1. Общие положения
1.1.Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и определяет порядок и условия обработки персональных данных пользователей сервиса Океания Пей, а также меры по их защите.
1.2.Политика применяется ко всем персональным данным, которые Оператор получает через сайт oceanea-pay.com, приложение app.oceanea-pay.com (в том числе открытое как мини-приложение Telegram), Telegram-бот @oceanea_pay_bot и службу поддержки @oceaniapay_support (далее вместе — «Сервис»).
1.3.Политика является общедоступным документом и опубликована по адресу oceanea-pay.com/privacy (ч. 2 ст. 18.1 Закона).
1.4.Оператор не является банком, кредитной или платёжной организацией. Выпуск и обслуживание платёжных карт осуществляет [банк-эмитент], который обрабатывает персональные данные пользователей как самостоятельный оператор в соответствии со своими документами.
2. Оператор
- Оператор
- [Полное наименование юридического лица / ИП]
- ИНН / ОГРН
- [ИНН] / [ОГРН / ОГРНИП]
- Адрес
- [юридический адрес]
- Регистрационный номер в реестре операторов ПД (Роскомнадзор)
- [номер записи в реестре операторов / дата подачи уведомления по ст. 22 Закона]
- Лицо, ответственное за организацию обработки ПД
- [ФИО / должность ответственного лица]
- Контакт для обращений по ПД
- [e-mail для обращений по персональным данным]
3. Термины
3.1.Термины «персональные данные», «оператор», «обработка», «распространение», «предоставление», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» и «информационная система персональных данных» используются в значениях, установленных ст. 3 Закона.
3.2.Иные термины (Приложение, Карта, Банк-эмитент, Заказ, Пополнение, Платёжный провайдер) используются в значениях, установленных Пользовательским соглашением.
4. Категории субъектов
4.1.Оператор обрабатывает персональные данные следующих лиц:
- пользователи — физические лица, вошедшие в Приложение или Бот, оформившие Заказ или держащие Карту;
- посетители Сайта — в объёме технических данных, необходимых для работы Сайта (п. 5.6);
- заявители — лица, обратившиеся в поддержку или направившие запрос как субъекты персональных данных, в том числе представители пользователей.
4.2.Сервис не предназначен для лиц младше [18] лет. Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона) и биометрические персональные данные (ст. 11 Закона) [проверить: если Банк-эмитент потребует фото документа или селфи для проверки, дополнить Политику].
5. Какие данные мы обрабатываем
5.1.Данные Telegram при входе. При входе через мини-приложение или виджет входа Telegram передаёт Оператору подписанный набор данных: идентификатор пользователя Telegram, имя и фамилию (если указаны), имя пользователя (username), язык интерфейса, ссылку на фото профиля (если пользователь его предоставил), а также дату авторизации и техническую подпись Telegram. Оператор проверяет подпись и сохраняет идентификатор, username и отображаемое имя.
5.2.Номер телефона. Если будет включён вход по номеру телефона — номер телефона и служебные сведения о коде подтверждения из SMS (сам код Оператор не хранит, хранится только его криптографический хеш).
5.3.Данные сессий и устройств. Сведения о сессиях входа (дата создания, срок действия, отзыв; сам токен сессии хранится только в виде хеша), IP-адрес, сведения о браузере и устройстве (user-agent), дата и время последнего обращения, журналы событий безопасности.
5.4.Заказы и платежи. История Заказов на выпуск и Пополнение: выбранный Тариф, суммы в рублях и долларах США, Курс, комиссии, статусы, даты, идентификаторы платежей у Платёжного провайдера, сведения о возвратах. Оператор не получает реквизиты банковских счетов и карт, с которых пользователь оплачивает Заказ через СБП, за исключением [сведений, передаваемых Платёжным провайдером, — уточнить состав, например, наименование банка плательщика, маскированный номер телефона].
5.5.Метаданные Карт. Идентификатор Карты у Банка-эмитента, Тариф, статус (активна, заморожена, закрыта), последние четыре цифры номера, срок действия, баланс и история операций по Карте, получаемые от Банка-эмитента. Полный номер Карты (PAN) и код CVV/CVC хранит Банк-эмитент; они показываются пользователю в Приложении только по его запросу и не сохраняются в базах данных Оператора [проверить соответствие фактической реализации].
5.6.Технические данные Сайта. При посещении Сайта сервер получает IP-адрес, user-agent, адрес запрошенной страницы и время запроса и сохраняет их в технических журналах веб-сервера.
5.7.Обращения в поддержку. Переписка с поддержкой в Telegram и Приложении, а также сведения, которые пользователь сообщает в обращении.
5.8.Данные для проверки. Если Банк-эмитент потребует идентификации или проверки (например, при больших суммах), Оператор может обрабатывать [перечень: ФИО, дата рождения, гражданство, данные документа, удостоверяющего личность, адрес — уточнить по требованиям Банка-эмитента] исключительно для передачи Банку-эмитенту.
6. Цели и правовые основания
6.1.Оператор обрабатывает персональные данные только для заранее определённых целей и только в необходимом для них объёме:
| Цель | Данные | Правовое основание |
|---|---|---|
| Регистрация, вход, ведение учётной записи | п. 5.1–5.3 | Исполнение договора (Пользовательского соглашения), стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона) |
| Оформление выпуска Карт, Пополнение, отображение баланса и операций | п. 5.1, 5.4, 5.5 | Исполнение договора (п. 5 ч. 1 ст. 6 Закона) |
| Приём оплаты и возврат средств | п. 5.4 | Исполнение договора (п. 5 ч. 1 ст. 6 Закона) |
| Проверки по требованию Банка-эмитента, противодействие мошенничеству | п. 5.3–5.5, 5.8 | [Исполнение договора / исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6) / согласие субъекта — определяет юрист] |
| Поддержка пользователей, рассмотрение обращений и претензий | п. 5.1, 5.4, 5.7 | Исполнение договора; исполнение обязанностей по Закону о защите прав потребителей |
| Обеспечение безопасности и работоспособности Сервиса | п. 5.3, 5.6 | [Законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона) при условии, что не нарушаются права субъекта — проверить] |
| Бухгалтерский и налоговый учёт | п. 5.4 | Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 Закона; 402-ФЗ, НК РФ) |
| Сервисные уведомления в Приложении и Боте (статусы Заказов, коды 3-D Secure) | п. 5.1, 5.4, 5.5 | Исполнение договора (п. 5 ч. 1 ст. 6 Закона) |
6.2.Оператор не направляет рекламные рассылки. Если такие рассылки появятся, они будут направляться только с отдельного согласия пользователя (ст. 18 Федерального закона «О рекламе»), которое можно отозвать в любой момент.
Примечание для юриста. Если какая-либо обработка будет основываться на согласии субъекта, с 01.09.2025 согласие должно оформляться отдельно от иных документов (ч. 1 ст. 9 Закона в ред. Федерального закона № 156-ФЗ) — проверить и, при необходимости, подготовить отдельную форму согласия и место её получения в интерфейсе.
7. Действия с данными и способы обработки
7.1.Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.
7.2.Обработка осуществляется смешанным способом — с использованием средств автоматизации и без них, с передачей по информационно-телекоммуникационным сетям, включая Интернет.
7.3.Оператор не принимает решений, порождающих юридические последствия для пользователя, исключительно на основании автоматизированной обработки (ст. 16 Закона). Решения о выпуске Карты и об операциях по ней принимает Банк-эмитент.
7.4.Оператор не распространяет персональные данные (не раскрывает их неопределённому кругу лиц).
8. Передача третьим лицам
8.1.Оператор передаёт персональные данные третьим лицам только в объёме, необходимом для целей раздела 6:
| Получатель | Что передаётся | Зачем |
|---|---|---|
| [банк-эмитент], [страна] | Идентификатор пользователя, данные Заказов и Пополнений, при необходимости — данные для проверки (п. 5.8) | Выпуск и обслуживание Карт, зачисление средств, проверки |
| [платёжный провайдер / банк-эквайер] | Сумма, назначение и идентификатор платежа, при возврате — идентификатор исходного платежа | Приём оплаты через СБП и возвраты |
| Telegram ([Telegram FZ-LLC / иное лицо — уточнить]) | Идентификатор пользователя Telegram и текст сервисных сообщений Бота и поддержки | Вход, уведомления, поддержка |
| [хостинг-провайдер], [страна размещения] | Все данные, хранящиеся в информационных системах Оператора | Хранение данных и работа Сервиса по поручению Оператора |
| [SMS-провайдер] — при включении входа по телефону | Номер телефона и текст сообщения с кодом | Доставка кода подтверждения |
| Государственные органы | Данные в объёме запроса | Исполнение требований закона по мотивированному запросу |
8.2.Лица, обрабатывающие персональные данные по поручению Оператора (ч. 3 ст. 6 Закона), обязаны соблюдать принципы и правила обработки, конфиденциальность и меры защиты, установленные Законом и поручением.
8.3.Банк-эмитент, Платёжный провайдер и Telegram обрабатывают полученные данные также как самостоятельные операторы в соответствии со своими политиками.
9. Трансграничная передача
9.1.Передача данных Банку-эмитенту ([страна Банка-эмитента]) и Telegram ([страна]) является трансграничной передачей персональных данных.
9.2.Трансграничная передача осуществляется в соответствии со ст. 12 Закона после направления уведомления в Роскомнадзор [дата и номер уведомления о трансграничной передаче] и с учётом того, обеспечивает ли страна получателя адекватную защиту прав субъектов персональных данных.
9.3.Трансграничная передача осуществляется только в объёме, необходимом для исполнения договора с пользователем (выпуск и обслуживание Карты, вход и уведомления через Telegram).
Примечание для юриста. Проверить, входит ли страна Банка-эмитента в перечень стран с адекватной защитой, нужно ли получать от Банка-эмитента сведения по ч. 5 ст. 12 Закона, и как квалифицировать передачу данных в Telegram.
10. Место хранения данных
10.1.Персональные данные обрабатываются в информационных системах Оператора, размещённых на серверах: [указать местонахождение БД — по 152-ФЗ ст. 18 ч. 5 персональные данные граждан РФ должны записываться и храниться в БД на территории РФ].
Примечание для юриста. Сведения о фактическом размещении серверов и баз данных предоставляет владелец Сервиса. Политика не должна содержать утверждение о соответствии ч. 5 ст. 18 Закона до подтверждения, что первичная запись, систематизация, накопление, хранение и уточнение данных граждан РФ ведутся в базах данных на территории РФ.
11. Сроки обработки и хранения
11.1.Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором:
- данные учётной записи — в течение срока действия Пользовательского соглашения и [срок] после его прекращения;
- данные Заказов, платежей и возвратов — [срок, например 5 лет] после окончания года, в котором совершена операция, для целей бухгалтерского и налогового учёта (402-ФЗ, НК РФ) и рассмотрения претензий;
- сессии входа — до истечения или отзыва сессии, после чего — [срок] в журналах безопасности;
- журналы веб-сервера и событий безопасности (IP-адрес, user-agent) — [срок, например 6 месяцев];
- служебные сведения о кодах подтверждения из SMS — [срок];
- переписка с поддержкой — [срок];
- данные для проверки (п. 5.8) — [срок, определяемый требованиями Банка-эмитента и закона].
11.2.По достижении целей обработки, истечении срока хранения или при отзыве согласия (если обработка основана на согласии) данные уничтожаются или обезличиваются в сроки, установленные ст. 21 Закона, если их дальнейшее хранение не требуется по закону. Уничтожение подтверждается в порядке, установленном Роскомнадзором.
12. Меры защиты
12.1.Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения (ст. 18.1, 19 Закона), в том числе:
- назначение лица, ответственного за организацию обработки персональных данных, и утверждение локальных актов по обработке ПД;
- шифрование соединений между пользователем и Сервисом (HTTPS/TLS);
- хранение токенов сессий и кодов подтверждения только в виде криптографических хешей;
- проверка подписи данных, полученных от Telegram, при каждом входе;
- отказ от хранения полного номера Карты и кода CVV/CVC в системах Оператора;
- разграничение доступа сотрудников к данным, журналирование действий в административной панели;
- резервное копирование и контроль целостности данных;
- [определение уровня защищённости ИСПДн и применение мер по Постановлению Правительства РФ № 1119 и Приказу ФСТЭК № 21 — заполнить по итогам оценки];
- [порядок реагирования на инциденты и уведомления Роскомнадзора в сроки ч. 3.1 ст. 21 Закона — заполнить].
13. Права субъекта и как ими воспользоваться
13.1.Субъект персональных данных вправе:
- получить сведения об обработке своих данных (ч. 7 ст. 14 Закона);
- требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку, если обработка основана на согласии;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.
13.2.Запрос направляется на [e-mail для обращений по персональным данным] или почтой по адресу [почтовый адрес] и должен содержать сведения, позволяющие идентифицировать субъекта (например, username или идентификатор Telegram, номер Заказа), сведения о его отношениях с Оператором и подпись субъекта или его представителя (ч. 3 ст. 14 Закона). Запрос в электронной форме подписывается [электронной подписью в соответствии с законодательством РФ — уточнить допустимые способы].
13.3.Оператор отвечает на запрос в течение 10 рабочих дней с момента его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (ч. 3 ст. 14, ст. 20 Закона).
13.4.Удаление учётной записи можно запросить через поддержку @oceaniapay_support. Данные, которые Оператор обязан хранить по закону (п. 11.1), будут храниться до истечения установленного срока; остальные данные будут уничтожены. Удаление учётной записи не закрывает договор пользователя с Банком-эмитентом — порядок закрытия Карт описан в Пользовательском соглашении.
15. Изменение политики
15.1.Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с указанием даты и вступает в силу с момента публикации, если в ней не указано иное.
15.2.О существенных изменениях, в том числе о новых целях обработки или новых категориях получателей, Оператор дополнительно уведомляет пользователей в Приложении или Боте.
16. Контакты
16.1.По вопросам обработки персональных данных: [e-mail для обращений по персональным данным], почтовый адрес: [почтовый адрес].
16.2.Общие вопросы и поддержка: Telegram @oceaniapay_support.
16.3.Уполномоченный орган по защите прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), rkn.gov.ru.