Назад на главную

Документы MarketDesk

Приложение к оферте: поручение на обработку персональных данных клиентов

Редакция от 12 октября 2026 года

Настоящее Приложение является частью Пользовательского соглашения и публичной оферты MarketDesk и применяется, если Клиент передает в MarketDesk персональные данные покупателей, получателей заказов, сотрудников, представителей, подрядчиков или иных лиц.

1. Стороны и роли

Клиент является оператором персональных данных в отношении данных, которые он передает в MarketDesk или к которым предоставляет доступ через Ozon API, Ozon Seller, браузерное расширение, внешние API, файлы, таблицы или ручной ввод, если Клиент самостоятельно определяет цели, состав данных и действия с ними.

Исполнитель, ИП [ФИО ИП], ИНН [ИНН], ОГРНИП [ОГРНИП], обрабатывает такие персональные данные по поручению Клиента исключительно для предоставления Сервиса MarketDesk.

2. Цели поручения

Клиент поручает Исполнителю обработку персональных данных для следующих целей:

  • подключение магазина Клиента к MarketDesk;
  • синхронизация данных Ozon и иных поддерживаемых источников;
  • хранение данных магазина в базе MarketDesk;
  • построение аналитики продаж, заказов, возвратов, выкупов, рекламы, остатков, цен, себестоимости, поставок, P&L и unit-экономики;
  • отображение отчетов и выгрузок пользователям Клиента;
  • работа браузерного расширения MarketDesk Extension;
  • диагностика ошибок, поддержка Клиента и восстановление корректной синхронизации;
  • обеспечение безопасности Сервиса и предотвращение несанкционированного доступа;
  • выполнение действий, прямо запрошенных Клиентом через интерфейс, API или поддержку.

Исполнитель не вправе обрабатывать такие персональные данные для самостоятельных целей, не связанных с предоставлением MarketDesk, кроме случаев, прямо предусмотренных законом или обезличенной статистики, не позволяющей определить субъекта персональных данных.

3. Категории субъектов

В рамках поручения могут обрабатываться персональные данные следующих категорий субъектов:

  • покупатели и получатели заказов магазина Клиента;
  • представители Клиента;
  • сотрудники и подрядчики Клиента;
  • пользователи, которым Клиент предоставил доступ к магазину;
  • иные лица, чьи данные содержатся в отчетах, интеграциях, файлах, API-ответах или ручном вводе Клиента.

4. Перечень персональных данных

В зависимости от данных, переданных Клиентом, могут обрабатываться:

  • ФИО или имя субъекта, если такие сведения содержатся в источнике данных;
  • телефон, email, адрес доставки или иной контакт, если такие сведения переданы Клиентом или источником данных;
  • номер заказа, posting_number, идентификаторы отправлений, возвратов и операций;
  • сведения о товарах, заказах, доставке, возвратах, выкупах, оплатах, начислениях, комиссиях, логистике и иных операциях магазина;
  • данные сотрудников или представителей Клиента: email, имя, роль, права доступа, история приглашений и действий;
  • технические данные: IP-адрес, user-agent, дата и время действий, журналы доступа и синхронизации;
  • иные данные, которые Клиент самостоятельно передает в MarketDesk.

Клиент обязан не передавать в MarketDesk специальные категории персональных данных, биометрические персональные данные и избыточные данные, если это не требуется для использования Сервиса и не согласовано с Исполнителем отдельно.

5. Перечень действий с персональными данными

Исполнитель вправе совершать следующие действия с персональными данными по поручению Клиента:

  • сбор;
  • получение;
  • запись;
  • систематизация;
  • накопление;
  • хранение;
  • уточнение, обновление и изменение;
  • извлечение;
  • использование;
  • сопоставление, агрегация и расчет аналитических показателей;
  • предоставление пользователям Клиента в интерфейсе и выгрузках;
  • передача техническим поставщикам в пределах, необходимых для работы Сервиса;
  • обезличивание;
  • блокирование;
  • удаление;
  • уничтожение.

Обработка осуществляется с использованием средств автоматизации и без использования таких средств, если это необходимо для поддержки или исполнения запроса Клиента.

6. Обязанности Клиента

Клиент обязуется:

  • иметь законные основания для передачи персональных данных Исполнителю;
  • выполнить обязанности оператора персональных данных перед субъектами и Роскомнадзором, если такие обязанности применимы;
  • не передавать избыточные персональные данные;
  • обеспечивать соблюдение требования о первичной записи, систематизации, накоплении, хранении, уточнении и извлечении персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, если такое требование применимо к данным Клиента;
  • уведомлять Исполнителя о запросах субъектов, если для ответа требуется участие Исполнителя;
  • своевременно отзывать доступы пользователей, которым больше не нужен доступ к данным;
  • самостоятельно определять законность хранения и удаления данных магазина;
  • не использовать Сервис для незаконной обработки персональных данных.

7. Обязанности Исполнителя

Исполнитель обязуется:

  • обрабатывать персональные данные только в пределах поручения Клиента и условий Сервиса;
  • соблюдать конфиденциальность персональных данных;
  • принимать необходимые и достаточные меры, направленные на выполнение обязанностей оператора и лица, обрабатывающего персональные данные по поручению оператора, включая меры, предусмотренные статьей 18.1 Федерального закона N 152-ФЗ, если они применимы к Исполнителю;
  • принимать правовые, организационные и технические меры защиты персональных данных, необходимые для защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий, в соответствии со статьей 19 Федерального закона N 152-ФЗ;
  • обеспечивать безопасность персональных данных при их обработке в информационных системах персональных данных;
  • предоставлять Клиенту по запросу документы или информацию, подтверждающие принятие мер и соблюдение требований поручения, в разумном объеме и с учетом безопасности Сервиса;
  • помогать Клиенту исполнять запросы субъектов персональных данных, если запрос относится к данным, обрабатываемым в MarketDesk;
  • уведомлять Клиента об инцидентах с персональными данными в порядке, установленном настоящим Приложением;
  • прекратить обработку и удалить или вернуть данные Клиента после прекращения договора, если иное не требуется законом или техническими ограничениями резервных копий.

8. Требования к защите персональных данных

Исполнитель применяет меры защиты с учетом характера обрабатываемых данных, актуальных угроз, архитектуры Сервиса и применимых требований к защите персональных данных. Такие меры включают:

  • разграничение доступа по ролям, пользователям и магазинам;
  • шифрование чувствительных API-ключей и секретов;
  • хранение паролей в виде криптографических хешей;
  • контроль доступа к production-инфраструктуре;
  • журналирование событий безопасности и синхронизации;
  • резервное копирование и восстановление данных;
  • ограничение административных прав;
  • защиту сессий и CSRF-защиту;
  • мониторинг ошибок и расследование инцидентов.

Исполнитель ведет и поддерживает в актуальном состоянии внутренние документы и сведения, подтверждающие принятие мер по защите персональных данных, в том числе описание применяемых организационных и технических мер, порядок управления доступами, порядок реагирования на инциденты и порядок удаления данных, если такие документы необходимы для исполнения требований законодательства.

По запросу Клиента Исполнитель предоставляет подтверждение принятых мер в разумном объеме. Исполнитель вправе не раскрывать сведения, которые создают риск безопасности Сервиса, раскрывают коммерческую тайну, персональные данные других клиентов или конфиденциальную информацию третьих лиц. В таком случае Исполнитель предоставляет обобщенное подтверждение или иной разумный способ проверки.

Конкретный состав мер может изменяться по мере развития Сервиса, если общий уровень защиты не становится ниже разумно необходимого для характера обрабатываемых данных и применимых требований законодательства.

9. Подрядчики и третьи лица

Клиент дает общее разрешение Исполнителю привлекать субобработчиков для обработки персональных данных по поручению Клиента, если это необходимо для работы Сервиса, хостинга, оплаты, отправки уведомлений, мониторинга, поддержки, безопасности или AI-функций.

Исполнитель привлекает субобработчиков при соблюдении следующих условий:

  • субобработчик привлекается только для целей, связанных с предоставлением Сервиса;
  • объем передаваемых данных ограничивается необходимым минимумом;
  • с субобработчиком заключаются договорные условия о конфиденциальности, безопасности персональных данных и обработке данных только в пределах поручения Исполнителя;
  • Исполнитель сохраняет ответственность перед Клиентом за действия субобработчика в пределах, предусмотренных законом и договором;
  • Исполнитель ведет перечень категорий субобработчиков и по запросу сообщает Клиенту актуальные сведения в разумном объеме.

Если привлечение нового субобработчика существенно меняет характер обработки, страну обработки, категории передаваемых данных или риски для данных Клиента, Исполнитель уведомляет Клиента через интерфейс Сервиса, email или публикацию обновленной редакции документов. Клиент вправе возразить против такого изменения, если оно существенно затрагивает его данные; в этом случае стороны согласуют альтернативный порядок обработки или прекращение использования соответствующей функции.

Если привлечение третьего лица приводит к трансграничной передаче персональных данных, Исполнитель выполняет применимые требования закона в той части, в которой он отвечает за такую передачу.

Если субобработчик находится за пределами Российской Федерации или использует инфраструктуру за пределами Российской Федерации, Исполнитель привлекает его только при наличии применимого правового основания и после выполнения требований о трансграничной передаче, если такие требования применимы.

Исполнитель не использует иностранных субобработчиков для первичной записи, систематизации, накопления, хранения, уточнения или извлечения персональных данных граждан Российской Федерации, если такая обработка должна осуществляться с использованием баз данных, находящихся на территории Российской Федерации.

10. Инциденты

Если Исполнитель обнаружит признаки инцидента, который может повлечь неправомерный доступ, уничтожение, изменение, блокирование, копирование, предоставление, распространение или иную неправомерную обработку персональных данных Клиента, Исполнитель уведомляет Клиента без необоснованной задержки.

Исполнитель стремится направить Клиенту первичное договорное уведомление не позднее 24 часов с момента обнаружения признаков инцидента, если имеющаяся информация указывает, что инцидент может затрагивать персональные данные Клиента. Такое уведомление может быть предварительным и не означает окончательного подтверждения факта, масштаба или причин инцидента.

Если позднее инцидент подтвержден, уточнен или опровергнут, Исполнитель направляет Клиенту дополнительную информацию по мере расследования. Настоящий порядок является договорным порядком взаимодействия с Клиентом и не заменяет законные обязанности оператора персональных данных по уведомлению Роскомнадзора или субъектов персональных данных, если такие обязанности применимы.

Уведомление, насколько это возможно на момент направления, содержит:

  • дату и время выявления инцидента;
  • краткое описание инцидента;
  • предполагаемые категории затронутых данных;
  • предполагаемое количество затронутых субъектов или записей, если это известно;
  • принятые или планируемые меры;
  • рекомендации для Клиента, если от него требуются действия;
  • контакт для взаимодействия по инциденту.

Клиент как оператор персональных данных самостоятельно определяет необходимость уведомления Роскомнадзора и субъектов персональных данных, если такая обязанность применима. Исполнитель оказывает разумное содействие Клиенту в пределах доступной информации.

Исполнитель документирует существенные инциденты и принятые меры реагирования в объеме, необходимом для внутреннего контроля, подтверждения соблюдения законодательства и защиты прав сторон.

11. Запросы субъектов персональных данных

Если субъект персональных данных обращается к Исполнителю по поводу данных, обрабатываемых по поручению Клиента, Исполнитель вправе:

  • перенаправить субъекта к Клиенту;
  • запросить у Клиента инструкции;
  • выполнить техническое действие в MarketDesk по поручению Клиента, если это возможно и законно.

Исполнитель не обязан самостоятельно определять правомерность запроса субъекта в отношении данных, для которых Клиент является оператором.

12. Срок обработки и удаление

Исполнитель обрабатывает персональные данные по поручению Клиента в течение срока использования Сервиса Клиентом, а также в течение сроков, необходимых для выгрузки, удаления, исполнения закона, расследования инцидентов, разрешения споров и защиты прав сторон.

Сроки 90 календарных дней для рабочих систем и 180 календарных дней для резервных копий применяются только в той части, в которой это допускается законом и не препятствует исполнению более коротких обязательных сроков прекращения обработки, блокирования, уточнения или уничтожения персональных данных.

Если Клиент как оператор персональных данных сообщает Исполнителю о необходимости прекратить обработку, заблокировать, уточнить или уничтожить персональные данные в специальный срок, установленный Федеральным законом N 152-ФЗ или иным применимым законом, Исполнитель выполняет такое поручение в пределах применимого срока и технической возможности либо незамедлительно сообщает Клиенту о препятствиях.

После прекращения договора, отключения магазина или подтвержденного запроса Клиента на удаление данных Исполнитель удаляет или обезличивает данные магазина и связанные персональные данные из рабочих систем в срок до 90 календарных дней, если более короткий срок не установлен законом или поручением Клиента и если дальнейшее хранение не требуется законом, договором, расследованием инцидента, разрешением спора или защитой прав сторон.

Данные в резервных копиях удаляются или перезаписываются в рамках штатного цикла хранения резервных копий в срок не более 180 календарных дней с даты удаления из рабочих систем, если более короткий срок не установлен законом в отношении конкретной ситуации и если более долгий срок не требуется для расследования инцидента, восстановления Сервиса, исполнения закона или защиты прав сторон.

До удаления из резервных копий такие данные не используются для текущей обработки и восстанавливаются только при необходимости обеспечения безопасности, целостности или непрерывности Сервиса. Если данные восстановлены из резервной копии, Исполнитель повторно применяет к ним запрос на удаление в пределах сроков, указанных в настоящем разделе.

Если уничтожение персональных данных в установленный законом срок технически невозможно, Исполнитель по поручению Клиента блокирует такие персональные данные или обеспечивает их блокирование и уничтожает их в срок, предусмотренный законом для таких случаев.

13. Ответственность

Клиент отвечает за законность передачи персональных данных Исполнителю, наличие правовых оснований, уведомлений и согласий, а также за действия пользователей, которым Клиент предоставил доступ.

Исполнитель отвечает за обработку персональных данных в пределах поручения Клиента и применимого законодательства.

14. Приоритет условий

При противоречии настоящего Приложения и Пользовательского соглашения в части обработки персональных данных по поручению Клиента применяются условия настоящего Приложения.