Условия обработки данных покупателей по поручению

Настоящий документ определяет условия, на которых Исполнитель обрабатывает персональные данные покупателей маркетплейсов по поручению Клиента в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ «О персональных данных».

В настоящем документе:

Исполнитель — Индивидуальный предприниматель Родионова Анастасия Алексеевна, ИНН 504723909102, ОГРНИП 325508100719750; полные реквизиты, включая адрес, опубликованы на странице Реквизиты; адрес электронной почты help@mpsupport.ru;
Сервис — программный продукт MPSupport, доступный по адресу app.mpsupport.ru и принадлежащий Исполнителю;
Клиент — лицо, использующее Сервис и являющееся оператором персональных данных покупателей.

Настоящие Условия являются неотъемлемой частью договора между Клиентом и Исполнителем, заключаемого на условиях Публичной оферты, наряду с Пользовательским соглашением. Принятие настоящего документа в личном кабинете является поручением оператора в смысле части 3 статьи 6 указанного закона; факт принятия, версия и текст документа фиксируются в журнале согласий.

1. Правовое основание и распределение ролей

Работая в Сервисе, Клиент передаёт на обработку два разных набора данных, и роли сторон в отношении каждого из них различаются.

Данные самого Клиента — имя, адрес электронной почты, телефон, реквизиты организации, сведения о платежах. В отношении этих данных оператором является Исполнитель. Порядок их обработки описан в Политике обработки персональных данных.
Данные покупателей — сведения, поступающие из вопросов, отзывов и сообщений чатов, которые покупатели адресуют Клиенту как продавцу на маркетплейсе. В отношении этих данных оператором является Клиент, а Исполнитель выступает лицом, осуществляющим обработку по его поручению.

Правовое основание обработки данных покупателей обеспечивает Клиент: он является оператором этих данных и отвечает за наличие основания перед субъектами и перед уполномоченным органом.

В силу части 4 статьи 6 Федерального закона № 152-ФЗ лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку. Поэтому Исполнитель не получает согласие покупателя, не вступает с ним в прямые отношения и не направляет ему сообщений от своего имени.

Клиент определяет цели обработки данных покупателей и поручает Исполнителю совершать только те действия, которые прямо перечислены в настоящем документе. Исполнитель самостоятельно определяет лишь технические и организационные способы исполнения поручения и не вправе использовать данные покупателей в собственных целях.

Ответственность перед субъектом персональных данных за действия Исполнителя несёт Клиент как оператор. Исполнитель отвечает перед Клиентом за нарушение настоящего поручения и самостоятельно — за нарушение собственных обязанностей, установленных законом.

Изменение целей, категорий данных или состава действий возможно только через изменение настоящего документа и его принятие Клиентом.

2. Перечень персональных данных и категории субъектов

Поручение распространяется на следующие категории данных:

имя или никнейм покупателя в том виде, в каком его передаёт маркетплейс;
текст вопроса, отзыва и сообщений чата, включая сведения, которые покупатель указал в них по собственной инициативе;
оценку товара в отзыве;
идентификаторы заказа и товара, к которым относится обращение;
даты и служебные идентификаторы обращения на стороне маркетплейса.

Категории субъектов: покупатели маркетплейсов Wildberries, Ozon и Яндекс.Маркет, обратившиеся к Клиенту как к продавцу.

Содержимое файлов, приложенных покупателем к сообщению чата, Сервис не получает и в постоянном хранилище не сохраняет: обрабатывается только текст обращения и сообщений. Файл, который Клиент отправляет покупателю из кабинета, передаётся на маркетплейс потоком и также не сохраняется.

Исполнитель не запрашивает специальные категории персональных данных, биометрические данные и сведения о судимости и не создаёт полей для их ввода. Сведения, которые покупатель указал в свободном тексте обращения по собственной инициативе, Исполнитель обрабатывает исключительно в составе поручения и по указанию Клиента прекращает их обработку либо уничтожает.

3. Цели обработки

Обработка данных покупателей допускается исключительно в следующих целях Клиента:

подготовка проекта ответа на обращение покупателя от имени Клиента;
отправка одобренного Клиентом ответа на маркетплейс;
формирование для Клиента аналитики качества ответов.

Обработка в любых иных целях настоящим поручением не охватывается: собственные цели Исполнителя целями Клиента не являются и в поручение не входят.

4. Перечень действий с данными

Сбор (получение из программных интерфейсов маркетплейсов), запись, систематизация, накопление, хранение, извлечение, использование, передача (предоставление маркетплейсу при публикации ответа и привлечённым лицам, указанным в разделе 6), блокирование, удаление, уничтожение — с использованием средств автоматизации.

Ответ публикуется на маркетплейсе только после его одобрения на стороне Клиента, если Клиент не включил автоматическую отправку в настройках своего кабинета.

5. Место обработки и локализация

Первичная запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных покупателей осуществляются с использованием баз данных, размещённых на территории Российской Федерации.

Трансграничная передача персональных данных покупателей в рамках настоящего поручения не осуществляется.

Исполнитель осуществляет резервное копирование баз данных. Резервные копии размещаются на территории Российской Федерации. Исполнитель хранит ограниченное число последних резервных копий; более старые копии уничтожаются автоматически.

6. Привлечённые лица

Для исполнения поручения Исполнитель привлекает:

FirstVDS (АО «ИОТ») — предоставление серверов, на которых размещены приложение и базы данных, на территории Российской Федерации.

Взаимодействие с программными интерфейсами маркетплейсов осуществляется через инфраструктуру Исполнителя, размещённую на территории Российской Федерации. Привлечённые лица для такого взаимодействия не используются; получателем передаваемых сведений выступает оператор соответствующего маркетплейса.

Подготовка проекта ответа и оценка его качества выполняются языковой моделью на инфраструктуре Исполнителя, без привлечения третьих лиц; состав передаваемых модели сведений описан в разделе 7.

Маркетплейсы Wildberries, Ozon и Яндекс.Маркет привлечёнными лицами не являются: они выступают самостоятельными операторами, от которых обращение поступает и которым публикуемый ответ возвращается.

Исполнитель вправе изменить состав привлечённых лиц, уведомив Клиента через интерфейс Сервиса или по адресу электронной почты не позднее чем за 10 календарных дней до того, как новое лицо получит доступ к данным. Если привлечение нового лица влечёт передачу данных за пределы Российской Федерации, доступ предоставляется не ранее выполнения требований статьи 12 Федерального закона № 152-ФЗ. До начала передачи Клиент вправе отказаться от соответствующей функции Сервиса или от договора.

Исполнитель отвечает перед Клиентом за действия привлечённых лиц как за свои собственные.

7. Автоматизированная обработка с применением языковых моделей

Для подготовки проекта ответа и оценки его качества Исполнитель применяет автоматизированную обработку с использованием языковых моделей, размещённых на инфраструктуре Исполнителя на территории Российской Федерации. Персональные данные покупателей внешним поставщикам языковых моделей не передаются.

В целях минимизации объёма обрабатываемых сведений перед обработкой языковой моделью автоматически маскируются контактные данные, ссылки и адреса сайтов, почтовые адреса и длинные числовые последовательности, встречающиеся в тексте обращения. Имя покупателя, передаваемое маркетплейсом отдельным полем, в запрос к модели не включается и подставляется в готовый ответ после получения результата.

Маскирование основано на формальных признаках и не исключает того, что отдельные сведения о покупателе останутся в передаваемом модели тексте, если покупатель указал их в свободной форме. Клиент учитывает это при исполнении собственных обязанностей оператора.

Вместе с текстом обращения модели передаются наименование и идентификатор товара, а также сведения, загруженные Клиентом в Сервис: карточки товаров, база знаний и тексты инструкций. Тексты, загруженные Клиентом, маскированию не подвергаются; Клиент не помещает в них персональные данные.

В базах данных Исполнителя текст обращения хранится полностью. Персональные данные покупателей не используются для обучения моделей машинного обучения и для формирования собственных наборов данных Исполнителя.

8. Конфиденциальность

Исполнитель обязуется не раскрывать и не распространять данные покупателей третьим лицам без согласия Клиента, за исключением случаев, прямо предусмотренных законодательством Российской Федерации, и случаев передачи, предусмотренных разделами 4 и 6.

Доступ к данным предоставляется работникам и привлечённым лицам Исполнителя по принципу минимально необходимого доступа и только для целей, указанных в разделе 3. Действия работников Исполнителя в служебной панели фиксируются в журнале с указанием исполнителя, времени и объекта действия.

Исполнитель не использует данные покупателей в собственных целях.

9. Требования к защите данных и подтверждение принятых мер

Исполнитель обеспечивает безопасность персональных данных покупателей при их обработке в соответствии со статьёй 19 Федерального закона № 152-ФЗ и принятыми в соответствии с ней нормативными правовыми актами, соблюдает требования части 5 статьи 18 и статьи 18.1 Федерального закона № 152-ФЗ в применимой к нему части.

Во исполнение указанных требований Исполнитель применяет, в частности, следующие меры:

шифрование внешних соединений с пользователями, маркетплейсами и иными внешними сервисами по протоколу TLS; доступ к хранилищам данных извне закрыт;
шифрование ключей доступа к маркетплейсам и секретов webhook-уведомлений алгоритмом AES-256-GCM;
хранение паролей в виде хеша (bcrypt);
сессии в httpOnly-cookie с возможностью немедленного отзыва всех выданных сессий пользователя;
блокировку подбора пароля и ограничение частоты запросов;
защиту публичных форм капчей;
разграничение доступа к данным между кабинетами разных Клиентов на уровне запросов к хранилищам;
журналирование действий в кабинете и в служебной панели;
неизменяемый журнал согласий с подписью HMAC-SHA256;
маскирование адресов электронной почты и иных идентификаторов в технических журналах;
ограничение объёма технических журналов и их автоматическую ротацию.

В настоящее время применяются указанные технические механизмы. Исполнитель вправе изменять конкретные средства и технологии защиты при условии, что такие изменения не снижают общий уровень защищённости персональных данных и обеспечивают соблюдение применимых требований законодательства.

По запросу Клиента в течение срока действия настоящего поручения, в том числе до начала обработки персональных данных, Исполнитель предоставляет документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных настоящим документом и Федеральным законом № 152-ФЗ, в объёме, необходимом Клиенту для исполнения обязанностей оператора.

10. Содействие Клиенту

По обоснованному запросу Клиента, в том числе поступившему к нему от субъекта персональных данных или от уполномоченного органа, Исполнитель без необоснованной задержки и в срок, позволяющий Клиенту исполнить требования законодательства о персональных данных с учётом сроков, установленных для оператора:

помогает найти в Сервисе данные, относящиеся к конкретному покупателю или к конкретному обращению;
прекращает обработку таких данных;
уничтожает их в порядке, описанном в разделе 11;
сообщает сведения, необходимые Клиенту для ответа субъекту.

Обращение субъекта персональных данных, поступившее к Исполнителю напрямую, Исполнитель самостоятельно не исполняет: он передаёт его Клиенту как оператору и действует по указанию Клиента. Это не освобождает Исполнителя от собственных обязанностей, установленных законом.

11. Прекращение обработки и уничтожение данных

По требованию Клиента, а также при расторжении договора Исполнитель прекращает обработку персональных данных покупателей, блокирует или уничтожает их в срок, указанный Клиентом и необходимый для исполнения обязанностей Клиента как оператора, а при отсутствии такого указания — не позднее 30 календарных дней с момента получения требования. Требования направляются на адрес help@mpsupport.ru.

Клиент вправе потребовать уничтожения данных как по всему кабинету целиком, так и по отдельному обращению, например когда покупатель просит удалить отзыв со своим именем.

Что уничтожается при удалении отдельного обращения. Данные, относящиеся к этому обращению и его субъекту: полученное обращение, подготовленные и отправленные по нему ответы, результаты анализа качества по нему. Материалы кабинета удаление отдельного обращения не затрагивает. Повторная загрузка удалённого обращения из маркетплейса не производится.

Что уничтожается при удалении кабинета или по отдельному требованию Клиента. Все данные покупателей, относящиеся к кабинету Клиента, а также загруженные Клиентом материалы кабинета: записи базы знаний, инструкции для подготовки ответов, шаблоны и описания товаров.

Что не уничтожается и почему:

Журнал действий работников Исполнителя сохраняется: он подтверждает сам факт исполнения требования об уничтожении.
Технические журналы приложения и сервера не очищаются выборочно. Идентификаторы в них по общему правилу маскируются, для оказания функций Сервиса такие журналы не используются и удаляются по мере ротации.
Резервные копии, созданные до уничтожения, содержат удалённые сведения до уничтожения самих копий в порядке, описанном в разделе 5. Выборочно из копии данные не удаляются; копия не используется для оказания функций Сервиса и обрабатывается исключительно для восстановления работоспособности после сбоя.
Отправленные сообщения электронной почты и их копии у почтовых провайдеров отзыву не подлежат.
Данные у привлечённых лиц и на стороне маркетплейсов уничтожаются по правилам этих лиц. Опубликованные на маркетплейсе вопрос, отзыв и ответ на них удалением в Сервисе не затрагиваются: их удаление — вопрос к маркетплейсу.

Обработка данных самого Клиента, включая данные учётной записи, настоящим поручением не регулируется; порядок их удаления описан в Политике обработки персональных данных.

Факт уничтожения фиксируется, и Исполнитель по запросу подтверждает его Клиенту с указанием объёма удалённого.

12. Уведомление об инцидентах

При обнаружении неправомерной или случайной передачи данных покупателей, а равно неправомерного доступа к ним, Исполнитель уведомляет Клиента незамедлительно, но не позднее 12 часов с момента обнаружения, по адресу электронной почты владельца кабинета.

Срок установлен короче срока, отведённого оператору на уведомление уполномоченного органа, чтобы у Клиента оставался запас времени на собственные действия. Уведомление уполномоченного органа и субъектов Исполнитель за Клиента не подаёт: эта обязанность лежит на операторе.

Уведомление содержит известные на момент отправки сведения о характере инцидента, затронутых категориях данных и субъектов, предполагаемой причине, принятых мерах и контакт ответственного лица. По мере выяснения обстоятельств Исполнитель направляет дополнения.

13. Обязанности и гарантии Клиента

Принимая настоящий документ, Клиент подтверждает и гарантирует, что:

лицо, принимающее настоящий документ от имени Клиента, обладает необходимыми полномочиями действовать от имени Клиента и давать поручение на обработку персональных данных от его имени;
он вправе обрабатывать персональные данные своих покупателей и поручать их обработку Исполнителю, и имеет для этого правовое основание;
он самостоятельно исполняет обязанности оператора перед субъектами персональных данных и уполномоченным органом, включая ответы на обращения субъектов, уведомления и ведение собственных документов;
он не помещает специальные категории персональных данных и биометрические персональные данные в сведения, которые он передаёт в Сервис самостоятельно: карточки товаров, базу знаний, шаблоны, правила и тексты инструкций для языковой модели;
сведения, которые он передаёт в Сервис самостоятельно, не содержат персональных данных сверх состава, указанного в разделе 2;
он понимает, что покупатель вправе указать любые сведения, включая относящиеся к специальным категориям, в свободном тексте обращения, и что техническими средствами Сервиса это не предотвращается; такие сведения обрабатываются Исполнителем исключительно в составе поручения;
он учитывает содержание раздела 7 при исполнении своих обязанностей оператора.

Гарантия Клиента не ограничивает обязанности Исполнителя, установленные законом и настоящим документом.

14. Право Исполнителя приостановить обработку

Исполнитель вправе запросить у Клиента подтверждение правового основания обработки данных покупателей; Клиент предоставляет такие сведения в разумный срок.

Если незаконность поручения очевидна либо запрошенное подтверждение не предоставлено, Исполнитель вправе приостановить соответствующую обработку, уведомив Клиента о причинах, и обязан прекратить её, если исполнение поручения приведёт к нарушению закона.

15. Срок действия и изменение условий

Поручение действует в течение срока действия договора между Клиентом и Исполнителем.

Изменение настоящего документа оформляется выпуском новой версии. Продолжение работы в Сервисе возможно после принятия новой версии в личном кабинете; факт и время принятия фиксируются в журнале согласий.

До принятия новой редакции отношения сторон регулируются последней редакцией настоящих Условий, ранее принятой Клиентом, в части, в которой дальнейшее исполнение возможно без принятия новой редакции.

По вопросам, связанным с исполнением настоящего поручения, Клиент обращается по адресу help@mpsupport.ru. Обращения субъектов персональных данных рассматриваются в порядке, установленном разделом 10 настоящего документа.

Редакция 1.0-2026-08-27 · действует с 27 августа 2026 г.