Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и действует в отношении всех персональных данных, которые ОсОО «Альянс Торг Компани» (далее — Оператор) получает в связи с эксплуатацией сервиса Dropmoney, доступного по адресу dropmoney.ru.

1.2. Политика разъясняет цели обработки персональных данных, перечень обрабатываемых данных, правовые основания обработки, способы обработки, сведения о трансграничной передаче, а также права субъектов персональных данных.

1.3. Действие Политики распространяется на любые персональные данные, обрабатываемые Оператором как с использованием средств автоматизации, так и без таковых.

1.4. Использование Сервиса означает безоговорочное согласие субъекта с настоящей Политикой и установленными в ней условиями обработки персональных данных.

2. Оператор персональных данных

Полное наименование: ОсОО «Альянс Торг Компани».

ИНН: 9909710244. ОГРН: 310076-3301-ООО.

Юридический адрес: Кыргызская Республика, г. Бишкек, Октябрьский район, 7-мкр., ул. Безымянная, д. 37/2.

Контактный адрес электронной почты по вопросам обработки персональных данных: support@dropmoney.ru.

3. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Зрители — физические лица, направляющие пожертвования через Сервис на условиях оферты зрителя;
• Стримеры — физические лица, самозанятые и индивидуальные предприниматели, использующие Сервис для приёма пожертвований на условиях оферты стримера;
• Посетители сайта — лица, посещающие сайт Сервиса без регистрации;
• Заявители — лица, оставившие заявку на подключение, поддержку или иную форму обратной связи;
• Контрагенты и их представители — физические лица, представляющие юридические лица и индивидуальных предпринимателей, с которыми Оператор взаимодействует в связи с деятельностью.

4. Состав обрабатываемых персональных данных

4.1. Зрители

• имя или псевдоним, указанные при оформлении пожертвования;
• адрес электронной почты, который Зритель указывает для проведения платежа через СБП и который передаётся платёжному партнёру; отдельно — адрес, добровольно указанный после оплаты для электронной квитанции-подтверждения; контактные данные для фискального документа обрабатываются только при фактически подключённой фискализации;
• сумма пожертвования, валюта, идентификатор операции, дата и время;
• сведения о платёжной операции, получаемые от Платёжного шлюза (маскированный номер карты, банк-эмитент, идентификатор операции, статус), без полного номера платёжного средства, CVV и иных закрытых данных;
• текст сообщения, прикреплённого к пожертвованию (если оставлено);
• IP-адрес, технические данные устройства и браузера (user-agent, язык, разрешение экрана);
• идентификаторы файлов cookie и аналогичных технологий.

4.2. Стримеры

• фамилия, имя, отчество (для физических лиц) либо наименование (для индивидуальных предпринимателей) получателя выплаты;
• контактный адрес электронной почты;
• идентификаторы и URL-адреса каналов трансляций и социальных сетей, указанные Стримером;
• фотография профиля и иные изображения, загружаемые Стримером (аватар, изображение шапки);
• реквизиты для получения выплат: номер банковской карты либо абонентский номер для перевода через СБП (хранятся в зашифрованном виде), наименование банка;
• учётные данные внешних сервисов авторизации (Twitch, Яндекс, Kick, Telegram, иные провайдеры), идентификаторы пользователя в этих сервисах, аватары, отображаемые имена;
• токены авторизации сторонних сервисов, предоставленные Стримером для интеграции;
• журнал операций, статистика, история выплат;
• IP-адрес, технические данные устройства и браузера, идентификаторы файлов cookie;
• история взаимодействия со службой поддержки Сервиса.

4.2.1. Сведения, обрабатываемые только при наступлении условия

На дату настоящей редакции Политики перечисленные ниже категории Оператором не собираются и не обрабатываются. Их обработка начнётся только при наступлении указанного условия.

• дата рождения — при введении Оператором процедуры подтверждения совершеннолетия;
• паспортные данные и/или сведения иного документа, удостоверяющего личность, — при проведении процедур KYC по требованию Платёжного шлюза или банка;
• ИНН, сведения о налоговом статусе (физическое лицо, самозанятый, индивидуальный предприниматель), номер плательщика НПД — при возникновении у Оператора обязанностей налогового агента либо по требованию Платёжного шлюза;
• номер расчётного счёта и БИК — при подключении выплат банковским переводом на расчётный счёт.

4.3. Посетители сайта и Заявители

• IP-адрес, технические данные устройства и браузера;
• идентификаторы файлов cookie и аналогичных технологий;
• метрики поведения на сайте, переходов, времени пребывания;
• для Заявителей — никнейм, контактный адрес электронной почты или мессенджер, выбранная стриминговая площадка, ссылка на канал, иные сведения, добровольно сообщённые в заявке.

4.4. Не подлежат обработке Оператором

• специальные категории персональных данных (расовая принадлежность, политические взгляды, состояние здоровья и прочее), за исключением случаев, прямо предусмотренных законодательством;
• биометрические персональные данные.

5. Цели обработки персональных данных

Оператор обрабатывает персональные данные исключительно в следующих целях:

• предоставление функциональности Сервиса в соответствии с офертами;
• приём пожертвований Зрителей в пользу Стримеров;
• формирование и направление электронной квитанции-подтверждения Dropmoney; обработка данных для кассового чека выполняется только при фактически подключённом фискальном контуре и наличии применимой обязанности;
• проведение выплат Стримерам, в том числе формирование платёжных поручений;
• идентификация Зрителей и Стримеров в случаях, предусмотренных законодательством о противодействии легализации доходов, полученных преступным путём (Федеральный закон от 07.08.2001 № 115-ФЗ);
• предотвращение мошенничества, выявление сомнительных операций;
• исполнение обязанностей по налоговому, бухгалтерскому учёту и публично-правовых обязанностей Оператора;
• предоставление функциональности кабинета и сопутствующих сервисов (виджеты OBS, чат-функционал, целевые сборы, статистика);
• проведение коммуникации с пользователями: ответы на обращения, уведомления о статусе операций и изменениях в Сервисе;
• обработка заявок на подключение, поддержку и иной коммуникации;
• обеспечение информационной безопасности Сервиса, противодействие злоупотреблениям;
• аналитика и улучшение качества Сервиса в обезличенной агрегированной форме;
• защита прав и законных интересов Оператора.

6. Правовые основания обработки

Обработка персональных данных осуществляется на следующих правовых основаниях:

• согласие субъекта персональных данных, предоставляемое путём акцепта применимой оферты и/или активного действия (например, отправки формы);
• необходимость исполнения договора, стороной или выгодоприобретателем которого является субъект персональных данных (оферты зрителя и стримера);
• исполнение обязанностей Оператора, возложенных на него законодательством Российской Федерации (54-ФЗ, 115-ФЗ, Налоговый кодекс Российской Федерации, иные нормативные акты);
• законные интересы Оператора в случаях, прямо допускаемых законом, не нарушающие прав и интересов субъектов.

7. Способы и сроки обработки

7.1. Обработка персональных данных осуществляется с использованием средств автоматизации (программно-аппаратные комплексы Сервиса) и без таковых (например, ведение реестров и переписки).

7.2. Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (предоставление), обезличивание, блокирование, удаление, уничтожение.

7.3. Сроки хранения персональных данных определяются целями обработки и не превышают сроков, необходимых для достижения этих целей. Минимальные сроки хранения отдельных категорий данных установлены законодательством:

• сведения, фактически включённые в фискальные документы, — в течение срока, установленного применимым законодательством;
• сведения, входящие в бухгалтерскую и налоговую отчётность, — в сроки, установленные Налоговым кодексом Российской Федерации;
• сведения, обработка которых необходима для исполнения обязанностей по 115-ФЗ, — не менее 5 (пяти) лет с даты завершения отношений;
• сведения учётных записей пользователей — в течение срока действия учётной записи и не более 3 (трёх) лет с даты её удаления;
• обращения в поддержку и переписка по ним — до 180 (ста восьмидесяти) дней, а при удалении учётной записи — одновременно с ней;
• имя и сообщение, указанные Зрителем при пожертвовании, — до 365 (трёхсот шестидесяти пяти) дней с даты операции, после чего обезличиваются; сведения о самой операции сохраняются в сроки, указанные выше;
• журналы технических операций — до 12 (двенадцати) месяцев.

7.4. По истечении сроков обработки персональные данные удаляются или обезличиваются.

8. Передача персональных данных третьим лицам

8.1. Оператор передаёт персональные данные третьим лицам только в следующих случаях:

• Платёжный шлюз — для совершения операций по приёму и перечислению денежных средств: данные о платёжной операции и введённый Зрителем адрес электронной почты либо иные предусмотренные договором платёжного партнёра контактные данные;
• Операторы фискальных данных и уполномоченные органы — только если фискальный контур фактически подключён и передача обязательна по применимому законодательству;
• Кредитные организации — для исполнения платёжных поручений по выплатам Стримерам: ФИО и банковские реквизиты получателя;
• Провайдеры входа и стриминговые платформы — Twitch, Яндекс, Kick, Telegram и иные сервисы, которые пользователь сам выбирает для входа или подключения функции: идентификатор аккаунта, отображаемое имя, аватар, разрешённые OAuth-данные, сведения канала и данные запрошенного действия;
• Провайдеры чата, мультимедиа, ИИ и синтеза речи — только при включении соответствующей функции пользователем и только в объёме, необходимом для команды, сообщения, мультимедийного запроса или генерации;
• Поставщики email, облачной инфраструктуры, резервного копирования и мониторинга — в минимальном объёме, необходимом для доставки сообщения, размещения, восстановления и обнаружения инцидента; резервные копии передаются только в зашифрованном виде;
• Иные третьи лица — в случаях, прямо предусмотренных законом, либо на основании согласия субъекта.

8.2. Передача данных правоохранительным и иным уполномоченным государственным органам осуществляется в случаях и в порядке, установленных применимым законодательством.

8.3. Конкретный состав получателей зависит от выбранного пользователем способа входа, оплаты и включённых интеграций. Оператор обязан вести актуальный внутренний реестр получателей, целей, категорий данных, сроков хранения, договорных оснований и фактических регионов обработки.

8.4. Оператор принимает разумные меры по контролю за тем, чтобы третьи лица, которым передаются персональные данные, обеспечивали их защиту в соответствии с применимым законодательством.

8.5. Отдельные страницы Сервиса содержат встроенные сторонние элементы — превью и плеер YouTube в музыкальных виджетах, иконку флага страны игрока в Dota-виджете, обращение к публичному API Kick и прямое соединение с чатом Twitch либо Kick при выборе соответствующего источника чата, аватары авторов сообщений при выборе источником чата YouTube, скрипт и окно подтверждения Telegram на странице входа через Telegram. При отображении таких элементов браузер пользователя или машина с OBS обращается к соответствующему хосту напрямую, и этому хосту становятся известны IP-адрес, User-Agent и адрес страницы. Оператор ведёт перечень таких хостов и не относит эти обращения на выбор пользователя: их инициирует страница Сервиса. Фон шапки публичной страницы Стримера раздаётся только с dropmoney.ru: произвольный внешний адрес изображения Сервис не принимает, а адреса, сохранённые до введения этого правила, публичной странице не выдаются и в браузер посетителя не попадают. Аватар учётной записи раздаётся только с dropmoney.ru: изображение, полученное от провайдера входа, Сервис сохраняет у себя, а адрес на стороне провайдера ни публичной странице, ни виджетам, ни административному интерфейсу не выдаётся, поэтому браузер Зрителя к провайдеру за ним не обращается.

9. Трансграничная передача персональных данных

9.1. При использовании внешнего сервиса входа, стриминговой платформы, email, media, AI/TTS, платёжного, hosting или backup-провайдера обработка либо доступ к данным может происходить за пределами Российской Федерации. Название продукта само по себе не подтверждает фактическую страну обработки.

9.2. До начала такой передачи Оператор определяет конкретного получателя, государства обработки, цель, категории субъектов и данных, проверяет договорные и иные применимые основания и выполняет необходимые уведомления, оценки и ограничения, предусмотренные действующим законодательством.

9.3. Выбор пользователем внешней интеграции является запросом на соответствующую функцию, но Оператор не перекладывает на пользователя ответственность за передачу, которую выполняет сам Сервис. Пользователь может отключить интеграцию; после отключения новые обращения прекращаются, а сохранённые credentials удаляются или инвалидируются в пределах технических возможностей провайдера и обязательных сроков хранения.

9.4. Сведения о конкретных получателях и применимых странах предоставляются по запросу на support@dropmoney.ru. Если требуемая проверка или законное основание отсутствуют, соответствующая интеграция не должна включаться для новой обработки.

10. Меры защиты персональных данных

Оператор применяет правовые, организационные и технические меры, направленные на защиту персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, иных неправомерных действий:

• назначение лиц, ответственных за организацию обработки персональных данных;
• принятие локальных актов, регулирующих порядок обработки персональных данных;
• применение средств защиты от несанкционированного доступа: шифрование, контроль доступа, разграничение прав, журналирование операций;
• шифрование чувствительных идентификаторов (например, токенов авторизации сторонних сервисов) с использованием криптографических средств;
• принятие мер физической защиты материальных носителей;
• проведение внутренних проверок соответствия обработки персональных данных Политике и применимому законодательству.

11. Cookie и аналогичные технологии

11.1. Сервис использует только технически необходимые cookie, localStorage и sessionStorage: для авторизации и защиты OAuth-переходов, предотвращения повторного создания платёжной операции, сохранения настроек интерфейса и обеспечения безопасности.

11.2. На дату настоящей редакции публичные страницы Сервиса не загружают необязательную стороннюю аналитику или рекламные трекеры. Уведомление о хранилищах содержит одну кнопку подтверждения ознакомления и не выдаёт её за согласие на необязательную обработку.

11.3. Если Сервис введёт необязательные категории, они не будут загружаться до отдельного активного согласия; пользователю будет предоставлена возможность изменить или отозвать такое согласие.

11.4. Большинство современных браузеров позволяют управлять cookie и локальными данными сайта. Отключение или удаление необходимых данных может привести к невозможности использовать отдельные функции Сервиса, в частности авторизацию и продолжение платёжной сессии.

12. Права субъектов персональных данных

Субъект персональных данных вправе:

• получать сведения, касающиеся обработки его персональных данных, в объёме, установленном законом;
• требовать от Оператора уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели;
• отзывать ранее данное согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.

13. Порядок предоставления и отзыва согласия

13.1. Согласие на обработку персональных данных предоставляется субъектом путём акцепта применимой оферты, оформления заявки или иного действия, явно выражающего волеизъявление, при наличии информированности о существенных условиях обработки.

13.2. Субъект персональных данных вправе в любое время отозвать согласие на обработку персональных данных путём направления соответствующего письменного заявления Оператору на адрес support@dropmoney.ru. Заявление должно содержать сведения, позволяющие идентифицировать субъекта.

13.3. Отзыв согласия влечёт прекращение обработки персональных данных и их уничтожение (обезличивание), за исключением случаев, когда:

• обработка осуществляется на ином законном основании, не требующем согласия (например, для исполнения договора или обязанностей, возложенных законом);
• хранение требуется в силу налогового, фискального, бухгалтерского и иного законодательства Российской Федерации.

13.4. Срок рассмотрения обращений субъектов персональных данных — не более 30 (тридцати) календарных дней с даты получения.

14. Изменения Политики

14.1. Оператор вправе в одностороннем порядке изменять Политику, публикуя новую редакцию по адресу dropmoney.ru/privacy.

14.2. Новая редакция вступает в силу с момента публикации, если в самой редакции не указан более поздний срок.

15. Реквизиты оператора