Политика обработки персональных данных сервиса «Маржа-Стоп»

Редакция от 2026-11-11

1. Общие положения

1.1. Политика описывает, какие персональные данные (далее — ПДн) обрабатывает оператор при работе сайта и сервиса «Маржа-Стоп» (https://marzhastop.ru, далее — Сервис), зачем, на каком основании, сколько хранит и как защищает. Политика составлена по ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

1.2. Оператор — ИП Маголин Даниил Константинович, ИНН 561507609026, ОГРНИП 325565800099324, адрес для корреспонденции: 462421, Оренбургская обл., г. Орск, ул. Тагильская, д. 40, e-mail: support@marzhastop.ru.

1.3. Политика опубликована на этой странице и доступна со всех страниц Сервиса, через которые собираются ПДн (ч. 2 ст. 18.1 Закона).

1.4. Согласие на обработку ПДн оформлено отдельным документом (ч. 1 ст. 9 Закона): согласие на обработку персональных данных.

2. Принципы

Оператор обрабатывает ПДн законно и справедливо, только для заранее заявленных целей, не объединяет базы с несовместимыми целями, обрабатывает только те данные, которые нужны для цели, следит за их точностью и хранит не дольше, чем требует цель или закон (ст. 5 Закона).

3. Чьи данные обрабатываются

Клиенты — владельцы аккаунтов: индивидуальные предприниматели, плательщики налога на профессиональный доход, физические лица, представители организаций.
Сотрудники клиентов — пользователи, которых владелец пригласил в аккаунт.
Плательщики по счетам — ИП и представители организаций.
Посетители сайта.
Лица, обратившиеся в поддержку, и потенциальные клиенты, которым оператор пишет о Сервисе.
Участники беты и селлеры, которые ответили на анкету, дали интервью или согласились на публикацию кейса.

Данные покупателей маркетплейсов — фамилии, имена, адреса и телефоны — Сервис не запрашивает и не хранит: методы API Wildberries и Ozon, которые использует Сервис (отчёты о продажах и начислениях, остатки, цены, товары), этих сведений не возвращают; методы отправлений с данными получателя Сервис не вызывает. В данных о продажах есть номера заказов и отправлений, склад, пункт выдачи и регион доставки — по ним Сервис покупателя не определяет и не пытается определить. Специальные категории и биометрические ПДн не обрабатываются: запись интервью и фото для кейса не используются для установления личности.

4. Цели, данные, основания и сроки

Основания — по ч. 1 ст. 6 Закона: п. 1 — согласие, п. 2 — обязанность по закону, п. 5 — исполнение договора, п. 7 — законный интерес оператора.

Цель	Какие данные	Основание	Срок хранения
Регистрация, вход, ведение аккаунта (клиенты и сотрудники клиентов)	e-mail, имя, хеш пароля, секрет двухфакторной аутентификации (в зашифрованном виде), часовой пояс, IP-адрес и браузер сессии, дата, время, версия и IP-адрес принятия оферты и согласия	клиенты — договор (п. 5); сотрудники — согласие (п. 1)	до удаления аккаунта или отзыва доступа сотрудника; затем учётная запись обезличивается, у записей о согласии стирается IP
Оказание услуг: подключение магазинов, расчёт маржи, сигналы, автодействия и применение цены по команде пользователя, НДС-радар, выгрузки	название магазина (может совпадать с ФИО ИП), ИНН и наименование продавца из кабинета площадки, токены API, в том числе токен записи (в зашифрованном виде), история автодействий и применённых цен (что, когда, было → стало), товары, цены, продажи, начисления, остатки, себестоимость, налоговый режим, введённый вручную доход	договор (п. 5)	пока магазин подключён; после отключения — 30 дней. Продажи и начисления — 24 мес., остатки — 90 дней, акции — 12 мес., исходные ответы API — 30 дней. Доход по дням для НДС-радара — текущий и прошлый год
Уведомления: сигналы (срочные — в течение дня), утренняя сводка, отчёты об автодействиях, недельный дайджест, служебные письма	e-mail, идентификатор чата Telegram, тексты уведомлений (названия товаров и магазинов, суммы)	договор (п. 5); сотрудники — согласие (п. 1)	настройки канала — пока канал подключён; история доставок (адрес, текст уведомления) — до удаления аккаунта или отзыва доступа сотрудника, затем адреса и тексты стираются
Оплата, счета, акты, налоговый учёт	e-mail для кассового чека, ФИО ИП или наименование организации и ИНН плательщика, сумма, дата, тип и последние цифры карты, идентификатор сохранённого способа оплаты в ЮKassa	договор (п. 5); обязанность по закону (п. 2): НК РФ, 54-ФЗ, 402-ФЗ	платёжные документы, счета и акты — не меньше сроков, которые требуют законы о налогах и бухгалтерском учёте (сейчас 5 лет: пп. 8 п. 1 ст. 23 НК РФ, ст. 29 402-ФЗ); e-mail в платежах стирается при удалении аккаунта
Реферальная программа и скидки	реферальный код, связь «пригласил — приглашён», ИНН и e-mail для проверки самоприглашения	договор (п. 5)	пока есть аккаунт; после его удаления связь «пригласил — приглашён» и начисленные бонусы остаются в записи аккаунта без e-mail, имени и ИНН — для учёта выданных скидок и бонусов
Поддержка и обращения	e-mail, имя, текст обращения, переписка, идентификатор в мессенджере, если обращение пришло оттуда	договор (п. 5); для лиц без аккаунта — согласие (п. 1), выраженное обращением	3 года после последнего обращения
Безопасность Сервиса и защита от подбора паролей	IP-адрес, браузер, время запросов, неудачные попытки входа	законный интерес (п. 7)	учёт попыток — 1 сутки; данные сессий — до удаления аккаунта; журналы веб-сервера (IP обрезан до подсети) — 30 дней
Статистика посещаемости сайта и источники регистраций	сведения, собираемые Яндекс Метрикой с согласия посетителя: идентификатор cookie, IP-адрес, браузер, устройство, просмотренные страницы, переходы по ссылкам, цели (нажатие кнопки «Попробовать», расчёт в калькуляторе, регистрация); источник регистрации: UTM-метки, реферальный код, домен сайта-источника, первая страница, дата первого захода (cookie ms_src, раздел 8)	согласие (п. 1): Метрика — через баннер cookie; источник регистрации — согласие при регистрации	у оператора — только сводные отчёты Метрики, у Яндекса — по его правилам; cookie источника — 90 дней в браузере посетителя; после регистрации источник хранится в аккаунте, после удаления аккаунта — в записи аккаунта без e-mail, имени и ИНН, для статистики регистраций по каналам
Информационные и рекламные рассылки о Сервисе	e-mail, имя	отдельное согласие (п. 1; ч. 1 ст. 15 Закона; ч. 1 ст. 18 Федерального закона «О рекламе»)	до отзыва согласия
Предложение Сервиса потенциальным клиентам	имя, название магазина, контакт, который человек сам опубликовал для деловой связи, отметки о касаниях	согласие (п. 1; ч. 1 ст. 15 Закона)	до отказа человека или 12 месяцев без ответа
Анкета обратной связи участников беты	ответы анкеты; e-mail — только если участник сам указал его, чтобы ответы разобрали по его магазину	согласие (п. 1) — отметка в анкете	до отзыва согласия, но не дольше 12 месяцев с даты ответа
Интервью о цене (участники беты и селлеры, согласившиеся на интервью)	имя, магазин, ответы; аудио- или видеозапись разговора — только если участник разрешил запись в начале интервью	согласие (п. 1)	запись — до подготовки сводки интервью, затем удаляется; заметки с именем и магазином — не дольше 12 месяцев; в сводку имена не попадают
Публикация кейсов о работе с Сервисом (клиенты, согласившиеся на публикацию)	ФИО или наименование и ИНН селлера в согласии, переписка о согласовании, скриншоты и цифры магазина, цитата; при публикации с именем — имя, фото, название и ссылка на магазин	согласие (п. 1); имя, фото, название и ссылка на магазин — отдельное согласие на распространение (ст. 10.1 Закона)	кейс — на срок из согласия или до его отзыва; согласие и отзыв хранятся как подтверждение 3 года после снятия кейса

Оператор не принимает решений, порождающих юридические последствия для человека, исключительно на основе автоматизированной обработки (ст. 16 Закона). Сигналы и расчёты Сервиса — подсказки, решения принимает пользователь. Автодействия меняют цены и остатки товаров только по правилам, которые включил сам пользователь; они касаются товаров, а не людей, и юридических последствий для человека не порождают.

5. Действия с данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка смешанная, преимущественно автоматизированная, с передачей по сети Интернет.

Распространение ПДн (раскрытие неопределённому кругу лиц) — только при публикации кейса с именем, фото, названием или ссылкой на магазин селлера и только по его отдельному согласию на распространение (ст. 10.1 Закона): в объёме, на ресурсах и с запретами, которые он указал. Молчание согласием не считается. По требованию селлера распространение прекращается: данные снимаются с ресурсов оператора не позднее 3 рабочих дней.

6. Передача данных и обработка по поручению

6.1. Оператор поручает обработку (ч. 3 ст. 6 Закона) и передаёт данные только в объёме, нужном для цели:

хостинг-провайдеру в РФ — размещение серверов и базы данных Сервиса (токены — в зашифрованном виде);
хранилищу резервных копий в РФ — копии базы и документов, зашифрованные до отправки;
почтовому сервису в РФ — e-mail и текст письма для отправки;
ООО НКО «ЮМани» (ЮKassa) — e-mail для кассового чека, сумма и назначение платежа; данные карты пользователь вводит на странице ЮKassa;
ООО «Яндекс» (ИНН 7736207543, 119021, г. Москва, ул. Льва Толстого, д. 16) — по поручению оператора на условиях сервисов Яндекса: Яндекс Метрика — статистика посещаемости, только с согласия посетителя; Яндекс Формы — ответы анкеты участников беты;
Telegram — только если пользователь сам подключил канал Telegram (раздел 7).

Хостинг-провайдер, хранилище резервных копий и почтовый сервис:

ООО «ТАЙМВЭБ.КЛАУД», ИНН 7810945525, 420500, Республика Татарстан, г. Иннополис, ул. Университетская, д. 7, оф. 605
ООО «Яндекс.Облако», ИНН 7704458262, 119021, г. Москва, ул. Льва Толстого, д. 16, пом. 528
ООО «ЯНДЕКС 360 для бизнеса», ИНН 9704259180, 119021, г. Москва, ул. Тимура Фрунзе, д. 11, стр. 44

6.2. Wildberries и Ozon оператор не передаёт ПДн пользователей: Сервис получает данные кабинета по токену, который выпустил пользователь, а по токену записи только меняет цены и остатки товаров — если пользователь включил автодействие или нажал «Применить цену»; персональных данных в этих запросах нет. Государственным органам данные предоставляются только по основаниям и в порядке, предусмотренным законом.

6.3. С каждым лицом, которому поручена обработка, оператор заключает договор с условиями ч. 3 ст. 6 Закона: перечень действий, цели, конфиденциальность и меры защиты по ст. 19 Закона.

7. Локализация и трансграничная передача

7.1. Базы данных Сервиса находятся в РФ. Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ ведутся только в базах данных на территории РФ (ч. 5 ст. 18 Закона).

7.2. Трансграничная передача возникает только при подключении уведомлений в Telegram: Сервис отправляет идентификатор чата и тексты уведомлений (названия товаров и магазинов, суммы) через серверы Telegram, расположенные за пределами РФ. Канал Telegram добровольный: все уведомления доступны по e-mail. Оператор уведомляет Роскомнадзор о такой передаче до её начала (ч. 3 ст. 12 Закона).

7.3. Мониторинг ошибок и доступности работает на собственных серверах оператора в РФ, данные за рубеж не передаются.

Кто ставит cookie и другие данные в браузере, зачем, сколько они хранятся и как от них отказаться, подробно описано в политике использования cookie.

Cookie	Зачем	Срок	Согласие
ms_session	вход в аккаунт	30 дней	не нужно — без неё вход невозможен
ms_csrf (__Host-ms_csrf)	защита форм от подделки запросов	30 дней	не нужно
ms_flash	одноразовое сообщение после действия	несколько минут	не нужно
ms_consent	выбор посетителя в баннере cookie: только необходимые или с аналитикой	1 год	не нужно
ms_goal	отметка «регистрация только что прошла» для цели Метрики	10 минут	не нужно
ms_src	откуда пришёл посетитель: UTM-метки, реферальный код, домен сайта-источника, первая страница (только путь), дата первого захода; идентификатора посетителя нет, третьим лицам не передаётся	90 дней, удаляется при регистрации	отдельно не запрашивается: ставится при первом заходе, до выбора в баннере (см. ниже)
_ym_uid, _ym_d и др.	статистика посещаемости (Яндекс Метрика)	по правилам Яндекса	нужно — Метрика загружается только после согласия в баннере, только на публичных страницах; вебвизор выключен

Cookie ms_src ставится при первом заходе на публичную страницу сайта, до выбора в баннере; вошедшему пользователю — не ставится. В ней нет идентификатора посетителя, e-mail, телефона и других контактов: метки с «@» или похожие на номер телефона отбрасываются, от сайта-источника остаётся только домен, от первой страницы — только путь. До регистрации эти сведения хранятся только в браузере посетителя и в базу данных Сервиса не записываются. При регистрации Сервис переносит их в аккаунт (цель «источники регистраций», по согласию на обработку ПДн) и удаляет cookie. Удалить её можно в настройках браузера — сайт работает и без неё.

Согласие на аналитические cookie можно отозвать по ссылке «Настройки cookie» внизу страницы или удалив cookie в браузере. После выбора «Только необходимые» код Метрики не загружается, а её cookie удаляются. Подробнее — в разделе 6 политики использования cookie.

9. Права субъекта

9.1. Вы вправе получить сведения об обработке своих ПДн; потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, получены незаконно или не нужны для цели; отозвать согласие; потребовать прекратить обработку; в любой момент отказаться от рекламных рассылок; обжаловать действия оператора в Роскомнадзоре или в суде (ст. 9, 14, 15, 17, 21 Закона).

9.2. Самостоятельно в Сервисе: выгрузить данные аккаунта в CSV и удалить аккаунт («Настройки → Аккаунт»), отключить каналы уведомлений, отвязать способ оплаты, отключить магазин.

9.3. Запрос — на support@marzhastop.ru с адреса, указанного в аккаунте, или письмом по адресу оператора. Укажите, кто вы, e-mail аккаунта (или иные сведения, подтверждающие отношения с оператором) и что нужно сделать (ч. 3 ст. 14 Закона).

9.4. Сроки ответа:

сведения об обработке — 10 рабочих дней, с продлением не более чем на 5 рабочих дней с объяснением причин (ч. 3 ст. 14, ч. 1 ст. 20 Закона);
уточнение неточных данных и уничтожение незаконно полученных или ненужных данных — 7 рабочих дней (ч. 3 ст. 20 Закона);
прекращение обработки по требованию — 10 рабочих дней, с продлением на 5 рабочих дней (ч. 5.1 ст. 21 Закона);
при отзыве согласия — прекращение обработки и уничтожение данных в течение 30 дней, если нет другого законного основания (ч. 5 ст. 21 Закона). Например, платёжные документы хранятся, пока этого требует налоговое законодательство.

10. Уничтожение данных

Данные уничтожаются по истечении сроков из раздела 4, при удалении аккаунта, отзыве согласия или по требованию субъекта, если нет другого законного основания: удалением из базы данных или обезличиванием учётной записи. Резервные копии перезаписываются в течение 30 дней. Уничтожение подтверждается актом и (или) выгрузкой из журнала событий (приказ Роскомнадзора от 28.10.2022 № 179).

11. Меры защиты (ст. 18.1, 19 Закона)

назначен ответственный за организацию обработки ПДн, изданы политика и локальные акты, проведена оценка вреда и определён уровень защищённости ПДн;
доступ к данным — только у лиц, которым он нужен для работы, после ознакомления с требованиями и обязательства о конфиденциальности;
передача данных — только по HTTPS (TLS);
пароли хранятся в виде хеша Argon2id; двухфакторная аутентификация — по желанию пользователя, для служебного доступа — обязательно;
токены API площадок и секреты 2FA шифруются (AES-256-GCM);
данные аккаунтов разделены на уровне каждого запроса;
журналы не содержат паролей и токенов, в журналах веб-сервера IP-адрес обрезан до подсети, журналы хранятся 30 дней;
резервные копии шифруются до отправки в хранилище в РФ;
ограничение попыток входа, мониторинг доступности и ошибок.

При утечке ПДн оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона), и сообщает пострадавшим пользователям.

12. Ответственный за организацию обработки ПДн

ИП Маголин Даниил Константинович, e-mail: support@marzhastop.ru, почтовый адрес: 462421, Оренбургская обл., г. Орск, ул. Тагильская, д. 40.

13. Изменение политики

Оператор обновляет политику при изменении состава данных, целей, подрядчиков или закона. Новая редакция публикуется на этой странице с датой. Если изменения требуют нового согласия, Сервис запросит его отдельно.

Реквизиты оператора

Исполнитель: ИП Маголин Даниил Константинович
ИНН: 561507609026
ОГРНИП: 325565800099324
Адрес для корреспонденции: 462421, Оренбургская обл., г. Орск, ул. Тагильская, д. 40
Расчётный счёт: 40802810900810181652 в Филиал «Центральный» Банка ВТБ (ПАО)
БИК / корр. счёт: 044525411 / 30101810145250000411
E-mail: support@marzhastop.ru