Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет, как Общество с ограниченной ответственностью «ДИЛАЙН МЕДИА» (далее — Оператор, мы) обрабатывает и защищает персональные данные при работе сервиса OnePayment.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и принятыми в соответствии с ними нормативными актами.

1.3. Сведения об Операторе:

• полное наименование — Общество с ограниченной ответственностью «ДИЛАЙН МЕДИА»;
• ИНН 5610245120, КПП 561001001, ОГРН 1225600003936;
• адрес — 460008, Оренбургская обл., г. Оренбург, микрорайон Ростоши, ул. Садовое Кольцо, д. 116;
• адрес для обращений по вопросам персональных данных — support@one-payment.ru.

1.4. Политика действует в отношении всех персональных данных, которые Оператор получает через сайт one-payment.ru, его поддомены и личный кабинет OnePayment (далее вместе — Сервис), а также при переписке со службой поддержки.

1.5. Политика является общедоступным документом и размещена в Сервисе по адресу /legal/privacy (ч. 2 ст. 18.1 Закона о персональных данных). Политика не регулирует обработку данных сайтами и приложениями третьих лиц, на которые есть ссылки в Сервисе.

2. Термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.3. Пользователь — физическое лицо, которое пользуется Сервисом, в том числе как представитель или сотрудник организации.

2.4. Банк-партнёр — кредитная организация, которая выпускает виртуальные карты и обслуживает денежные средства Пользователей: ООО Банк «Пэйджин» (ИНН 7813662356, БИК 044030933, базовая лицензия Банка России № 3543; 197046, г. Санкт-Петербург, наб. Петроградская, д. 22, лит. А, пом. 34-Н).

2.5. Платёжный агрегатор — АО «Пэй Энджин» (Paygine; ИНН 7801751636, ОГРН 1267800047360; 197046, г. Санкт-Петербург, Петроградская наб., д. 22, лит. А, пом. 39-Н), которое по договору с Банком-партнёром обеспечивает технический доступ к выпуску карт, переводам и пополнению.

2.6. Иные термины используются в значениях, установленных Законом о персональных данных и Пользовательским соглашением.

3. Принципы обработки

3.1. Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей и только в объёме, необходимом для этих целей. Не допускается объединение баз данных, обработка которых ведётся в несовместимых между собой целях.

3.2. Оператор обеспечивает точность персональных данных и их актуальность по отношению к целям обработки, а по достижении целей или при утрате необходимости в них — уничтожает или обезличивает данные, если иное не предусмотрено федеральным законом.

3.3. Оператор не принимает решений, порождающих юридические последствия для Пользователя, исключительно на основании автоматизированной обработки его персональных данных (ст. 16 Закона о персональных данных). Автоматические проверки лимитов и резервов в Сервисе исполняют настройки, заданные самим Пользователем.

3.4. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, здоровье, интимной жизни) и биометрические персональные данные.

4. Цели, состав данных, основания и сроки

Для каждой цели ниже указаны категории субъектов, перечень данных, правовое основание и срок обработки. Данные, не указанные для цели, для неё не собираются.

4.1. Регистрация, вход в личный кабинет и безопасность

• Субъекты: Пользователи.
• Данные: адрес электронной почты; имя (если Пользователь его указал); одноразовые коды входа (хранятся в виде хеша); сведения о сеансах — IP-адрес, тип устройства и браузера, дата и время входа.
• Основание: заключение и исполнение Пользовательского соглашения, стороной которого является Пользователь (п. 5 ч. 1 ст. 6 Закона о персональных данных).
• Срок: до удаления учётной записи; журналы входов и безопасности — 12 месяцев с даты записи.

4.2. Работа функций личного кабинета

• Субъекты: Пользователи.
• Данные: сведения о картах в объёме, нужном для их показа и управления (название карты, последние четыре цифры номера, срок действия, статус, лимиты); сведения об операциях (дата, сумма, валюта, получатель платежа, категория); сведения о подписках, пополнениях, балансе и его распределении; настройки уведомлений.
• Полные реквизиты карт (номер, CVC/CVV) Оператор не хранит: их показывает компонент Банка-партнёра, соответствующий требованиям безопасности платёжных карт.
• Основание: исполнение Пользовательского соглашения и договоров, заключаемых через Сервис (п. 5 ч. 1 ст. 6 Закона о персональных данных); выполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6), — в части учёта операций.
• Срок: в течение действия Пользовательского соглашения; сведения об операциях — 5 лет после его прекращения (ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте», п. 4 ст. 7 Федерального закона от 07.08.2001 № 115-ФЗ — в случаях, когда эта обязанность распространяется на Оператора).

4.3. Выпуск карт и идентификация клиента Банком-партнёром

• Субъекты: Пользователи, которые выпускают карты или пополняют баланс.
• Данные: фамилия, имя, отчество; дата рождения; данные документа, удостоверяющего личность; ИНН или СНИЛС; адрес регистрации; номер телефона; иные данные, которые требует Банк-партнёр для идентификации по Федеральному закону от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма».
• Основание: исполнение договора с Пользователем (п. 5 ч. 1 ст. 6) и выполнение требований 115-ФЗ (п. 2 ч. 1 ст. 6 Закона о персональных данных).
• Срок: в течение действия договора с Банком-партнёром и 5 лет после его прекращения (п. 4 ст. 7 115-ФЗ).
• До подключения Банка-партнёра эти данные не собираются. Точный состав определит Банк-партнёр; Политика будет дополнена до начала сбора.

4.4. Кабинеты организаций

• Субъекты: представители организаций — клиентов Сервиса; сотрудники, приглашённые в кабинет организации.
• Данные: имя и адрес электронной почты представителя и сотрудников; роль, лимиты и карты сотрудника в кабинете; реквизиты организации (наименование, ИНН, КПП, адреса) — сами по себе не являются персональными данными, кроме случаев, когда клиент — индивидуальный предприниматель.
• Основание: исполнение договора с организацией (п. 5 ч. 1 ст. 6); обработка данных сотрудников — по поручению организации (ч. 3 ст. 6 Закона о персональных данных) либо в законных интересах Оператора по обеспечению доступа к кабинету (п. 7 ч. 1 ст. 6). Организация, приглашая сотрудника, подтверждает, что у неё есть законное основание передать его данные Оператору.
• Срок: пока сотрудник состоит в кабинете организации и действует договор с ней; сведения об операциях — по п. 4.2.

4.5. Заявки и обращения

• Субъекты: посетители сайта, отправившие заявку; Пользователи, обратившиеся в поддержку.
• Данные: для листа ожидания — адрес электронной почты; для заявки организации — наименование компании и ИНН, имя, адрес электронной почты, номер телефона (если указан), комментарий; для обращений — данные, которые Пользователь сам сообщил в обращении.
• Основание: согласие субъекта, которое он даёт, отмечая поле согласия в форме (п. 1 ч. 1 ст. 6 Закона о персональных данных); для обращений Пользователей — исполнение Пользовательского соглашения.
• Срок: до достижения цели (ответ на заявку, сообщение о запуске), но не дольше 12 месяцев с даты заявки, или до отзыва согласия — что наступит раньше.

4.6. Сервисные уведомления

• Субъекты: Пользователи.
• Данные: адрес электронной почты, имя, сведения о подписках и операциях, к которым относится уведомление.
• Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6).
• Срок: в течение действия Пользовательского соглашения.
• Сервисные уведомления — коды входа, предупреждения о списаниях и нехватке денег, изменения документов — не являются рекламой.

4.7. Информационные и рекламные рассылки

• Оператор направляет рекламу и новости только с предварительного отдельного согласия Пользователя (ст. 15 Закона о персональных данных, ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).
• Данные: адрес электронной почты, имя.
• Срок: до отзыва согласия. Отписаться можно по ссылке в каждом письме или в настройках личного кабинета; рассылка прекращается немедленно (ч. 2 ст. 15 Закона о персональных данных).

4.8. Cookie и статистика посещений

• Технические cookie и хранилище браузера нужны для работы Сервиса: cookie сеанса op_session (вход в личный кабинет), выбор темы оформления и кабинета (op-theme, op-account). Без них личный кабинет не работает; они не используются для рекламы.
• Статистика посещений. Если в Сервисе подключён сервис Яндекс Метрика (ООО «ЯНДЕКС», ИНН 7736207543), он собирает cookie-идентификатор, IP-адрес, сведения о браузере и устройстве, страницы и действия на сайте. Цель — анализ посещаемости и улучшение Сервиса. Основание — согласие, которое посетитель даёт в уведомлении о cookie; без согласия статистика не собирается. Срок — до отзыва согласия, но не дольше 12 месяцев.
• Cookie можно удалить или запретить в настройках браузера; это может нарушить работу личного кабинета.

5. Способы обработки и действия с данными

5.1. Обработка ведётся с использованием средств автоматизации и без них (смешанная обработка).

5.2. С персональными данными совершаются действия, указанные в п. 2.2 Политики, в объёме, нужном для целей из раздела 4.

6. Передача персональных данных

6.1. Оператор передаёт персональные данные третьим лицам только в случаях и в объёме, нужных для целей из раздела 4:

• Банку-партнёру — для выпуска и обслуживания карт, пополнения, идентификации и проверок по 115-ФЗ (п. 4.3). Банк-партнёр обрабатывает данные как самостоятельный оператор по своей политике.
• Платёжному агрегатору — в объёме, нужном для передачи заявок, распоряжений и сведений об операциях между Сервисом и Банком-партнёром (п. 4.2, 4.3).
• Лицам, которые обрабатывают данные по поручению Оператора (ч. 3 ст. 6 Закона о персональных данных): поставщику услуг отправки электронной почты (наименование сообщается по запросу на адрес из п. 1.3); ООО «ЯНДЕКС» — по п. 4.8. Такие лица обязаны соблюдать конфиденциальность и меры защиты по ст. 19 Закона о персональных данных.
• Государственным органам — по их законным требованиям.

6.2. Банк-партнёр и Платёжный агрегатор обрабатывают полученные данные по своим документам, опубликованным на сайте https://paygine.ru.

6.3. Оператор не продаёт персональные данные и не передаёт их для рекламы третьих лиц.

6.4. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных). Сервис размещён в центрах обработки данных в Российской Федерации.

6.5. Трансграничная передача персональных данных не осуществляется. Если она потребуется, Оператор заранее уведомит Роскомнадзор и выполнит требования ст. 12 Закона о персональных данных.

7. Защита персональных данных

7.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона о персональных данных, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных, и утверждает локальные акты по вопросам обработки;
• определяет угрозы безопасности и уровень защищённости информационной системы по постановлению Правительства РФ от 01.11.2012 № 1119 и применяет меры по приказу ФСТЭК России от 18.02.2013 № 21;
• передаёт данные только по защищённому протоколу HTTPS; шифрует при хранении электронную почту, ИНН и адреса; хранит коды входа только в виде хеша;
• предоставляет доступ к данным только работникам, которым он нужен для работы, ведёт журнал действий с данными;
• проводит внутренний контроль соответствия обработки Закону о персональных данных и Политике;
• знакомит работников с требованиями законодательства и Политикой.

7.2. При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных).

8. Права субъекта персональных данных

8.1. Субъект персональных данных вправе:

• получить сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона о персональных данных);
• потребовать уточнить, заблокировать или уничтожить свои данные, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• потребовать прекратить обработку данных для рекламы и рассылок;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

8.2. Запрос направляется на адрес из п. 1.3. Запрос должен содержать сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты учётной записи), и подпись субъекта или его представителя; запрос в электронной форме подписывается электронной подписью по законодательству РФ (ч. 3 ст. 14 Закона о персональных данных). Пользователь также может направить запрос из личного кабинета.

8.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты получения. Срок может быть продлён ещё на 5 рабочих дней, если Оператор направит мотивированное уведомление о причинах продления.

8.4. Право на доступ к данным может быть ограничено федеральным законом, в том числе 115-ФЗ.

9. Отзыв согласия, прекращение обработки и уничтожение данных

9.1. Согласие отзывается письмом на адрес из п. 1.3 или в настройках личного кабинета. После отзыва Оператор прекращает обработку и уничтожает данные в течение 30 дней, если у него нет другого законного основания продолжить обработку (ч. 2 ст. 9, ч. 5 ст. 21 Закона о персональных данных) — например, исполнения договора или хранения сведений по 115-ФЗ.

9.2. По достижении цели обработки данные уничтожаются или обезличиваются в течение 30 дней, если иное не предусмотрено договором или федеральным законом (ч. 4 ст. 21 Закона о персональных данных).

9.3. При выявлении неправомерной обработки Оператор прекращает её в течение 3 рабочих дней, а если обеспечить правомерность невозможно — уничтожает данные в течение 10 рабочих дней (ч. 3 ст. 21).

9.4. Данные уничтожаются способом, исключающим их восстановление; уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

9.5. Удаление учётной записи — по правилам Пользовательского соглашения. Данные, срок хранения которых установлен законом (п. 4.2, 4.3), хранятся до истечения этого срока и используются только для исполнения закона.

10. Данные несовершеннолетних

Сервис предназначен для лиц старше 18 лет. Оператор не собирает намеренно данные несовершеннолетних. Если такие данные были получены, Оператор уничтожит их после того, как узнает об этом.

11. Изменение Политики

11.1. Оператор вправе изменять Политику, в том числе при изменении законодательства, состава данных или функций Сервиса. Новая редакция действует с момента публикации по адресу /legal/privacy, если иное не указано в ней.

11.2. О существенных изменениях — новых целях, составе данных или получателях — Оператор сообщает Пользователям по электронной почте не позднее чем за 10 дней до их вступления в силу. Если новая цель требует согласия, Оператор запросит его отдельно.

11.3. Вопросы о Политике и обработке персональных данных направляйте на адрес из п. 1.3.