Дата вступления в силу: 2025-01-01

Настоящий документ является официальной Политикой конфиденциальности сервиса E-Pokupki и заменяет все предыдущие версии политики обработки персональных данных.

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Администратор персональных данных

Администратором персональных данных, обрабатываемых в рамках сервиса E-Pokupki, является:

E-mail для вопросов по персональным данным: privacy@e-pokupki.pl

Инспектор по защите данных (DPO): dpo@e-pokupki.pl

Общий контакт: info@e-pokupki.pl

Далее по тексту — «Администратор» или «Компания».

1.2. Применимое законодательство

Настоящая Политика разработана в соответствии с:

• Регламентом (ЕС) 2016/679 Европейского Парламента и Совета от 27 апреля 2016 года (GDPR / RODO);
• Законом Республики Польша о защите персональных данных (Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych);
• Законом Республики Польша об оказании услуг в электронном виде (Ustawa o świadczeniu usług drogą elektroniczną);
• применимыми нормами EU ePrivacy Directive и Directive 2011/83/EU о правах потребителей;
• требованиями платформ Apple App Store и Google Play в части раскрытия практик обработки данных.

1.3. Сфера применения Политики

Настоящая Политика распространяется на всю обработку персональных данных, осуществляемую Администратором в рамках:

• веб-сайта e-pokupki.pl и связанных поддоменов;
• мобильного приложения E-Pokupki (iOS / Android);
• личного кабинета пользователя;
• системы складского учёта и логистики;
• сервиса TaxFree;
• системы поддержки клиентов (чат, голосовые сообщения);
• платёжной системы и внутреннего кошелька;
• AI-функций и автоматизированной обработки;
• push-уведомлений и коммуникационных каналов;
• API и интеграций с партнёрскими сервисами.

1.4. Принципы обработки данных

Администратор обрабатывает персональные данные в соответствии со следующими принципами GDPR:

• Законность, справедливость и прозрачность — обработка осуществляется только на законных основаниях;
• Ограничение целей — данные не используются в целях, несовместимых с теми, для которых они были собраны;
• Минимизация данных — собираются только данные, необходимые для заявленных целей;
• Точность — принимаются разумные меры для поддержания актуальности данных;
• Ограничение хранения — данные не хранятся дольше, чем это необходимо;
• Целостность и конфиденциальность — применяются надлежащие технические и организационные меры защиты;
• Подотчётность — Администратор несёт ответственность за соблюдение данных принципов.

2. КАТЕГОРИИ ДАННЫХ

Администратор может обрабатывать следующие категории персональных данных в зависимости от используемых услуг:

2.1. Идентификационные данные

• Имя и фамилия;
• Дата рождения;
• Номер паспорта или иного удостоверения личности (при прохождении KYC);
• Адрес электронной почты;
• Номер телефона;
• Адрес проживания / адрес доставки;
• Данные компании (наименование, NIP/VAT, адрес) — для юридических лиц;
• Фотография / скан документа (при верификации).

2.2. Платёжные и финансовые данные

• История транзакций через сервис;
• Данные о пополнении и списании средств с внутреннего кошелька;
• Идентификаторы платёжных провайдеров (Stripe customer ID, PayPal transaction ID);
• Данные, необходимые для возврата средств и обработки споров;
• Информация о банковском счёте для выплат (номер счёта, название банка);
• Данные систем антифрода и скоринга транзакций.

Важно: Компания не хранит полные данные банковских карт. Обработка карточных данных осуществляется напрямую сертифицированными платёжными провайдерами (Stripe, PayPal) в соответствии со стандартом PCI DSS.

2.3. Логистические и операционные данные

• Данные заказов (состав, стоимость, статус);
• Адреса доставки и получателей;
• Трек-номера и данные перевозчиков;
• Таможенные декларации и документы;
• TaxFree документы и данные о НДС;
• Складские данные (поступление, хранение, выдача);
• История коммуникаций по заказам.

2.4. Технические и поведенческие данные

• IP-адрес и геолокация на уровне страны/города;
• Уникальные идентификаторы устройства (Device ID, IDFA, GAID);
• Тип устройства, операционная система, версия приложения;
• Браузер и языковые настройки;
• Журналы активности и логи сессий;
• Данные об использовании функций приложения;
• Crash logs и технические отчёты об ошибках;
• Firebase Installation ID и аналогичные SDK-идентификаторы;
• Push-токены для доставки уведомлений.

2.5. Данные, генерируемые при использовании AI-функций

• Текст голосовых сообщений (после транскрипции);
• Аудиозаписи (если сохраняются временно для транскрипции);
• Изображения и сканы документов, загруженные для OCR-обработки;
• История диалогов с AI-ассистентом поддержки;
• Метаданные, сгенерированные системами машинного обучения;
• Результаты автоматической классификации запросов.

2.6. Данные поддержки клиентов

• Переписка в чате поддержки;
• Голосовые сообщения и их транскрипции;
• Приложенные файлы и изображения;
• История обращений и их статусы.

3. ЦЕЛИ И ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ

3.1. Исполнение договора (ст. 6(1)(b) GDPR)

Обработка необходима для исполнения договора, стороной которого является субъект данных, или для принятия мер по запросу субъекта данных до заключения договора:

• регистрация и ведение аккаунта пользователя;
• обработка и исполнение заказов на покупку товаров;
• организация хранения товаров на складе;
• организация доставки посылок;
• обработка услуги TaxFree;
• обработка платежей и операций с внутренним кошельком;
• возвраты и урегулирование претензий;
• организация сервиса Mail Forwarding.

3.2. Выполнение юридических обязательств (ст. 6(1)(c) GDPR)

Обработка необходима для соблюдения применимого законодательства:

• налоговый учёт и бухгалтерская отчётность (требования польского налогового законодательства);
• таможенное оформление и документооборот;
• соблюдение требований AML/KYC (Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu);
• хранение данных по требованию государственных органов;
• предоставление данных по законным запросам суда, прокуратуры, налоговых органов.

3.3. Законные интересы Администратора (ст. 6(1)(f) GDPR)

Обработка необходима для реализации законных интересов Администратора или третьих лиц, при условии, что эти интересы не превалируют над интересами и правами субъектов данных:

• обеспечение безопасности платформы и предотвращение мошенничества;
• антифрод-мониторинг и выявление подозрительной активности;
• защита от злоупотреблений, атак и несанкционированного доступа;
• обработка обращений в поддержку и решение споров;
• улучшение качества и функциональности сервиса;
• аналитика использования платформы (в агрегированном виде);
• защита прав и законных интересов Компании в судебных и административных разбирательствах.

3.4. Согласие пользователя (ст. 6(1)(a) GDPR)

При наличии явного согласия пользователя:

• маркетинговые email-рассылки и push-уведомления рекламного характера;
• персонализированные предложения на основе истории покупок;
• участие в программах лояльности и акциях;
• обработка дополнительных данных для расширенных функций (например, сохранение голосовых сообщений).

Согласие может быть отозвано в любое время через настройки аккаунта или по обращению на privacy@e-pokupki.pl. Отзыв согласия не влияет на законность обработки, осуществлявшейся до его отзыва.

4. ТАБЛИЦА ПРАВОВЫХ ОСНОВАНИЙ ПО КАТЕГОРИЯМ ДАННЫХ

5. ПЕРЕДАЧА ДАННЫХ ТРЕТЬИМ ЛИЦАМ

5.1. Категории получателей

Персональные данные могут передаваться следующим категориям получателей:

Платёжные сервисы и финансовые провайдеры:
-Обработчики платежей, банки-эквайеры, системы предотвращения мошенничества — исключительно в объёме, необходимом для проведения платёжных операций.

Логистические партнёры и перевозчики:
-Курьерские службы, почтовые операторы, таможенные брокеры и транспортные агенты — для организации доставки и таможенного оформления.

IT-инфраструктура и облачные провайдеры:
-Компании, обеспечивающие хостинг, хранение данных, CDN и серверную инфраструктуру сервиса.

Провайдеры AI и аналитики:
-Компании, предоставляющие услуги обработки естественного языка, транскрипции, OCR и аналитики.

Юридические и комплаенс-консультанты:
-Адвокаты, аудиторы и консультанты по compliance — в рамках оказания профессиональных услуг с обязательством конфиденциальности.

Государственные органы:
-Суды, прокуратура, налоговые органы, органы финансового надзора — по законному требованию в установленном порядке.

5.2. Принцип минимизации при передаче

При каждой передаче данных третьим лицам Администратор руководствуется принципом минимизации: передаются только те данные, которые строго необходимы для выполнения конкретной задачи. С обработчиками данных заключаются договоры об обработке данных (Data Processing Agreements) в соответствии со ст. 28 GDPR.

6. SDK И СТОРОННИЕ СЕРВИСЫ

Мобильное приложение и веб-платформа E-Pokupki используют следующие сторонние SDK и сервисы, которые могут самостоятельно собирать данные в соответствии со своими политиками конфиденциальности:

6.1. Firebase (Google LLC)

• Используется для: аутентификации, cloud messaging (FCM), Crashlytics (отчёты об ошибках), Firebase Analytics, Remote Config.
• Собираемые данные: Installation ID, device identifiers, crash logs, in-app events.
• Политика конфиденциальности: firebase.google.com/support/privacy
• Правовое основание: ст. 6(1)(f) GDPR — законные интересы.

6.2. Google Analytics / Firebase Analytics

• Используется для: анализа поведения пользователей в приложении, воронок конверсии, улучшения UX.
• Собираемые данные: события в приложении, сессии, устройства (в агрегированном виде).
• Политика конфиденциальности: policies.google.com/privacy
• IP Anonymization: включена.

6.3. Crashlytics (Google LLC / Firebase)

• Используется для: автоматического сбора отчётов о сбоях и ошибках приложения.
• Собираемые данные: технические данные об ошибке, device info, stack trace (без персональных данных).
• Политика конфиденциальности: firebase.google.com/support/privacy

6.4. Stripe, Inc.

• Используется для: приёма и обработки платежей банковскими картами.
• Собираемые данные: платёжные реквизиты (хранятся на серверах Stripe), Device fingerprint для антифрода.
• Политика конфиденциальности: stripe.com/privacy
• Соответствие: PCI DSS Level 1.

6.5. PayPal Holdings, Inc.

• Используется для: приёма платежей через PayPal.
• Собираемые данные: идентификаторы транзакций, данные аккаунта плательщика.
• Политика конфиденциальности PayPal: paypal.com/privacy

6.6. Firebase Cloud Messaging (FCM) / Apple Push Notification Service (APNs)

• Используется для: доставки push-уведомлений на устройства Android и iOS.
• Собираемые данные: Push-токен устройства.
• Политика Google: policies.google.com/privacy
• Политика Apple: apple.com/privacy

6.7. AI / NLP-провайдеры (Voice Transcription, Support Automation)

• Используется для: автоматической транскрипции голосовых сообщений, обработки запросов в поддержку, классификации обращений, автоматизированных ответов AI-ассистента.
• Тип данных: аудио-фрагменты (для транскрипции), текст сообщений поддержки, контекст обращения.
• Категория данных по GDPR: Ст. 6(1)(f) — законные интересы (автоматизация поддержки); при обработке аудио — дополнительно требуется осведомлённость пользователя.
• Текущие провайдеры (на дату редакции):
  • OpenAI, Inc. (США) — модели обработки естественного языка (NLP) и возможно транскрипции (Whisper API или аналог); данные могут передаваться в США на основании SCC; политика: openai.com/privacy;
  • Иные AI-провайдеры — при изменении состава провайдеров пользователи уведомляются через актуализацию настоящей Политики.
• Гарантии: Администратор заключает с AI-провайдерами соглашения об обработке данных (Data Processing Agreement) в соответствии со ст. 28 GDPR. Аудиозаписи не хранятся на стороне AI-провайдера дольше, чем необходимо для выполнения транскрипции.
• Важно: Голосовые данные не используются для обучения AI-моделей без явного согласия пользователя. Оригинальные аудиофайлы удаляются в течение 30 дней, транскрипции — в течение 90 дней.

6.8. OCR-провайдеры (обработка документов)

• Используется для: автоматического распознавания текста в загружаемых документах (паспорта, инвойсы, чеки TaxFree).
• Тип данных: изображения документов, распознанный текст (в том числе потенциально персональные данные из документов).
• Категория данных по GDPR: Ст. 6(1)(b) — исполнение договора (верификация и обработка заказов).
• Текущие провайдеры: Используются облачные OCR-сервисы (в том числе решения на базе Google Cloud Vision API или аналогичных платформ). Конкретный состав провайдеров указывается в Приложении к настоящей Политике, доступном на Сайте.
• Гарантии: Исходные изображения документов удаляются в течение 30 дней после завершения OCR-обработки, если более длительное хранение не требуется по законодательству.

Пользователь признаёт, что использование указанных SDK подчиняется собственным политикам конфиденциальности соответствующих провайдеров. Администратор рекомендует ознакомиться с данными политиками.

7. МЕЖДУНАРОДНАЯ ПЕРЕДАЧА ДАННЫХ

Часть данных может обрабатываться на серверах, расположенных за пределами Европейской Экономической Зоны (ЕЭЗ), в частности, при использовании облачных сервисов и AI-провайдеров.

Такая передача осуществляется только при наличии надлежащих механизмов защиты, предусмотренных главой V GDPR, а именно:

• Стандартные договорные положения (Standard Contractual Clauses, SCC), утверждённые Европейской Комиссией;
• Решение об адекватности для стран, признанных ЕС обеспечивающими надлежащий уровень защиты;
• Связывающие корпоративные правила (Binding Corporate Rules) применимых корпоративных групп;
• иные механизмы, предусмотренные ст. 46–49 GDPR.

Пользователь вправе запросить информацию о механизмах защиты, применяемых при конкретных передачах данных, обратившись по адресу privacy@e-pokupki.pl.

8. СРОКИ ХРАНЕНИЯ ДАННЫХ

Принцип хранения: По истечении применимого срока хранения данные удаляются или необратимо анонимизируются в соответствии с разработанными процедурами управления жизненным циклом данных. Исключение составляют случаи, когда: (а) законодательство предписывает более длительное хранение; (б) данные необходимы для урегулирования продолжающегося спора или расследования; (в) хранение обусловлено действующим судебным или регуляторным предписанием.

Для отдельных категорий данных, по которым применяются конкурирующие сроки (например, данные заказов, одновременно подпадающие под налоговые и AML-требования), применяется наибольший срок из всех обязательных.

9. АВТОМАТИЗИРОВАННОЕ ПРИНЯТИЕ РЕШЕНИЙ

9.1. Виды автоматизированной обработки

В рамках сервиса могут применяться следующие системы автоматизированного анализа:

• Антифрод-скоринг транзакций: автоматический анализ платёжных операций для выявления подозрительных паттернов. Может автоматически блокировать транзакцию до ручной проверки.
• Профилирование для целей AML: анализ поведенческих паттернов и транзакционной активности для выявления потенциальных рисков отмывания денег. Итоговое решение всегда принимается человеком.
• Классификация обращений в поддержку: автоматическая маршрутизация и приоритизация запросов клиентов на основе их содержания.
• Оценка риска заказа: автоматическая проверка заказов на соответствие ограничениям (таможенные лимиты, запрещённые товары, санкционные списки).

9.2. Права пользователя в отношении автоматизированных решений

В соответствии со ст. 22 GDPR, пользователь имеет право:

• не быть объектом решения, основанного исключительно на автоматизированной обработке, если такое решение влечёт юридически значимые или аналогично существенные последствия;
• запросить участие человека-сотрудника в принятии решения;
• оспорить автоматически принятое решение;
• получить пояснение логики принятого решения.

Для реализации данных прав следует обращаться по адресу privacy@e-pokupki.pl.

9.3. Ограничения профилирования

Администратор не использует профилирование для принятия решений, влекущих юридически значимые последствия, без участия человека-сотрудника. Автоматизированные системы используются исключительно для вспомогательной фильтрации и маршрутизации.

10. AI-ФУНКЦИИ И ГОЛОСОВЫЕ ДАННЫЕ

10.1. Принципы работы с AI

Сервис E-Pokupki использует AI-технологии в целях повышения качества обслуживания. Пользователь должен понимать следующее:

• AI-ассистент поддержки может генерировать автоматические ответы на типовые запросы. Такие ответы могут содержать неточности и не являются официальными консультациями.
• Пользователь вправе в любой момент запросить перевод на живого оператора.
• AI не уполномочен принимать решения по индивидуальным заказам, возвратам или финансовым операциям — такие решения требуют участия сотрудника.

10.2. Обработка голосовых сообщений

При отправке голосовых сообщений в чат поддержки:

• аудиофайл временно сохраняется для выполнения транскрипции;
• транскрипция выполняется автоматически с помощью сервиса распознавания речи;
• результат транскрипции сохраняется как текстовое сообщение;
• оригинальный аудиофайл удаляется в течение 30 дней, если иное не требуется по закону или для урегулирования спора;
• голосовые данные не используются для обучения AI-моделей без явного согласия пользователя.

10.3. Ограничения AI

Пользователь признаёт, что:

• AI-генерируемые ответы могут содержать ошибки («галлюцинации»);
• AI не предоставляет юридических, таможенных или налоговых консультаций;
• результаты AI-обработки документов (OCR) могут содержать неточности и требуют проверки человеком;
• сервис не несёт ответственности за действия, предпринятые исключительно на основании AI-ответов без верификации у сотрудника.

11. OCR И ОБРАБОТКА ДОКУМЕНТОВ

При загрузке документов в сервис (паспорта, инвойсы, TaxFree документы, фото товаров):

• документы обрабатываются системой OCR для извлечения структурированных данных;
• оригинальные изображения сохраняются только в течение периода, необходимого для обработки (не более 30 дней после завершения OCR), если не требуется более длительное хранение в соответствии с налоговым или AML-законодательством;
• извлечённые текстовые данные хранятся в рамках соответствующего заказа согласно срокам, указанным в Разделе 8;
• пользователь несёт ответственность за корректность загружаемых документов и недопустимость загрузки поддельных или изменённых документов.

12. COOKIES И TRACKING

12.1. Используемые технологии

Сервис использует следующие технологии хранения данных:

• HTTP cookies — текстовые файлы, сохраняемые в браузере;
• localStorage / sessionStorage — локальное хранилище браузера;
• SDK identifiers — уникальные идентификаторы в мобильном приложении;
• Pixel-теги — однопиксельные изображения для аналитики (на сайте);
• Push-токены — идентификаторы для доставки push-уведомлений.

12.2. Категории cookies

Строго необходимые cookies:
Обеспечивают базовую функциональность сайта — авторизацию, поддержание сессии, безопасность. Не могут быть отключены.

Аналитические cookies:
Собирают агрегированную информацию об использовании сайта для его улучшения (Google Analytics, Firebase Analytics). Устанавливаются только с согласия пользователя.

Функциональные cookies:
Запоминают предпочтения пользователя (язык, настройки интерфейса). Устанавливаются только с согласия.

12.3. Управление cookies

Пользователь вправе:

• управлять cookies через настройки браузера;
• воспользоваться баннером согласия на cookies при первом посещении сайта;
• в любое время отозвать согласие на необязательные cookies через настройки сайта.

Отключение строго необходимых cookies может нарушить работоспособность сервиса, включая функции авторизации и корзины.

Более подробная информация об использовании cookies содержится в отдельной Политике использования cookies (Cookie Policy).

13. МОБИЛЬНОЕ ПРИЛОЖЕНИЕ

13.1. Разрешения приложения (App Permissions)

Мобильное приложение E-Pokupki может запрашивать следующие разрешения устройства:

13.2. Принципы работы с разрешениями

• Запрос разрешений происходит только в момент первого использования соответствующей функции, а не при установке приложения;
• Отказ от предоставления разрешения может ограничить отдельные функции приложения, но не блокирует доступ к основным услугам;
• Предоставленные разрешения можно в любое время отозвать в настройках устройства (iOS: Настройки → Конфиденциальность; Android: Настройки → Приложения).

13.3. Совместимость и доступность

• Приложение доступно для устройств с iOS 13+ и Android 8.0+;
• Поддержка более старых версий ОС может быть ограничена или недоступна;
• Отдельные функции (AI-транскрипция, OCR) могут требовать подключения к интернету и обрабатываться на удалённых серверах.

14. PUSH-УВЕДОМЛЕНИЯ

14.1. Виды push-уведомлений

Сервисные уведомления (на основании договора, без отдельного согласия):

• изменение статуса заказа;
• поступление товара на склад;
• готовность посылки к отправке;
• сообщения от службы поддержки;
• уведомления безопасности (вход с нового устройства, изменение пароля);
• напоминания о задолженности на кошельке.

Маркетинговые уведомления (только при наличии явного согласия):

• специальные предложения и акции;
• новости сервиса;
• персонализированные рекомендации.

14.2. Управление уведомлениями

Пользователь вправе:

• дать или отозвать согласие на маркетинговые push-уведомления в настройках приложения;
• отключить все push-уведомления в системных настройках устройства;
• управлять категориями уведомлений через личный кабинет.

Отключение сервисных уведомлений в системных настройках устройства не освобождает Компанию от обязательств по уведомлению, однако может существенно ухудшить пользовательский опыт.

15. БИОМЕТРИЧЕСКАЯ АУТЕНТИФИКАЦИЯ

15.1. Использование биометрии

Приложение может предлагать вход по биометрическим данным (Face ID, Touch ID, отпечаток пальца) как альтернативу вводу пароля.

15.2. Принципы обработки биометрических данных

• Биометрические данные (шаблоны лица, отпечатка пальца) хранятся исключительно на устройстве пользователя в защищённом хранилище операционной системы (iOS Secure Enclave / Android Keystore);
• Компания E-Pokupki не получает и не хранит биометрические данные на своих серверах;
• Биометрическая аутентификация реализуется через стандартные API платформы (LocalAuthentication / BiometricPrompt) без прямого доступа к биометрическим шаблонам;
• Использование биометрической аутентификации является добровольным; для входа всегда доступна альтернатива в виде пароля/PIN.

16. ДАННЫЕ О МЕСТОПОЛОЖЕНИИ

16.1. Текущее использование

В настоящее время приложение E-Pokupki не запрашивает и не использует данные точного местоположения устройства.

16.2. Косвенное определение местоположения

На основании IP-адреса может автоматически определяться примерная страна и город пользователя. Эти данные используются для:

• выбора применимых тарифов и условий доставки;
• соответствия санкционным и экспортным ограничениям;
• мониторинга безопасности (обнаружение входа из необычного места).

16.3. Будущее использование

В случае внедрения функций, требующих доступа к геолокации (например, поиск ближайших пунктов выдачи), настоящая Политика будет обновлена, а пользователь получит соответствующее уведомление перед запросом разрешения.

17. КАМЕРА И МИКРОФОН

17.1. Использование камеры

Доступ к камере запрашивается исключительно для:

• фотографирования документов, удостоверяющих личность (при прохождении верификации);
• фотографирования товаров для создания заказов или претензий;
• сканирования QR-кодов (при наличии соответствующей функции).

Приложение не производит съёмку в фоновом режиме. Доступ к камере активируется только при явном действии пользователя.

17.2. Использование микрофона

Доступ к микрофону запрашивается исключительно для:

• записи голосовых сообщений в чате поддержки по инициативе пользователя.

Приложение не осуществляет прослушивание в фоновом режиме. Запись аудио начинается только при нажатии соответствующей кнопки в интерфейсе.

18. AML/KYC И ФИНАНСОВЫЙ МОНИТОРИНГ

18.1. Обязательства в сфере AML/KYC

В соответствии с польским законодательством о противодействии отмыванию денег и финансированию терроризма (Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu) Компания обязана:

• проводить идентификацию клиентов (Customer Due Diligence);
• верифицировать личность пользователей при превышении установленных пороговых значений;
• проводить расширенную проверку (Enhanced Due Diligence) в отношении клиентов с повышенным риском;
• осуществлять мониторинг транзакций;
• сообщать о подозрительных операциях в Generalny Inspektor Informacji Finansowej (GIIF).

18.2. Данные, обрабатываемые в целях AML/KYC

• документы, удостоверяющие личность;
• источники происхождения средств (при наличии оснований);
• история транзакций;
• данные о бенефициарных владельцах (для юридических лиц);
• данные из санкционных списков ЕС, США (OFAC), ООН.

18.3. Хранение AML-данных

AML/KYC документы и данные о транзакциях хранятся в течение 5 лет с момента прекращения деловых отношений, а при наличии подозрения о нарушении — до 10 лет в соответствии с применимым законодательством.

18.4. Уведомление о блокировке

В случае блокировки счёта или транзакции по основаниям AML/KYC Компания уведомляет пользователя в той мере, в которой это не противоречит требованиям законодательства о конфиденциальности расследований.

19. БЕЗОПАСНОСТЬ ДАННЫХ

Администратор применяет следующие технические и организационные меры защиты данных:

Технические меры:

• Шифрование данных при передаче (TLS 1.2+);
• Шифрование данных при хранении (at-rest encryption);
• Многофакторная аутентификация для административного доступа;
• Сегментация сети и контроль доступа по принципу наименьших привилегий;
• Системы обнаружения вторжений и мониторинга безопасности;
• Регулярное резервное копирование с верификацией;
• Сканирование уязвимостей и penetration testing.

Организационные меры:

• Политика обработки персональных данных для сотрудников;
• Обучение сотрудников вопросам информационной безопасности;
• Соглашения о конфиденциальности с сотрудниками и подрядчиками;
• Процедуры реагирования на инциденты безопасности;
• Ведение реестра операций по обработке данных (Records of Processing Activities).

Уведомление о нарушениях:
В случае нарушения безопасности персональных данных Администратор уведомит надзорный орган в течение 72 часов (ст. 33 GDPR), а при высоком риске для прав субъектов — также самих субъектов данных (ст. 34 GDPR).

20. ПРАВА СУБЪЕКТА ДАННЫХ

В соответствии с GDPR пользователь имеет следующие права:

20.1. Право доступа (ст. 15 GDPR)

Пользователь вправе получить подтверждение факта обработки его данных и копию обрабатываемых персональных данных, а также информацию о целях, категориях данных, получателях, сроках хранения и применяемых гарантиях.

20.2. Право на исправление (ст. 16 GDPR)

Пользователь вправе требовать исправления неточных или дополнения неполных персональных данных.

20.3. Право на удаление (ст. 17 GDPR)

Пользователь вправе требовать удаления персональных данных в случаях, предусмотренных GDPR (данные более не нужны для заявленных целей, отозвано согласие, нет законного основания для обработки и т.д.).

Право на удаление не распространяется на данные, обработка которых необходима для выполнения юридического обязательства или защиты правовых требований.

20.4. Право на ограничение обработки (ст. 18 GDPR)

Пользователь вправе требовать ограничения обработки данных в случаях оспаривания точности данных, незаконности обработки или при наличии возражения.

20.5. Право на переносимость данных (ст. 20 GDPR)

Пользователь вправе получить свои данные в структурированном, общеиспользуемом машиночитаемом формате и передать их другому администратору (применяется к данным, обрабатываемым на основании договора или согласия).

20.6. Право на возражение (ст. 21 GDPR)

Пользователь вправе возразить против обработки данных, осуществляемой на основании законных интересов (ст. 6(1)(f) GDPR), в том числе против профилирования в маркетинговых целях.

20.7. Права в связи с автоматизированным принятием решений (ст. 22 GDPR)

Пользователь вправе не быть объектом решения, основанного исключительно на автоматизированной обработке и влекущего юридически значимые последствия.

20.8. Порядок реализации прав

Запросы направляются:

• по электронной почте: privacy@e-pokupki.pl
• Инспектору по защите данных (DPO): dpo@e-pokupki.pl
• через личный кабинет пользователя (раздел «Мои данные»)

Администратор рассматривает запросы в течение 30 дней с момента получения. В исключительных случаях срок может быть продлён до 60 дней с уведомлением пользователя.

21. НЕСОВЕРШЕННОЛЕТНИЕ

21.1. Возрастное ограничение

Сервис E-Pokupki предназначен исключительно для пользователей, достигших 18 лет. Регистрируясь в сервисе, пользователь подтверждает, что является дееспособным физическим лицом в возрасте не менее 18 лет. Услуги Сервиса, включая заключение договоров на выкуп товаров и финансовые операции через Кошелёк, доступны только совершеннолетним дееспособным лицам.

21.2. Отсутствие намеренного сбора данных несовершеннолетних

Администратор намеренно не собирает, не обрабатывает и не хранит персональные данные лиц, не достигших 18 лет. Сервис не ориентирован на несовершеннолетних и не имеет функций, специально направленных на аудиторию моложе 18 лет.

Если Администратору стало известно, что персональные данные несовершеннолетнего были случайно получены без надлежащего согласия его законного представителя, такие данные будут незамедлительно удалены после верификации данного факта, а соответствующий аккаунт — заблокирован.

21.3. Порядок удаления данных несовершеннолетнего

При обнаружении или получении сведений о регистрации несовершеннолетнего Администратор:

1. незамедлительно приостанавливает работу аккаунта;
2. удаляет все персональные данные, связанные с аккаунтом, в максимально короткий срок, но не позднее 30 дней с момента выявления факта;
3. уведомляет законного представителя (при наличии контактных данных) о принятых мерах.

Исключение составляют данные, которые должны быть сохранены в целях соблюдения применимого законодательства (например, AML-данные, если операция уже была проведена) — в этих случаях доступ к данным блокируется, а их использование для каких-либо коммерческих целей полностью прекращается.

21.4. Уведомление

Если Вы являетесь родителем или законным представителем лица, не достигшего 18 лет, и полагаете, что оно зарегистрировалось в Сервисе или предоставило нам свои данные, просим незамедлительно сообщить об этом по адресу privacy@e-pokupki.pl. Мы примем необходимые меры в приоритетном порядке.

22. ИЗМЕНЕНИЯ ПОЛИТИКИ

22.1. Порядок внесения изменений

Администратор вправе обновлять настоящую Политику в связи с:

• изменениями в применимом законодательстве;
• изменениями в составе услуг и функций платформы;
• изменениями в составе используемых SDK и сторонних сервисов;
• рекомендациями регуляторных органов.

22.2. Уведомление об изменениях

О существенных изменениях Политики пользователь уведомляется:

• push-уведомлением (при наличии согласия на уведомления);
• сообщением в личном кабинете при следующем входе;
• обновлением даты «Последнего обновления» в заголовке документа.

22.3. Вступление изменений в силу

Изменения вступают в силу с момента публикации обновлённой Политики на сайте, если не указана иная дата. Продолжение использования сервиса после публикации изменений означает принятие обновлённых условий.

Предыдущие версии Политики доступны по запросу на privacy@e-pokupki.pl.

23. КОНТАКТНЫЕ ДАННЫЕ

23.1. Контакт для вопросов по персональным данным

По всем вопросам, связанным с обработкой персональных данных, пользователь вправе обращаться:

E-mail: privacy@e-pokupki.pl

Общий контакт: info@e-pokupki.pl

Почтовый адрес: E-Pokupki Sp. z o.o., ul. Brzeska 126, 21-500 Biała Podlaska, Polska

23.2. Орган надзора

Пользователь вправе подать жалобу в надзорный орган по защите персональных данных:

Подача жалобы в UODO является правом пользователя и не исключает обращение непосредственно к Администратору.

Настоящая Политика конфиденциальности принята и вступает в силу с 01 января 2025 года.

Язык оригинала: русский. В случае расхождений между версиями на разных языках приоритет имеет польская версия.

© E-Pokupki Sp. z o.o. | NIP: PL 537-263-39-51 | KRS: 0000624913