Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — Политика) составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые ООО «ДИСКОНТО» (ИНН 7734348475, ОГРН 1157746156655, КПП 772501001, адрес: 115432, г. Москва, Проектируемый пр-д 4062-й, д. 6, стр. 16, офис 6.18 (БЦ «Порт Плаза»); далее — Оператор) при использовании веб-сайта disconto.me (далее — Сайт).

Сведения об Операторе внесены в реестр операторов, осуществляющих обработку персональных данных: регистрационный номер 77-15-003345 от 22.04.2015.

Ответственный за организацию обработки персональных данных у Оператора — Чернышов Игорь Альбертович, адрес электронной почты igor.chernyshov@disconto.me.

Оператор ставит своей важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

2. Что представляет собой Сайт

На Сайте работает сервис кешбэка «Дисконто» (далее — Сервис): пользователь получает вознаграждение за покупки товаров, участвующих в акциях Оператора и его партнёров.

Сведения о покупках поступают в Сервис из мобильного приложения ФНС России «Проверка чеков ФНС России»: пользователь оформляет в приложении подписку на «Дисконто» как на оператора акций, подтверждает адрес электронной почты и сам направляет в акции «Дисконто» те чеки, по которым хочет получить вознаграждение. Сведения обо всех чеках пользователя Оператору не передаются. Подписка оформляется по воле пользователя и является способом исполнения Правил сервиса: без неё начисление вознаграждения невозможно. Отменить подписку пользователь может в любое время в приложении ФНС.

Сервис Федеральной налоговой службы «Мои чеки онлайн» (lkdr.nalog.ru) — другое приложение; подключение к Сервису через него не предусмотрено.

Доступ в личный кабинет Сервиса выполняется по адресу электронной почты и одноразовому коду, направляемому на этот адрес. Вознаграждение начисляется в баллах и по распоряжению пользователя выплачивается денежными средствами через сервис ЮKassa на кошелёк ЮMoney, указанный пользователем.

Порядок начисления и выплаты вознаграждения установлен Правилами сервиса, размещёнными на Сайте.

3. Какие персональные данные обрабатываются и с какой целью

3.1. Регистрация и вход в Сервис, ведение личного кабинета. Адрес электронной почты; одноразовый код подтверждения (в базе данных хранится только его хеш); фамилия, имя, номер телефона — если они были указаны пользователем ранее при использовании прежней версии сервиса «Дисконто» и перенесены в личный кабинет; дата регистрации; технические данные: IP-адрес, сведения о браузере и устройстве, дата и время обращения.

3.2. Подписка на «Дисконто» в приложении ФНС. Идентификатор подписки и срок её действия; токен доступа, полученный от приложения ФНС (хранится в виде необратимого хеша); адрес электронной почты, подтверждённый кодом; дата оформления подписки и дата последнего получения сведений.

3.3. Получение и проверка кассовых чеков. Фискальные реквизиты чека (номер фискального накопителя, номер фискального документа, фискальный признак), дата и время покупки, сумма чека, наименование, ИНН и адрес продавца, перечень товаров и услуг в чеке и их стоимость, а также полный текст сведений о чеке, переданных ФНС. Цель — проверить, соответствует ли покупка условиям действующих акций, исключить повторный учёт одного и того же чека и показать пользователю, почему вознаграждение начислено или не начислено.

3.4. Начисление вознаграждения и ведение баланса. Движения по балансу в баллах, их основание и дата, остаток баллов.

3.5. Выплата вознаграждения. Номер кошелька ЮMoney, указанный пользователем; сумма и дата выплаты; статус и идентификатор платежа в сервисе ЮKassa.

3.6. Поддержка пользователей. Тема, категория и текст обращения; изображения, приложенные пользователем к обращению; переписка с сотрудниками Оператора; дата обращения и дата ответа.

3.7. Информационные и рекламные рассылки. Адрес электронной почты, фамилия и имя (при наличии), номер телефона (при наличии) — только при наличии отдельного согласия.

3.8. Работа Сайта, защита от злоупотреблений и разбор спорных начислений. IP-адрес, сведения о браузере и устройстве, дата и время действий в личном кабинете, сведения о сессии.

Оператор не ставит своей целью обработку специальных категорий персональных данных (ст. 10 Закона) и биометрических персональных данных (ст. 11 Закона) и не обрабатывает их намеренно. Перечень товаров в кассовом чеке передаётся приложением ФНС в исходном виде и используется исключительно для сопоставления покупки с условиями акций. Пользователь сам решает, какие чеки направлять в акции: чек, который он не отправил, Оператору не поступает. Подписку можно отменить в любой момент.

Решения, порождающие юридические последствия в отношении пользователя и принимаемые исключительно на основании автоматизированной обработки персональных данных, Оператором не принимаются: сопоставление чека с условиями акции является техническим действием, результат которого пользователь вправе оспорить через поддержку.

4. Правовые основания обработки

Правовыми основаниями обработки являются:

• согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона) — для информационных и рекламных рассылок;

• необходимость исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона), — Правил сервиса, принимаемых пользователем при регистрации: регистрация и вход, получение сведений о кассовых чеках, направленных пользователем в акции из приложения ФНС, и проверка их соответствия условиям акций, ведение баланса, начисление и выплата вознаграждения, рассмотрение обращений. Отдельное согласие на получение сведений о кассовых чеках не требуется: без них исполнение Правил сервиса невозможно;

• необходимость исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6 Закона), — в части хранения документов о произведённых выплатах;

• необходимость осуществления прав и законных интересов Оператора (п. 7 ч. 1 ст. 6 Закона) — в части выявления и пресечения недобросовестных действий при получении вознаграждения, если это не нарушает права и свободы субъекта.

Согласие на получение информационной и рекламной рассылки предоставляется отдельно и не является условием регистрации в Сервисе и получения вознаграждения.

5. Передача персональных данных. Поручение обработки

Обработка персональных данных осуществляется Оператором самостоятельно, в том числе с использованием принадлежащих Оператору систем: платформы учёта согласий «1ОПД» (1opd.ru) и системы проверки кассовых чеков по условиям акций.

Персональные данные передаются следующим лицам:

• небанковская кредитная организация «ЮМани» (ООО НКО «ЮМани», ИНН 7750005725) — при выплате вознаграждения через сервис ЮKassa передаются номер кошелька ЮMoney, указанный пользователем, и сумма выплаты. Передача необходима для исполнения распоряжения пользователя о выплате;

• органы государственной власти — в случаях, объёме и порядке, предусмотренных законодательством Российской Федерации.

Иным третьим лицам персональные данные не передаются. Сведения о кассовых чеках поступают Оператору из приложения ФНС по действию самого пользователя и в обратном направлении Оператором не передаются.

Персональные данные обрабатываются и хранятся на серверах, расположенных на территории Российской Федерации. Трансграничная передача персональных данных не осуществляется.

6. Сроки обработки и хранения

• сведения личного кабинета (адрес электронной почты, имя, номер телефона, баланс) — в течение всего времени использования Сервиса и 1 год после удаления личного кабинета либо после последнего входа, если пользователь не пользуется Сервисом более 3 лет;

• сведения о кассовых чеках и начислениях — 3 года с даты получения чека; сведения, относящиеся к произведённым выплатам, — 5 лет с даты выплаты (ч. 1 ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ, пп. 8 п. 1 ст. 23 Налогового кодекса Российской Федерации);

• одноразовые коды входа — не более 30 минут, после чего код становится недействительным;

• обращения в поддержку и приложенные к ним изображения — 1 год с даты закрытия обращения;

• данные для рассылок — до отзыва согласия или отказа от рассылки;

• сведения о факте предоставления согласия (дата, текст и версия документа, технические сведения об отправке) — 3 года после отзыва согласия или прекращения обработки, для подтверждения правомерности обработки;

• технические журналы работы Сайта — 1 год.

По истечении сроков персональные данные уничтожаются либо обезличиваются.

7. Права субъекта персональных данных

Субъект персональных данных вправе: получать информацию, касающуюся обработки его персональных данных; требовать уточнения, блокирования или уничтожения данных; отозвать согласие на обработку; отменить подписку на «Дисконто» в приложении ФНС; удалить личный кабинет; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Запросы и отзыв согласия направляются Оператору по адресу электронной почты contact@disconto.me, письменно по адресу, указанному в разделе 1 Политики, или электронным заявлением, подписанным согласно законодательству Российской Федерации в области электронной подписи. Отзыв согласия на получение сведений о кассовых чеках и удаление личного кабинета также доступны пользователю в личном кабинете Сервиса.

Отзыв согласия не отменяет начисления и выплаты, произведённые до его поступления, и не прекращает хранение документов, которое Оператор обязан обеспечивать в силу федерального закона (ч. 5 ст. 21 Закона).

8. Cookies и веб-аналитика

Сайт использует технические файлы cookie, необходимые для входа в личный кабинет и поддержания сессии. Отключение технических cookie в браузере делает вход в личный кабинет невозможным. Профилирование посетителей не ведётся.

Если на Сайте будут установлены системы веб-аналитики, соответствующие сведения будут указаны в настоящем разделе до начала их работы.

9. Меры по защите персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения: шифрование соединения (TLS), хранение кодов входа, токенов доступа и сессионных ключей только в виде необратимых хешей, ограничение доступа сотрудников к данным по ролям, регистрация действий сотрудников в журнале, резервное копирование.

10. Заключительные положения

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики размещается на Сайте. Документы, сопровождающие иные сайты Оператора, в том числе корпоративный сайт corp.disconto.me, размещаются на соответствующих сайтах.