ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения
   1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных Обществом с ограниченной ответственностью «Инновационный Финансовый Сервис» (ИНН 7842192225; ОГРН 1217800074678; адрес: 119048, г. Москва, ул. Лужники, д. 24 стр. 24) (далее — «Оператор») при использовании физическими лицами Сервиса «ПЛАВНО».
   2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ»), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными нормативными правовыми актами Российской Федерации.
   3. Политика действует в отношении всех персональных данных, которые Оператор обрабатывает на сайте https://www.plavno.ru/, в мобильном приложении «ПЛАВНО», на HTML-страницах публичных документов, страницах оплаты, странице успешной оплаты, в личных кабинетах, веб-версиях и иных компонентах Сервиса «ПЛАВНО» (далее совместно — «Сервис» или «Сервис «ПЛАВНО»»).
   4. В соответствии с ч. 2 ст. 18.1 Закона № 152-ФЗ Оператор обеспечивает неограниченный доступ к настоящей Политике путем ее размещения в сети «Интернет» по адресу: https://www.plavno.ru/dokumenty/privacy-policy.
   5. Оператор вправе вносить изменения в Политику путем размещения новой редакции по указанному адресу. Изменения вступают в силу с даты опубликования новой редакции, если иной срок не указан в самой редакции.
   6. Настоящая Политика является информационным документом и не заменяет согласие на обработку персональных данных, оформляемое отдельным документом — Согласием на обработку персональных данных.
2. Основные понятия
   1. Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
   2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования (сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение).
   3. Оператор — лицо, указанное в разделе 1 настоящей Политики, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых персональных данных.
   4. Сервис «ПЛАВНО» (Сервис) — программное обеспечение «ПЛАВНО», его веб-версии, мобильное приложение, личные кабинеты, страницы оплаты, QR-страницы, интерфейсы, модули, обновления, дополнительные функциональные возможности и иные компоненты.
   5. Пользователь — любое физическое лицо, использующее Сервис.
   6. Плательщик / Гость — физическое лицо, которое без регистрации или с регистрацией оплачивает чаевые, счет, бронирование, предзаказ, депозит, предоплату или иной платеж через Сервис.
   7. Получатель чаевых — физическое лицо, зарегистрированное в Сервисе и получающее чаевые.
   8. Заведение — юридическое лицо или индивидуальный предприниматель, использующие Сервис на условиях Лицензионного соглашения для заведений.
   9. Администратор / Владелец Заведения — пользователи, которым Заведение предоставило права управления Заведением, командами, сотрудниками, настройками, аналитикой и (или) доступ к аналитике.
   10. Процессинговый сервис — ООО «Бест2Пей» и (или) иной процессинговый, платежный или технологический сервис, используемый для приема, обработки и сопровождения платежей в зависимости от категории Заведения, вида платежа, местоположения, сегмента рынка, настроек Оператора и иных условий.
   11. Лицензионное вознаграждение — вознаграждение Оператора за предоставление права использования функциональных возможностей Сервиса, оплачиваемое Плательщиком / Гостем.
   12. Кубышка (общая копилка команды) — технический учет средств команды в Сервисе, при котором чаевые поступают в копилку команды и затем распределяются Администратором между сотрудниками внутри Сервиса.
   13. Cookie — небольшие текстовые файлы и аналогичные технологии, сохраняемые на устройстве Пользователя при использовании Сервиса.
   14. Закон № 152-ФЗ — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
3. Категории субъектов персональных данных, состав персональных данных, цели обработки и перечень действий
   1. В рамках Сервиса обработку персональных данных осуществляет Оператор. Состав обрабатываемых персональных данных, цели их обработки и перечень субъектов приведены в таблице ниже. Конкретный объем обрабатываемых данных зависит от роли Пользователя и используемого им функционала Сервиса.

      Категория субъекта	Категории обрабатываемых персональных данных	Цели обработки персональных данных
      Плательщик / Гость (физическое лицо, совершающее платеж)	технические идентификаторы платежной страницы / QR-кода сведения о Заведении, Получателе, команде / Кубышке сумма платежа, назначение платежа, размер лицензионного вознаграждения, статус платежа, идентификатор операции сведения о возвратах и спорных операциях отзыв, оценка, комментарий факт предоставления / непредоставления согласия на показ рекламных материалов технические данные (IP-адрес, cookie, user-agent, устройство, браузер, дата и время, URL и заголовок страницы, источник перехода, язык, часовой пояс, разрешение экрана, действия в интерфейсе, примерное географическое расположение по данным веб-аналитики, логи безопасности) иные данные, предоставленные Пользователем самостоятельно	отображение платежной страницы и состава платежа прием и сопровождение платежей через Процессинговый сервис расчет и отображение лицензионного вознаграждения, формирование чека по лицензионному вознаграждению и отображение QR-кода / ссылки на чек размещение отзывов и оценок подтверждение правомерности показа / непоказа рекламных материалов возвраты, спорные операции, антифрод и безопасность
      Получатель чаевых	ФИО / имя / фамилия / отображаемое имя номер телефона фото / аватар цель сбора чаевых, сумма цели сведения о Заведениях, командах, роли история транзакций / чаевых, аналитика отзывы, оценки, комментарии QR-код / идентификатор Получателя банковские реквизиты, номер телефона для СБП, маскированные реквизиты карты, токены, идентификаторы платежного инструмента и иные сведения для вывода средств в объеме, доступном Оператору сведения о действиях в личном кабинете документы и сведения, предоставляемые при антифрод-проверке	регистрация и авторизация, предоставление доступа к Сервису ведение профиля Получателя и отображение сведений профиля Получателя в интерфейсе Сервиса Плательщику аналитика чаевых, отзывов и оценок вывод средств на карту / по СБП обработка обращений в поддержку, антифрод и безопасность
      Администратор / Владелец Заведения	ФИО, номер телефона, e-mail роль и права доступа сведения о Заведении (Заведениях) действия по добавлению / удалению сотрудников и команд настройки горячих кнопок сумм действия по распределению Кубышки аналитика и история действий документы и сведения, подтверждающие полномочия	управление Заведением, командами, сотрудниками распределение Кубышки доступ к аналитике обработка обращений, антифрод и безопасность
      Представитель / сотрудник Заведения, подключаемый к Сервису	ФИО, контактные данные сведения о роли и связи с Заведением иные сведения, необходимые для подключения и идентификации	подключение к Сервису и идентификация обеспечение взаимодействия с Заведением исполнение договоров и требований закона
      Лицо, обращающееся в поддержку	контактные данные, указанные при обращении содержание обращения сведения, добровольно предоставленные при коммуникации	обработка обращений в поддержку разрешение спорных операций и возвратов
      Лицо, проходящее антифрод-проверку	паспорт или иной документ, удостоверяющий личность селфи / фото для подтверждения принадлежности аккаунта подтверждение связи Получателя с Заведением, полномочий пояснения об экономическом смысле операций банковские реквизиты / сведения о СБП, маскированные реквизиты карты, токены или идентификаторы платежного инструмента в объеме, необходимом для проверки иные документы и сведения, запрошенные при проверке	подтверждение принадлежности аккаунта и связи с Заведением выявление признаков нецелевого использования и мошенничества защита добросовестных Пользователей, Заведений, Процессингового сервиса и Оператора
      Посетитель сайта / публичных страниц / платежной страницы	IP-адрес, cookie и аналогичные идентификаторы дата и время посещения, URL, заголовок страницы, источник перехода сведения о браузере, ОС, языке, часовом поясе, разрешении экрана сведения о действиях в интерфейсе, просмотрах, кликах, технических ошибках примерное географическое расположение по данным веб-аналитики	обеспечение корректной и безопасной работы Сервиса аналитика и улучшение интерфейса, безопасности и функциональности хранение факта согласия / отказа по cookie и рекламному согласию

   2. Перечень действий с персональными данными (для всех категорий субъектов): Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
   3. Оператор по общему правилу не получает от Пользователя и не хранит полные данные банковской карты, если платежные данные вводятся на стороне Процессингового сервиса. При этом Оператор может обрабатывать сведения о факте платежа, сумме, статусе платежа, идентификаторе операции, Заведении, Получателе, назначении платежа, размере лицензионного вознаграждения, возвратах, спорных операциях, логах безопасности и иных данных, необходимых для функционирования Сервиса.
4. Правовые основания обработки
   1. Оператор обрабатывает персональные данные не на одном универсальном основании, а на применимых правовых основаниях в зависимости от категории субъекта персональных данных, цели обработки и сценария использования Сервиса.
   2. Правовыми основаниями обработки персональных данных являются:
      1. Согласие субъекта персональных данных на обработку его персональных данных.
      2. Исполнение договора, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных, либо заключение договора по инициативе субъекта персональных данных, включая исполнение пользовательского лицензионного соглашения, лицензионного соглашения для заведений и иных применимых документов Сервиса.
      3. Осуществление прав и законных интересов Оператора, Пользователей, Заведений, Процессингового сервиса и иных третьих лиц, в том числе в целях обеспечения безопасности Сервиса, предотвращения мошенничества, нецелевого использования Сервиса, сопровождения платежей, обработки обращений, разрешения спорных операций, подтверждения факта предоставления согласий и защиты прав.
      4. Исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, включая исполнение запросов уполномоченных государственных органов, хранение сведений в установленных законом случаях и выполнение требований законодательства о персональных данных, информации, рекламе, применении контрольно-кассовой техники и иных применимых требований.
      5. Иные основания, предусмотренные законодательством Российской Федерации.
   3. Применимые основания обработки определяются с учетом конкретной роли субъекта персональных данных:
      1. В отношении Плательщика / Гостя обработка может осуществляться на основании согласия субъекта персональных данных, исполнения пользовательского лицензионного соглашения и платежного сценария, законных интересов Оператора и третьих лиц по обеспечению безопасности, антифроду, подтверждению согласий и сопровождению платежей, а также исполнения требований законодательства.
      2. В отношении Получателя чаевых обработка может осуществляться на основании согласия субъекта персональных данных, исполнения пользовательского лицензионного соглашения, предоставления доступа к Сервису, обеспечения вывода средств, безопасности и антифрода, а также исполнения требований законодательства.
      3. В отношении Администратора / Владельца Заведения обработка может осуществляться на основании исполнения применимых лицензионных соглашений, реализации предоставленных полномочий, управления Заведением, командами и Кубышкой, законных интересов Оператора и Заведения, обеспечения безопасности и антифрода.
      4. В отношении Представителя / сотрудника Заведения обработка может осуществляться в целях подключения к Сервису, идентификации роли и связи с Заведением, исполнения договоров и требований законодательства, а при необходимости — на основании согласия субъекта персональных данных.
      5. В отношении лица, обращающегося в поддержку, обработка может осуществляться в целях обработки обращения, разрешения спорных операций и возвратов, реализации законных интересов Оператора и Пользователя, а также исполнения требований законодательства.
      6. В отношении лица, проходящего антифрод-проверку, обработка может осуществляться в целях обеспечения безопасности Сервиса, проверки добросовестности использования Сервиса, реализации законных интересов Оператора, Пользователей, Заведений и Процессингового сервиса, исполнения требований законодательства, а при необходимости — на основании согласия субъекта персональных данных.
      7. В отношении Посетителя сайта / публичных страниц / платежной страницы обработка может осуществляться в целях обеспечения работы и безопасности Сервиса, аналитики, хранения факта согласий / отказов, реализации законных интересов Оператора, а в отношении необязательных cookie — на основании согласия субъекта персональных данных, если такое согласие требуется законодательством.
5. Принципы обработки персональных данных
   1. Обработка персональных данных осуществляется на законной и справедливой основе, исключительно для достижения конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора, а также объединение баз данных, обработка которых осуществляется в несовместимых между собой целях. Обработке подлежат только те персональные данные, которые отвечают целям их обработки; их содержание и объем соответствуют заявленным целям и не являются избыточными. Оператор обеспечивает точность, достаточность и актуальность персональных данных, а по достижении целей обработки (либо в случае утраты необходимости в их достижении) уничтожает или обезличивает персональные данные.
6. Условия обработки персональных данных и передача третьим лицам
   1. Оператор осуществляет обработку персональных данных автоматизированным, неавтоматизированным и смешанным способами. Обработка ведется на территории Российской Федерации. К обработке допускаются только те работники Оператора, в должностные обязанности которых входит обработка персональных данных.
   2. В целях, указанных в настоящей Политике, Оператор вправе передавать персональные данные и (или) поручать их обработку следующим категориям получателей:
      1. Процессинговым сервисам (включая ООО «Бест2Пей» и (или) иные Процессинговые сервисы);
      2. банкам и Платежным системам;
      3. операторам фискальных данных;
      4. хостинг-провайдерам;
      5. сервисам веб-аналитики;
      6. сервисам поддержки;
      7. Заведениям — в пределах их роли;
      8. Администраторам и Владельцам Заведений — в пределах настроек доступа;
      9. государственным органам — в случаях, предусмотренных законодательством;
      10. иным лицам, привлеченным для функционирования Сервиса.
   3. Процессинговый сервис может меняться в зависимости от категории Заведения, вида платежа, местоположения, сегмента рынка и иных условий. Условия конкретного Процессингового сервиса отображаются на странице оплаты, в интерфейсе оплаты и (или) в документах соответствующего Процессингового сервиса. Платежные данные банковской карты по общему правилу вводятся на стороне Процессингового сервиса; Оператор такие данные, как правило, не получает и не хранит.
7. Обработка технических данных и cookie
   1. При использовании Сервиса Оператор может обрабатывать технические данные посетителя / Пользователя: IP-адрес, cookie и аналогичные идентификаторы, дату и время посещения, URL и заголовок страницы, источник перехода, сведения о браузере, операционной системе, языке, часовом поясе, разрешении экрана, действиях в интерфейсе, просмотрах, кликах, технических ошибках, а также примерное географическое расположение по данным веб-аналитики.
   2. Порядок использования файлов cookie и аналогичных технологий определяется отдельным документом — Политикой обработки файлов cookie, которая применяется совместно с настоящей Политикой. На дату начала действия настоящей редакции cookie не используются Оператором для персонализации рекламных материалов на основании предпочтений Пользователя. В случае внедрения такой функциональности Оператор обновляет Политику обработки файлов cookie и обеспечивает получение необходимых согласий, если они требуются законодательством.
8. Обработка персональных данных в платежных и антифрод-сценариях
   1. При использовании платежного функционала Сервиса Оператор обрабатывает сведения о факте платежа, сумме, статусе и идентификаторе операции, Заведении, Получателе, назначении платежа, размере лицензионного вознаграждения, возвратах и спорных операциях. Оператор не является банком, кредитной организацией, оператором по переводу денежных средств или иной финансовой организацией, осуществляющей банковскую идентификацию клиентов.
   2. В целях подтверждения принадлежности аккаунта, связи Получателя с Заведением, целевого использования Сервиса, а также выявления признаков нецелевого использования, мошенничества и подозрительных операций Оператор вправе обрабатывать документы и сведения, предоставленные при антифрод-проверке (включая документ, удостоверяющий личность, селфи / фото, подтверждение связи с Заведением, банковские реквизиты, сведения о СБП, пояснения об экономическом смысле операций и иные запрошенные сведения). Внутренние пороги, баллы, скоринги, гейты, уровни доверия, стоп-листы, конкретные суммы и алгоритмы в публичных документах не раскрываются.
   3. Оператор вправе передавать сведения о подозрительных операциях, Пользователях, Заведениях и платежах Процессинговому сервису, банкам, Платежным системам, государственным органам и иным лицам, если это необходимо для проверки, предотвращения нарушений, исполнения закона и защиты прав Оператора, Пользователей, Заведений или третьих лиц.
   4. Реклама на странице успешной оплаты не является рекламной рассылкой, не подбирается на основании пользовательских предпочтений, поведения, профиля, истории платежей или геолокации и не требует обработки персональных данных для таргетинга в рамках Согласия на показ рекламных материалов. При этом Оператор может обрабатывать факт согласия / отказа от показа рекламных материалов для подтверждения правомерности интерфейсного показа.
   5. Специальные категории и биометрические персональные данные
      1. Оператор не запрашивает и целенаправленно не собирает специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрические персональные данные, за исключением случаев, когда такие данные прямо необходимы для предусмотренного законом или документами Сервиса сценария и имеется надлежащее правовое основание. Фото / аватар не используется Оператором для биометрической идентификации или аутентификации. Селфи / фото с документом при антифрод-проверке используется для подтверждения принадлежности аккаунта и связи с Заведением. Если конкретный сценарий предполагает биометрическую идентификацию или аутентификацию в смысле ст. 11 Закона № 152-ФЗ, такая обработка допускается только при наличии отдельного согласия или иного законного основания.
      2. Если такие сведения предоставлены Пользователем по собственной инициативе в свободном поле, комментарии, отзыве, обращении в поддержку или при антифрод-проверке, Оператор обрабатывает их только при наличии применимого правового основания и только в минимально необходимом объеме. При отсутствии основания такие сведения подлежат удалению или обезличиванию. Установленное Пользователем изображение (аватар) не используется Оператором для установления личности и не является биометрическими персональными данными.
   6. Отображение профиля получателя чаевых в интерфейсе сервиса
      1. Пользователь понимает и соглашается, что отдельные сведения профиля Получателя чаевых, самостоятельно указанные им в Сервисе или предоставленные при подключении к Заведению, могут отображаться в интерфейсе Сервиса Плательщику / Гостю, перешедшему на страницу оплаты, страницу Получателя, страницу команды или иную функциональную страницу Сервиса по QR-коду, ссылке или иному идентификатору, исключительно в объеме, необходимом для идентификации Получателя чаевых и корректного использования Сервиса. К таким сведениям могут относиться: фото / аватар, отображаемое имя, фамилия (если выводится в интерфейсе), цель сбора чаевых, сумма цели, принадлежность к Заведению / команде, QR-код или идентификатор Получателя.
9. Ответственный за организацию обработки и уведомления
   1. Ответственный за организацию обработки персональных данных назначается внутренним актом Оператора. Обращения субъектов персональных данных направляются на info@plavno.ru и (или) по юридическому адресу Оператора. Оператор исполняет обязанности, предусмотренные ст. 22 Закона № 152-ФЗ, включая уведомление уполномоченного органа, если такая обязанность применима.
10. Инциденты безопасности персональных данных
    1. При выявлении инцидента безопасности персональных данных Оператор фиксирует инцидент, принимает меры по локализации, расследованию причин, восстановлению защищенности данных и предотвращению повторения инцидента, а также уведомляет уполномоченный орган и субъектов персональных данных в случаях и сроки, установленные законодательством Российской Федерации.
11. Права субъектов персональных данных
    1. Субъект персональных данных имеет право:
       1. получать информацию, касающуюся обработки его персональных данных (правовые основания, цели, способы, сроки обработки и хранения и иные сведения, предусмотренные законом);
       2. требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
       3. отозвать согласие на обработку персональных данных;
       4. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
       5. осуществлять иные права, предусмотренные законодательством Российской Федерации.
12. Порядок обращений субъектов персональных данных
    1. Субъект персональных данных, его представитель или уполномоченный орган вправе направить запрос Оператору по электронной почте info@plavno.ru или письменно по адресу: 119048, г. Москва, ул. Лужники, д. 24 стр. 24. Отзыв согласия на обработку персональных данных направляется на указанный адрес электронной почты с пометкой «Отзыв согласия на обработку персональных данных» либо письменно по юридическому адресу Оператора.
    2. Если в запросе не отражены все необходимые сведения либо у обратившегося отсутствует право доступа к запрашиваемой информации, Оператор направляет мотивированный отказ. При обращении субъекта с требованием о прекращении обработки персональных данных обработка прекращается в срок, не превышающий установленный законодательством, за исключением случаев, предусмотренных Законом № 152-ФЗ.
13. Меры защиты персональных данных
    1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий, в том числе: определяет угрозы безопасности персональных данных; принимает локальные акты, регулирующие обработку и защиту персональных данных; назначает ответственных лиц; применяет организационные и технические меры, обеспечивающие установленные уровни защищенности; организует учет носителей, обнаружение фактов несанкционированного доступа и восстановление измененных или уничтоженных данных; устанавливает правила доступа и контроль за принимаемыми мерами.
14. Сроки обработки и хранения
    1. Персональные данные обрабатываются до достижения целей обработки, в течение срока действия отношений с субъектом, срока хранения документов, срока исковой давности, сроков, предусмотренных законодательством, и (или) до отзыва согласия, если обработка осуществляется на основании согласия. Платежные и фискальные сведения, сведения о согласиях, логах, операциях, возвратах и спорных операциях хранятся в течение сроков, необходимых для исполнения закона, защиты прав Оператора и подтверждения правомерности действий. Данные аккаунта хранятся в течение срока использования Сервиса и периода, необходимого для защиты прав. Обращения в поддержку хранятся в течение срока рассмотрения обращения и срока, необходимого для разрешения спора. Антифрод-материалы хранятся в течение срока проверки, срока исковой давности и срока, необходимого для предотвращения повторных нарушений. Cookie и технические данные хранятся с учетом сроков жизни соответствующих cookie и целей обработки. По достижении целей обработки либо в случае отзыва согласия (при отсутствии иных правовых оснований для продолжения обработки) персональные данные подлежат уничтожению или обезличиванию.
15. Заключительные положения
    1. Настоящая Политика применяется совместно с иными документами Сервиса «ПЛАВНО», размещенными по адресу https://www.plavno.ru/dokumenty. Во всем, что не урегулировано настоящей Политикой, Оператор руководствуется законодательством Российской Федерации.