Политика обработки персональных данных

1Общие положения

Политика определяет порядок обработки персональных данных Индивидуального предпринимателя Колесникова Кирилла Александровича (далее Оператор) и меры по их защите.

Политика разработана в соответствии с Конституцией Российской Федерации и Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Политика применяется ко всем персональным данным, которые Оператор получает через сайт mpup.ru и сервис mpup.

Действующая редакция опубликована на этой странице и доступна без ограничений. Публикация выполняется во исполнение части 2 статьи 18.1 152-ФЗ: оператор, собирающий персональные данные через интернет, обязан опубликовать документ о политике обработки и сведения о реализуемых требованиях к защите.

Оператор обрабатывает данные по принципам статьи 5 152-ФЗ: обработка законна и справедлива, ограничена заранее определёнными целями, объём данных соответствует целям и не избыточен, данные точны и при необходимости обновляются, хранение ведётся не дольше, чем требуют цели обработки.

2Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу.
• Оператор — лицо, организующее обработку персональных данных и определяющее её цели и состав.
• Обработка — любое действие с персональными данными: сбор, запись, хранение, уточнение, использование, передача, удаление, обезличивание.
• Субъект — физическое лицо, к которому относятся персональные данные.
• Пользователь — посетитель сайта или пользователь сервиса.
• Cookie — небольшие файлы, которые сайт сохраняет в браузере пользователя.

3Категории субъектов

Оператор обрабатывает персональные данные следующих категорий лиц:

• посетители сайта
• пользователи сервиса и приглашённые ими сотрудники
• контрагенты Оператора и их представители
• покупатели торговых площадок — только имя и содержание отзыва, попадающие в сервис вместе с данными магазина; в отношении этих данных Оператор действует не как оператор, а по поручению пользователя (раздел 10)

Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные.

Ответственным за организацию обработки персональных данных является сам Оператор как индивидуальный предприниматель. Обращения по вопросам обработки принимаются на help@mpup.ru.

4Состав данных, цели и правовые основания

Регистрация и доступ к сервису. Обрабатываются имя, адрес электронной почты, хэш пароля. Категории субъектов — пользователи сервиса и приглашённые ими сотрудники. Цель — создание учётной записи, аутентификация, предоставление функций сервиса. Основание — исполнение договора-оферты, стороной которого является субъект: пункт 5 части 1 статьи 6 152-ФЗ. Отдельного согласия такая обработка не требует. Срок хранения — срок действия договора и три года после его прекращения.

Работа сервиса. Обрабатываются данные подключённых магазинов, полученные из API торговых площадок по токену, который пользователь ввёл добровольно: сведения о товарах, заказах, продажах, рекламных кампаниях, финансовых отчётах и отзывах покупателей. Категории субъектов — пользователи сервиса. Цель — предоставление функций сервиса. Основание — исполнение договора-оферты. Срок хранения — срок действия договора и три года после его прекращения.

Обращения в поддержку. Обрабатываются имя, адрес электронной почты и содержание обращения. Категории субъектов — пользователи сервиса и приглашённые ими сотрудники. Цель — ответ на обращение. Основание — исполнение договора-оферты. Срок хранения — срок действия договора и три года после его прекращения. Обращение по электронной почте пределов Российской Федерации не покидает; если пользователь пишет через Telegram-бота сервиса, обращение и его имя проходят через инфраструктуру мессенджера за рубежом — раздел 6.

Безопасность доступа и разбор обращений. Обрабатываются IP-адрес, данные браузера, дата и время входа, а также изображение профиля и имя, видимые другим участникам магазина. Категории субъектов — пользователи сервиса и приглашённые ими сотрудники. Цель — защита от подбора паролей, расследование инцидентов, разбор обращений сотрудником поддержки, совместная работа команды в кабинете. Основание — отдельное согласие субъекта, которое даётся при регистрации самостоятельной отметкой и может быть отозвано. Срок хранения журнала входов — не более девяноста дней; имени и изображения профиля — срок действия договора и три года после его прекращения.

Защита форм сайта от автоматических запросов. Обрабатываются IP-адрес и технические данные браузера и устройства. Категории субъектов — посетители страниц регистрации, сброса пароля и повторной отправки письма. Цель — отличить человека от программы и не допустить регистраций и писем на чужие адреса. Обработку по поручению Оператора ведёт ООО «Яндекс.Облако» (сервис Yandex SmartCaptcha, раздел 6). Основание — заключение и исполнение договора-оферты по инициативе субъекта: пункт 5 части 1 статьи 6 152-ФЗ. Срок хранения — 60 дней у ООО «Яндекс.Облако»; у Оператора эти данные остаются только в журнале обращений сервера, не более девяноста дней.

Информационная и рекламная рассылка. Обрабатываются имя, адрес электронной почты и идентификатор чата в Telegram, если пользователь подключил бота. Категории субъектов — пользователи сервиса. Цель — сообщения об обновлениях сервиса и предложениях Оператора. Основание — отдельное согласие по статье 15 152-ФЗ и части 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе», которое можно отозвать в любой момент. Срок хранения — пять лет с момента предоставления согласия либо до его отзыва, если отзыв поступит раньше.

Бухгалтерский и налоговый учёт. Обрабатываются реквизиты контрагентов и их представителей. Категории субъектов — контрагенты Оператора и их представители. Цель — исполнение обязанностей, возложенных законом. Основание — требования законодательства, пункт 2 части 1 статьи 6 152-ФЗ. Срок хранения — не менее пяти лет, как требуют законодательство о бухгалтерском учёте и Налоговый кодекс.

Данные покупателей торговых площадок Оператор обрабатывает по поручению пользователя, а не для собственных целей. Категории субъектов — покупатели торговых площадок. Срок хранения — срок действия договора с пользователем; после прекращения поручения данные уничтожаются. Условия поручения — в разделе 10.

Подготовка текстов и изображений нейросетевыми моделями. Обрабатываются: свободный текст обращения, отправленного через форму «Предложить идею» или «Сообщить об ошибке», вместе с техническими сведениями о браузере, адресе страницы и размере окна; тексты отзывов покупателей с оценкой, названием, брендом и характеристиками товара; названия, описания и характеристики карточек товаров; изображения товаров. Категории субъектов — пользователи сервиса и покупатели торговых площадок. Цель — черновик ответа на отзыв, оформление обращения для внутренней доски задач, краткая выжимка по товару, работа фотораздела. Основание — исполнение договора-оферты для данных пользователя и поручение пользователя для данных покупателей. Эта обработка включает трансграничную передачу: получатели, страны и состав — в разделе 6. Отдельного срока хранения у неё нет: запрос собирается из данных, которые уже хранятся по своим целям, а его содержание Оператор у себя не сохраняет.

Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.

5Порядок и сроки обработки, хранение

Обработка ведётся смешанным способом: с использованием средств автоматизации и без них.

Данные пользователей сервиса обрабатываются в течение срока действия договора и трёх лет после его прекращения. Данные, необходимые для бухгалтерского и налогового учёта, хранятся в сроки, установленные законом. Данные для рассылки обрабатываются до отзыва согласия.

По достижении цели обработки или после отзыва согласия данные уничтожаются в течение тридцати дней либо обезличиваются, если дальнейшая обработка возможна только в обезличенном виде.

Уничтожение выполняется удалением записей из базы данных сервиса без возможности восстановить их содержание средствами сервиса; из резервных копий такие данные исчезают по мере плановой замены копий. Факт уничтожения подтверждается актом.

Записи журнала согласий — дата, адрес электронной почты, IP-адрес, редакция документа — хранятся дольше учётной записи: они служат доказательством получения согласия, которое Оператор обязан представить по части 3 статьи 9 152-ФЗ.

Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на территории России: сервис работает на сервере, арендованном у ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525), Российская Федерация. Требование части 5 статьи 18 152-ФЗ соблюдается.

Часть операций обработки выполняется за пределами Российской Федерации: тексты и изображения передаются иностранным обработчикам, чтобы нейросеть подготовила ответ, а сообщения в Telegram проходят через инфраструктуру мессенджера. Базы данных сервиса при этом остаются в России — за границу уходит текст отдельного запроса и ответ на него, а не база. Получатели, страны, состав данных и цель — в разделе 6.

Токены доступа к API торговых площадок хранятся в зашифрованном виде и не относятся к персональным данным, но защищаются наравне с ними.

6Передача третьим лицам и трансграничная передача

Оператор не продаёт персональные данные и не передаёт их для самостоятельных целей третьих лиц.

Передача возможна только в следующих случаях:

• торговым площадкам — в объёме запросов их API, совершаемых по поручению пользователя
• иностранным обработчикам Groq, Inc. (Соединённые Штаты Америки) и Google LLC (Соединённые Штаты Америки) — для подготовки текстов и изображений нейросетевыми моделями, в объёме, названном ниже
• мессенджеру Telegram Messenger Inc. (иностранное юридическое лицо) — при обращении в поддержку через Telegram-бота сервиса и при отправке уведомлений подключившему бота пользователю
• государственным органам — по мотивированному требованию в порядке, установленном законом

Размещение сервиса на арендованном сервере передачей персональных данных не является. Оператор арендует вычислительные ресурсы у ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525), Российская Федерация; по условиям договора провайдер персональные данные, обрабатываемые Оператором, по его поручению не обрабатывает и доступа к ним не получает. Безопасность данных на арендованных ресурсах обеспечивает Оператор.

Оператор поручает обработку персональных данных ООО «Яндекс.Облако» (ИНН 7704458262, 119021, г. Москва, ул. Льва Толстого, д. 16, пом. 528), Российская Федерация:

• для отправки писем сервиса (подтверждение адреса, сброс пароля, уведомления) через Yandex Cloud Postbox — адрес электронной почты и имя получателя, в объёме письма
• для защиты форм сайта от автоматических запросов — регистрации, сброса пароля и повторной отправки письма (Yandex SmartCaptcha) — IP-адрес и технические данные браузера и устройства посетителя этих страниц. Яндекс хранит эти данные 60 дней. Условия обработки: https://yandex.ru/legal/smartcaptcha_notice/

Иных лиц, кроме названных в настоящем разделе, Оператор к обработке персональных данных не привлекает.

Данные одного пользователя не показываются другому, за исключением сотрудников, которых пользователь сам пригласил в свой магазин.

Трансграничная передача персональных данных осуществляется. Ниже — что именно уходит за границу, кому и зачем.

• свободный текст обращения, отправленного пользователем через форму «Предложить идею» или «Сообщить об ошибке», вместе с техническими сведениями: тип браузера, адрес страницы, размер окна — цель: оформить обращение для внутренней доски задач. Имя и адрес электронной почты пользователя в такой запрос не включаются
• текст отзыва покупателя, указанные им достоинства и недостатки, оценка, название и бренд товара, его вариант (цвет, размер), статус заказа и характеристики карточки — цель: подготовить черновик ответа на отзыв. Имя покупателя в запрос не включается
• название, бренд, категория, описание и характеристики карточки товара — цель: краткая выжимка по товару. Персональных данных такой запрос не содержит
• изображения товаров — публичные фотографии карточек и файлы, загруженные пользователем, — цель: работа фотораздела. Изображение уходит только после того, как пользователь подтвердил в интерфейсе, что людей на нём нет
• тексты публикаций отраслевых источников — цель: подготовка новостной ленты сервиса. Персональные данные пользователей и покупателей в этих запросах не участвуют
• содержание обращения в поддержку, имя и адрес электронной почты пользователя — если он обратился через Telegram-бота сервиса; текст уведомлений — если он подключил бота для уведомлений

Получатели и страны. Тексты и изображения принимают Groq, Inc. (Соединённые Штаты Америки) и Google LLC (Соединённые Штаты Америки). Перед отправкой запрос проходит через собственный вычислительный узел Оператора, размещённый на арендованных ресурсах в стране: Королевство Швеция. Сообщения поддержки и уведомления принимает Telegram Messenger Inc. (иностранное юридическое лицо), серверы которого расположены за пределами Российской Федерации.

Королевство Швеция входит в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ Роскомнадзора от 05.08.2022 № 128, применяется с 01.03.2023). Соединённые Штаты Америки в этот перечень не входят.

Основания трансграничной передачи по статье 12 152-ФЗ: для данных пользователя — исполнение договора, стороной которого является субъект персональных данных, и согласие субъекта на трансграничную передачу, которое даётся отдельной отметкой при регистрации; для данных покупателей торговых площадок — поручение пользователя, выступающего их оператором (раздел 10).

Условия получателей. Обучение моделей на переданных данных договорами получателей запрещено. Технические журналы запросов получатель хранит ограниченное время и только для выявления злоупотреблений и обеспечения работоспособности: у Groq, Inc. этот срок составляет до тридцати дней, место хранения — Соединённые Штаты Америки.

Содержание переданных запросов и ответов Оператор у себя не хранит: в журнале расхода фиксируются раздел сервиса, время, модель и количество израсходованных токенов, но не текст.

Функции, работающие на нейросети, запускаются действием человека — нажатием кнопки в кабинете или отправкой формы. Данные пользователя и покупателей за границу без такого действия не уходят. Не пользуясь этими функциями и не подключая Telegram-бота, пользователь исключает трансграничную передачу своих данных.

7Права субъекта и как их реализовать

Субъект персональных данных вправе получить у Оператора следующие сведения (часть 7 статьи 14 152-ФЗ):

• подтверждение факта обработки его данных
• правовые основания и цели обработки
• применяемые Оператором способы обработки
• наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным или которым данные могут быть раскрыты по договору или по закону
• обрабатываемые данные, относящиеся к субъекту, и источник их получения
• сроки обработки данных, в том числе сроки их хранения
• порядок осуществления субъектом прав, предусмотренных 152-ФЗ
• сведения об осуществлённой или предполагаемой трансграничной передаче
• наименование лица, осуществляющего обработку по поручению Оператора

Кроме того, субъект вправе требовать уточнения, блокирования или уничтожения неточных, устаревших или незаконно полученных данных, отозвать согласие на обработку и обжаловать действия Оператора в Роскомнадзор или в суд.

Запрос направляется на help@mpup.ru или почтой по адресу Оператора. По части 3 статьи 14 152-ФЗ запрос содержит номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи документа и выдавшем его органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты учётной записи), и подпись.

Ответ направляется в течение десяти рабочих дней с момента получения запроса. Срок может быть продлён не более чем на пять рабочих дней с уведомлением заявителя. Повторный запрос тех же сведений направляется не ранее чем через тридцать дней после первоначального, если Оператор не представил их в полном объёме.

При выявлении неправомерной обработки Оператор прекращает её в течение трёх рабочих дней, а если это невозможно — уничтожает данные в течение десяти рабочих дней. Подтверждённая неточность данных устраняется в течение семи рабочих дней. Данные уничтожаются в течение тридцати дней после достижения цели обработки или отзыва согласия.

Отзыв согласия влечёт прекращение обработки и уничтожение данных, кроме случаев, когда обработка продолжается на другом законном основании — например, необходима для исполнения договора или предусмотрена законом.

8Меры защиты

Оператор принимает меры, предусмотренные статьёй 18.1 152-ФЗ, состав и перечень которых определяет самостоятельно.

Правовые меры: публикация настоящей Политики в открытом доступе на сайте, включение условий о конфиденциальности в договоры, оформление поручений на обработку.

Организационные меры: обязанности ответственного за организацию обработки исполняет сам Оператор, ограничение круга лиц с доступом к данным, разграничение прав доступа внутри сервиса по ролям и разделам, оценка вреда, который может быть причинён субъектам, внутренний контроль соответствия обработки требованиям закона, ознакомление лиц, привлекаемых к обработке, с требованиями 152-ФЗ и настоящей Политикой.

Технические меры:

• передача данных только по протоколу HTTPS с шифрованием TLS
• хранение паролей в виде необратимого хэша bcrypt, пароли в открытом виде не хранятся
• шифрование токенов доступа к API торговых площадок алгоритмом AES-256-GCM
• журналирование значимых действий в кабинете с указанием автора и времени
• отзыв всех ранее выданных сессий при смене пароля
• регулярное резервное копирование базы данных

При неправомерной передаче персональных данных Оператор уведомляет Роскомнадзор в течение двадцати четырёх часов с момента выявления инцидента и в течение семидесяти двух часов сообщает результаты внутреннего расследования, как требует часть 3.1 статьи 21 152-ФЗ. Затронутые субъекты уведомляются на адрес электронной почты.

9Cookie и журналы сервера

Технические cookie обеспечивают работу сервиса: сессия входа, выбранная тема оформления, состояние интерфейса. Аналитические cookie ставятся только с согласия посетителя, которое даётся кнопкой «Принять» в баннере: это счётчик Яндекс.Метрики (данные обрабатываются в России) и собственная метка источника перехода. Рекламных трекеров на сайте нет, данные о посещениях рекламным сетям не передаются. Состав cookie, сроки хранения и порядок отзыва согласия — в Политике в отношении файлов cookie.

Сервер ведёт технический журнал обращений: IP-адрес, время запроса, адрес страницы, данные браузера. Журнал нужен для поиска сбоев и защиты от подбора паролей и хранится не более девяноста дней.

10Обработка данных покупателей по поручению пользователя

Вместе с данными магазина в сервис попадают персональные данные покупателей торговой площадки: имя, указанное покупателем в отзыве, текст отзыва и приложенные к нему фотографии и видео.

Оператором этих данных является пользователь сервиса — продавец. Оператор сервиса обрабатывает их по поручению пользователя на основании части 3 статьи 6 152-ФЗ и только в целях, ради которых пользователь подключил магазин: показ отзывов и вопросов, подготовка ответов, аналитика по товарам магазина.

В собственных целях эти данные не обрабатываются, другим пользователям не показываются и третьим лицам не передаются. Условия поручения изложены в разделе 10 оферты.

Ответственность перед покупателем несёт пользователь как оператор. Запросы покупателей об их данных Оператор сервиса передаёт пользователю, у которого подключён соответствующий магазин.

11Браузерное расширение

Оператор распространяет браузерное расширение mpup для Google Chrome. Расширение работает в браузере пользователя и использует его действующую сессию в кабинете торговой площадки. Логин и пароль расширение не запрашивает и не получает.

Токены авторизации торговой площадки сохраняются только в локальном хранилище расширения на устройстве пользователя. Оператору и третьим лицам они не передаются.

На сервер Оператора расширение передаёт данные магазина, полученные из кабинета торговой площадки: сведения о товарах, ценах, позициях в поисковой выдаче, остатках, рекламных кампаниях и их метриках, отчёты о поисковых запросах, а также идентификатор магазина. Цель передачи — показать эти данные в личном кабинете пользователя и синхронизировать их между сотрудниками магазина. Правовое основание — исполнение договора-оферты, пункт 5 части 1 статьи 6 152-ФЗ.

Если к аккаунту подключено несколько магазинов, расширение получает данные каждого по очереди и возвращает исходный выбор активного магазина.

Часть обновлений расширение выполняет периодически в фоне, без действий пользователя: собирает общедоступные данные поисковой выдачи торговых площадок, а также отчёты о поисковых запросах из кабинета продавца, в том числе по заданиям сервиса, и передаёт результат Оператору. Персональные данные при этом не собираются.

Расширение отправляет Оператору технические отчёты о работе разбора страниц торговых площадок: какой разбор выполнен, удался ли он, сколько строк получено, какие обязательные поля пришли пустыми и как называются поля ответа площадки и элементы разметки её страниц. Значения полей в отчёт не входят. Личных данных в отчёте нет: ни текста поисковых запросов, ни артикулов, ни адресов, ни идентификаторов магазина и пользователя. Отчёт принимается только от расширения, вошедшего в аккаунт, но вместе с аккаунтом не хранится. Цель — узнать об изменении страниц площадки раньше, чем перестанет работать функция расширения. Отчёты хранятся 30 дней.

Персональные данные покупателей расширение не собирает. Историю просмотров, содержимое других сайтов и переписку расширение не читает и не передаёт.

Удалить переданные данные можно по обращению на help@mpup.ru. Расширение удаляется из браузера стандартными средствами Google Chrome; после удаления сохранённые им токены перестают существовать вместе с его локальным хранилищем.

12Изменения политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на этой странице.

Вопросы по обработке персональных данных направляйте на help@mpup.ru.

Сведения о документе

Дата публикации настоящей редакции — 02.10.2026. Действующая редакция размещена по адресу mpup.ru/privacy и доступна без ограничений.