Политика конфиденциальности

Политика разработана во исполнение ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и описывает фактическую обработку на https://two-way.shop. Оператор ПДн — бренд TwoWay, e-mail support@two-way.ru.

1. Категории субъектов

• покупатели и гости витрины;
• продавцы (партнёры Маркета);
• обратившиеся в поддержку;
• участники реферальной программы.

2. Какие данные и зачем

2.1. Регистрация и аккаунт

Имя, фамилия (если указаны), e-mail, хеш пароля, аватар, ник, текст профиля. Цели: договор на использование площадки (п. 5 ч. 1 ст. 6 152-ФЗ), идентификация, связь.

2.2. Сделки и магазин

История заказов, лотов, статусы эскроу, переписка в сделках, ключи автовыдачи (доступны сторонам сделки и поддержке), логин Steam для пополнения, суммы, чеки. Цели: исполнение договора, 54-ФЗ, бухгалтерский учёт (Федеральный закон от 06.12.2011 № 402-ФЗ, хранение первички обычно 5 лет).

2.3. Выплаты

Реквизиты карты / счёта / СБП, указанные пользователем для вывода. Передаются платёжному партнёру (Platega) для исполнения поручения. Полные данные карты в витрине не храним — ввод на стороне эквайера, у нас маски / токены / реквизиты вывода.

2.4. Технические

IP, User-Agent, cookie сессии, CSRF, Cloudflare Turnstile (защита от ботов), журналы запросов, внутренние события просмотров карточек. Цели: безопасность, антифрод (п. 2 ч. 1 ст. 6 — законный интерес / исполнение договора).

2.5. Поддержка

Текст тикетов, вложения, которые вы сами присылаете.

Специальные категории ПДн (здоровье, биометрия) не запрашиваем.

3. Правовые основания

• договор (аккаунт, заказ, эскроу, вывод);
• закон (кассы, учёт, ответы на запросы госорганов);
• согласие — отдельный документ /consent (156-ФЗ) на действия, не закрытые договором (например, аватар, необязательные поля профиля);
• законный интерес — антифрод, целостность сервиса.

4. Cookies

Строго необходимые: идентификатор сессии, флаги безопасности. Без них вход и оплата невозможны — отдельное согласие не требуется. Рекламных пикселей и Яндекс.Метрики на момент этой редакции нет. Если подключим аналитику — обновим Политику и запросим согласие на необязательные cookie.

5. Кому передаём

• Platega — приём оплат по СБП, чеки и выплаты (оператор платёжных данных в рамках договора эквайринга);
• поставщики цифровых товаров (FazerCards) — артикул, идентификатор заказа, данные, без которых нельзя выдать ключ; не передаём пароль аккаунта TwoWay;
• Cloudflare, Inc. — CDN, DNS, Turnstile, почтовый маршрут. Серверы могут быть вне РФ: трансграничная передача (гл. 5 152-ФЗ). Цель — доступность сайта и защита от ботов. Основание: исполнение договора и согласие / необходимость защиты прав оператора;
• почтовый провайдер транзакционных писем (Resend / SMTP регистратора) — e-mail и тема/текст письма;
• госорганы — только по закону.

Продавцу Маркета видны ник/имя покупателя в пределах сделки и чата, не платёжные реквизиты карты.

6. Локализация

Основные базы учёта пользователей и сделок размещаются на сервере в Российской Федерации (хостинг в РФ). Копии у иностранных обработчиков — только в объёме, нужном для CDN, антибота и доставки писем, как в п. 5.

7. Сроки хранения

• аккаунт — пока не удалён, плюс срок для претензий;
• расчёты и чеки — не менее 5 лет (402-ФЗ);
• тикеты — до 3 лет после закрытия, если нет спора;
• логи безопасности — до 12 месяцев, если закон не требует дольше;
• отозванное согласие — фиксация факта отзыва.

8. Права субъекта (ст. 14, 15, 21 152-ФЗ)

Получить сведения об обработке, уточнить данные, отозвать согласие, потребовать прекращения обработки, если нет иного основания. Запрос: с аккаунта на support@two-way.ru, тема «ПДн», достаточно для идентификации (e-mail регистрации). Ответ — в сроки 152-ФЗ (как правило 10 рабочих дней с возможностью продления).

Удаление аккаунта не уничтожает записи, которые обязаны храниться по налоговому и кассовому законодательству.

9. Меры защиты

HTTPS, хеширование паролей, разграничение доступа сотрудников, журналирование админ-действий, резервное копирование на стороне хостинга. Идеальной безопасности не существует; инцидент — уведомление по 152-ФЗ, если порог уведомления достигнут.

10. Дети

Сервис не предназначен для лиц младше 18 лет.

11. Изменения

Новая редакция — на этой странице с датой. Продолжение использования после даты = ознакомление. Для обработки, которая держится только на согласии, при сужении целей запросим новое согласие.

📌 Agetalp