командой. Аутрич уважает список подавления: если вы попросили с вами не связываться, мы фиксируем это и прекращаем контакты.

Правовое основание: ст. 6(1)(f) GDPR — наш законный интерес в развитии B2B-бизнеса на основе информации, которую сами эти лица сделали публичной в деловом контексте. Информацию, требуемую статьёй 14 GDPR, мы предоставляем через эту Политику, поскольку индивидуальное уведомление каждого включённого бизнеса потребовало бы несоразмерных усилий (ст. 14(5)(b) GDPR).

Ваши права: если ваши данные попали в этот справочник, вы можете возразить в любой момент (ст. 21 GDPR) и запросить доступ, исправление или удаление, написав на ‹contact_email›. Возражения против прямого аутрича удовлетворяются всегда и без объяснения причин.

4. Наши роли: контролёр и процессор

Для большинства видов обработки, описанных в этой Политике, ‹controller_name› выступает контролёром.

Для части данных мы выступаем процессором от имени поставщика, который является контролёром:

• CRM-записи, которые поставщик ведёт о собственных клиентах на Платформе (имена клиентов, телефоны, заметки, теги);
• контактные данные сотрудников, содержащиеся в загружаемых поставщиком файлах (например, в прайс-листах).

Для этих данных цели определяет поставщик; мы храним и обрабатываем их только для предоставления Платформы, на условиях Соглашения об обработке данных (DPA), являющегося частью Условий использования. Поставщики гарантируют наличие законного основания для передачи нам таких данных. Лицам, чьи данные внёс поставщик, следует сначала обращаться к этому поставщику; мы окажем содействие в рамках наших обязанностей процессора.

5. Cookie и аналогичные технологии

Использование нами cookie, localStorage и аналогичных технологий описано в отдельной Политике cookie, являющейся частью настоящей Политики. Кратко:

• Строго необходимые cookie (сессия входа — 14 дней, защита от CSRF, пропуск проверки на бота — когда она применяется, ваш язык и сама запись вашего выбора по cookie) устанавливаются без согласия, потому что без них Платформа не работает.
• Функциональное браузерное хранилище (валюта, регион, настройки интерфейса, недавние поиски, черновики форм) остаётся на вашем устройстве и не используется для трекинга.
• Аналитические cookie (Google Analytics 4) устанавливаются только с вашего согласия.
• Маркетинговые/атрибуционные cookie (рекламный click ID, UTM-параметры — 90 дней; реферальный код — 30 дней) устанавливаются только с вашего согласия.

Баннер согласия показывается при первом визите с вариантами «Принять все» и «Только необходимые». Если ваш браузер передаёт сигнал Global Privacy Control или Do Not Track, а вы ещё не сделали выбор, автоматически применяется вариант «Только необходимые». Ваш выбор хранится один год. Изменить его можно в любой момент по ссылке «Настройки cookies» в подвале сайта, которая снова открывает баннер; отзыв согласия не влияет на законность обработки до отзыва.

6. Получатели и процессоры

Мы передаём персональные данные только при необходимости и при наличии договорных и правовых гарантий.

6.1 Инфраструктура и процессоры

6.2 Сервисы, которые НЕ получают персональные данные

Для прозрачности:

• MaxMind GeoLite2 — геолокация выполняется по базе, загруженной на наши серверы; данные посетителей в MaxMind не отправляются.
• Telegram (операционные алерты) — наша операционная команда получает сервисные алерты (деплои, сбои, счётчики новых регистраций) через Telegram. Эти алерты содержат только числовые идентификаторы и сервисные метрики — никаких имён, адресов электронной почты и иных персональных данных.
• AI-сервисы — мы используем внешний AI-шлюз переводов и Abacus.AI (США) для перевода и создания исключительно контента каталога (описания запчастей, тексты категорий, переводы, генерируемые изображения категорий) на основе каталожных данных. Персональные данные пользователей, сообщения и отзывы в AI-сервисы не отправляются. Контент каталога, созданный с помощью AI, помечается на странице. Если какая-либо будущая функция потребует отправки пользовательского контента в AI-сервис, мы сначала обновим эту Политику и применим соответствующие гарантии.
• Google Merchant Center / Search Console — получают только товарные позиции и агрегированную поисковую статистику; персональных данных пользователей нет.
• Отслеживание ошибок — в настоящее время мы не используем сторонние сервисы отслеживания ошибок или записи сессий.

6.3 Иные получатели

• Контрагенты: покупатели и поставщики видят деловые контакты и детали сделок друг друга в объёме, необходимом для транзакции, — в этом состоит функция маркетплейса.
• Органы власти: при наличии требования закона или обязательного к исполнению запроса.
• Профессиональные консультанты: аудиторы, юристы, бухгалтеры, связанные обязанностью конфиденциальности.

Мы не продаём персональные данные. Мы не передаём персональные данные третьим лицам для их собственного маркетинга.

7. Международные передачи

Ядро Платформы — серверы приложений, базы данных, файловое хранилище, разбор прайс-листов, почтовый сервер и резервные копии — размещено в пределах ЕЭЗ (Hetzner, Германия; резервные копии — Германия/Финляндия).

Передачи за пределы ЕЭЗ происходят в следующих случаях:

• Cloudflare, Inc. (США): весь трафик Платформы проходит через глобальную сеть Cloudflare. Передача защищена Соглашением об обработке данных Cloudflare, включающим Стандартные договорные условия ЕС (SCC), и сертификацией Cloudflare в рамках EU–US Data Privacy Framework.
• Google LLC (США): Google Analytics 4 (при наличии вашего согласия), reCAPTCHA на отдельных публичных формах и Google Sign-In по вашему выбору. Google LLC сертифицирован в рамках EU–US Data Privacy Framework (решение Европейской комиссии об адекватности от 10 июля 2023 г.); условия обработки данных Google включают SCC как резервный механизм.
• ipapi.co (вне ЕЭЗ): резервная геолокация небольшой доли IP-адресов (раздел 2.7). Мы минимизируем этот поток с целью его устранения.
• Push-сервисы браузеров (США): транспорт сквозно зашифрованных push-нагрузок.
• Abacus.AI (США): только контент каталога — без персональных данных.

Украина. Мы не передаём персональные данные в Украину; см. раздел 10.

8. Сколько мы храним ваши данные

Мы храним персональные данные не дольше, чем необходимо для описанных целей. Мы различаем сроки, которые система применяет автоматически, и сроки, применяемые как политика. Мы не обещаем удаления, которое здесь не описано.

8.1 Автоматическое удаление, действующее сейчас

8.2 Политика хранения для остальных данных

8.3 Резервные копии

Мы делаем ночные резервные копии (база данных и файлы) с передачей по шифрованному каналу, храня короткую ротационную серию локально и внешнюю копию в пределах ЕЭЗ. Данные, удалённые из рабочих систем, исчезают из резервных копий по мере ротации наборов по этому графику. Резервные копии используются только для восстановления после сбоев и не применяются для восстановления данных, удалённых пользователем, — кроме случая, когда восстановление всей системы после аварии неизбежно их включает; тогда удаления выполняются повторно.

9. Ваши права

9.1 Права по GDPR

Если GDPR применяется к обработке ваших данных, вы имеете право:

• на доступ к своим данным и получение их копии (ст. 15);
• на исправление неточных или неполных данных (ст. 16);
• на удаление («право быть забытым») с учётом законных обязанностей хранения (ст. 17);
• на ограничение обработки в обстоятельствах ст. 18;
• на переносимость данных — машиночитаемую копию предоставленных вами данных (ст. 20);
• возразить против обработки на основании законного интереса, включая безусловное право возразить против прямого маркетинга (ст. 21);
• отозвать согласие в любой момент без влияния на предшествующую обработку (ст. 7(3));
• подать жалобу в надзорный орган. Наш ведущий надзорный орган — ‹supervisory_authority›; вы также можете обратиться в орган по месту вашего постоянного проживания, работы или места предполагаемого нарушения. ⚠ ведущий надзорный орган — зависит от окончательного места учреждения (например, UODO для Польши)

9.2 Инструменты самообслуживания, уже доступные в аккаунте

Для самых частых запросов писать нам не нужно — это уже работает прямо из аккаунта:

• Экспорт ваших данных (ст. 15/20): запросите экспорт в аккаунте; мы соберём ZIP-архив (данные аккаунта, профиль, конфигурация каталога и ценообразования, статистика заказов, реферальные данные) и предоставим защищённую ссылку на скачивание, действующую 7 дней. Один экспорт в 24 часа.
• Удаление аккаунта (ст. 17): самообслуживание с подтверждением паролем. Немедленно и необратимо удаляются ваши коммерческие данные (источники прайсов, склады, правила ценообразования, загрузки, аналитические записи); аккаунт анонимизируется (имя, e-mail и имя пользователя очищаются или заменяются нейтральным идентификатором; идентификаторы устройств и API стираются), деактивируется, все сессии завершаются.
• Удаление данных без закрытия аккаунта — отдельное самостоятельное действие с тем же объёмом, с сохранением логина.
• Устройства и сессии: просмотр всех активных сессий (устройство, IP, местоположение, последняя активность) и отзыв любой из них или всех сразу.
• Двухфакторная аутентификация (TOTP) может быть включена на любом аккаунте.
• Настройки уведомлений и отказ от e-mail управляются в настройках; отказы заносятся в постоянный список подавления.
• Выбор по cookie: изменить его можно в любой момент по ссылке «Настройки cookies» в подвале сайта.

Что удаление не затрагивает: записи о заказах и счетах (сохраняются в силу ст. 17(3)(b) GDPR — законные обязанности; см. раздел 8.2), записи о событиях согласия (сохраняются как доказательство, связь с аккаунтом разрывается), остаточные журналы безопасности (раздел 8.2) и сообщения, уже доставленные контрагентам, которые остаются частью их записей о сделках.

9.3 Запросы по электронной почте или через контактную форму

Всё, что не покрыто самообслуживанием, — включая запросы на экспорт со стороны покупателей, запросы по справочнику из публичных источников (раздел 3) и запросы лиц, не являющихся пользователями (например, получателей доставки), — можно направить:

• через контактную форму на странице /contact, выбрав тему «Запрос по защите данных»;
• по электронной почте на ‹contact_email›; или
• почтой: ‹controller_name›, ‹registered_address›.

Идентификационные данные оператора опубликованы в правовой информации на странице /legal.

Мы отвечаем в течение одного календарного месяца; для сложных запросов срок может быть продлён ещё на два месяца (мы сообщим об этом с указанием причин). Мы можем попросить разумное подтверждение личности. Реализация прав бесплатна, кроме явно необоснованных или чрезмерных запросов.

10. Информация для субъектов данных в Украине

Этот раздел дополняет Политику для лиц, находящихся в Украине, или чьи данные обрабатываются по украинскому праву.

Применимое право. Обработка персональных данных украинских субъектов дополнительно регулируется Законом Украины «О защите персональных данных» (Закон України «Про захист персональних даних», с изменениями) («Закон UA»).

Местонахождение базы данных; передачи в Украину нет. Все персональные данные, обрабатываемые через Платформу, хранятся и обрабатываются в Европейской экономической зоне (Hetzner, Германия; резервные копии — Германия/Финляндия) — это местонахождение базы персональных данных для целей Закона UA. Сбор данных от пользователей, находящихся в Украине и пользующихся Платформой через интернет, не является передачей персональных данных в Украину. Платформа не передаёт персональные данные в Украину.

Контрагенты в Украине. Если вы заключаете сделку с контрагентом, находящимся в Украине, этот контрагент видит ваши деловые контактные данные и детали сделки через Платформу — так же, как при любой другой сделке (раздел 6.3). Такое раскрытие происходит по вашему собственному запросу для исполнения заключаемого вами договора и основано на ст. 49(1)(b) GDPR (передача, необходимая для исполнения договора по запросу субъекта данных).

Регистрация контролёра. ⚠ требуется ли регистрация/уведомление Уполномоченного Верховной Рады Украины по правам человека (Закон UA) — подтвердить с украинским юристом

Ваши права по Закону UA (в дополнение к правам по GDPR из раздела 9, которые мы применяем как базовый стандарт): знать местонахождение базы данных, её назначение, наименование и адрес владельца; получать информацию об условиях доступа и передачах третьим лицам; получать доступ к своим данным и их содержание; заявлять мотивированное возражение против обработки; требовать удаления или блокирования данных, обрабатываемых незаконно или недостоверно; на защиту от незаконной обработки и случайной утраты; обжаловать обработку у Уполномоченного Верховной Рады Украины по правам человека (Уповноважений Верховної Ради України з прав людини) или в суде.

Контакт для украинских субъектов данных: ‹contact_email› или контактная форма на странице /contact.

11. Безопасность

Мы применяем технические и организационные меры, соразмерные рискам обработки. Фактически действующие меры включают:

• Шифрование при передаче: TLS для всех соединений, HTTP Strict Transport Security (политика на 2 года, включая поддомены); защита от DDoS и ботов на границе сети.
• Защита учётных данных: пароли хранятся только в виде солёных хешей PBKDF2-SHA256; API-ключи и идентификаторы устройств — только в виде хешей; двухфакторная аутентификация (TOTP) доступна на всех аккаунтах, секреты 2FA шифруются, коды восстановления хранятся хешированными.
• Шифрование хранимых секретов: учётные данные интеграций и аналогичные секреты в базе данных шифруются на уровне приложения (Fernet) с поддержкой ротации ключей.
• Защита от злоупотреблений: ограничение частоты запросов на всей Платформе, блокировка входа после повторных неудачных попыток, CAPTCHA на уязвимых к злоупотреблениям публичных формах, защита от CSV-инъекций в экспортах данных.
• Минимизация данных в телеметрии: антифрод-записи используют усечённые/солёные хеши IP там, где полный IP не нужен (раздел 2.7); операционные алерты не содержат персональных данных (раздел 6.2); EXIF-метаданные (включая встроенные GPS-координаты) удаляются из загружаемых фотографий на поддерживаемых путях.
• Контроль доступа: ролевая модель прав; административные интерфейсы отделены от пользовательских аккаунтов; скачивание GDPR-экспорта проверяется на принадлежность и отдаётся через бэкенд без публичных ссылок.
• Доступность: ночные резервные копии с внешней копией в ЕЭЗ (раздел 8.3), непрерывный мониторинг и оповещения о состоянии сервиса.

Мы в настоящее время не заявляем дискового шифрования at rest для наших томов хранения; данные at rest находятся в дата-центре в ЕЭЗ с физическим и организационным контролем доступа, а секреты внутри данных шифруются, как описано выше.

Нарушения защиты персональных данных: при нарушении, достигающем порогов ст. 33/34 GDPR, мы уведомим компетентный надзорный орган в течение 72 часов, а затронутых субъектов данных — без неоправданной задержки, как того требует закон.

Ни один способ передачи или хранения не является абсолютно безопасным; мы не можем гарантировать абсолютную защиту.

12. Дети

WAW365 — B2B-маркетплейс для бизнеса. Он не адресован детям; лица младше 18 лет не могут регистрироваться. Поскольку обработка данных пользователей основана на B2B-договоре, а не на согласии, возрастные пороги согласия, установленные государствами-членами, не применяются. Если вы считаете, что мы непреднамеренно собрали данные ребёнка, напишите на ‹contact_email› — мы незамедлительно их удалим.

13. Изменения этой Политики

Мы можем обновлять эту Политику при изменении нашей обработки, законодательства или регуляторных рекомендаций. О существенных изменениях зарегистрированные пользователи будут уведомлены по электронной почте или заметным уведомлением на Платформе до вступления изменений в силу. Действующая версия определяется датой вступления в силу в начале документа; предыдущие версии доступны по запросу.

Эта Политика составлена на английском языке; переводы предоставляются для удобства. При любом расхождении преимущественную силу имеет английская версия.

Дата вступления в силу этой версии: ‹effective_date›

Вопросы об этой Политике или наших практиках защиты данных: ‹contact_email›, контактная форма на странице /contact, либо письмом на ‹controller_name›, ‹registered_address›.