Политика обработки персональных данных

1. Общие положения

Настоящая политика описывает, какие персональные данные обрабатываются при использовании мобильного приложения «ЧЗ Сканер» и сайта «Рабочее место» (api.grpak.ru/work), для чего, как долго и как пользователь может повлиять на обработку. Она составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Приложение не является сервисом оператора ГИС МТ «Честный знак» (ООО «Оператор-ЦРПТ») и не связано с ним.

2. Оператор

Оператор персональных данных: Общество с ограниченной ответственностью «НОВАГОЛД» (ООО «НОВАГОЛД»), ИНН 5012115710, КПП 501201001, ОГРН 1255000068135, адрес: 143916, Московская область, г.о. Балашиха, г. Балашиха, мкр. Новое Павлино, ул. Романычева, д. 5, кв. 536.

Обращения по вопросам персональных данных: info@grpak.ru.

3. Какие данные обрабатываются

При входе и использовании приложения:

• номер телефона или адрес электронной почты (для входа по одноразовому коду);
• имя, если вы его указали;
• данные организации, которые вы вводите: ИНН, наименование, КПП, адрес, ФИО предпринимателя, идентификатор в ЭДО, товарные группы;
• сведения о сотрудниках организации в сервисе: название рабочего места или ФИО, которое сотрудник задаёт сам, роль (владелец или сотрудник), коды приглашения; в документах организации на сайте указывается, кто их создал;
• сведения о счетах и платежах: номер, сумма и срок счёта, реквизиты плательщика (наименование, ИНН, КПП, адрес, e-mail для счёта), статус оплаты; данные банковской карты вводятся на странице платёжного сервиса и нами не хранятся;
• реестр пробных периодов: контрольные суммы (хэши) телефона, e-mail и ИНН, из которых нельзя восстановить сами значения, и дата начала пробного периода;
• сведения об устройстве: случайный идентификатор приложения на устройстве, платформа, версия приложения;
• счётчики использования функций (числа без содержимого), нужные для работы тарифов и лимитов;
• принятые и отозванные согласия: версия документа, контрольная сумма показанного текста, язык, устройство, IP-адрес и время;
• IP-адрес и технические записи сервера (время и адрес запроса) при обращениях к серверу.

Только если вы сами нажимаете «Отправить на сайт» или пользуетесь функциями сайта: файлы и таблицы с кодами маркировки, документы и данные контрагентов, содержащиеся в этой выгрузке; справочник ваших товаров (GTIN, наименование, ТН ВЭД, срок годности, разрешительный документ).

Не обрабатываются автоматически: коды маркировки, документы и данные контрагентов, которые вы сканируете и формируете в приложении, — они хранятся на вашем устройстве. На сервер документ попадает только по вашему действию (кнопка «На сайт») либо, если вы сами включили в приложении («Сотрудники» → «Отправлять новые документы на сайт автоматически»), сразу после создания; такие документы хранятся 30 дней и видны всем сотрудникам вашей организации с указанием автора. Выключить автоотправку можно в любой момент. Сведения о событиях использования для аналитики не собираются; их сбор возможен только после вашего отдельного согласия (раздел 6).

4. Цели и основания обработки

• регистрация и вход, работа вашей учётной записи — исполнение договора (пользовательского соглашения), стороной которого вы являетесь;
• работа функций, которые вы запускаете: проверка статуса кодов в ГИС МТ, поиск реквизитов по ИНН, названия товаров, выгрузка на сайт, подготовка документов — исполнение договора и ваши действия;
• безопасность, защита от злоупотреблений, ограничение частоты запросов — законный интерес оператора;
• хранение доказательств принятых и отозванных согласий — исполнение требований закона;
• формирование счетов, приём оплаты и включение платных функций — исполнение договора; хранение сведений о платежах — исполнение требований законодательства о бухгалтерском учёте;
• защита пробного периода от повторного получения (реестр хэшей) — законный интерес оператора;
• совместная работа сотрудников одной организации: документы на сайте общие для всех сотрудников, в них видно автора — исполнение договора с организацией, в которой вы работаете;
• аналитика и улучшение сервиса, информационные и рекламные сообщения — только на основании вашего отдельного согласия, которое можно отозвать в любой момент.

5. Действия с данными, сроки хранения

Данные собираются, записываются, систематизируются, хранятся, уточняются, используются, передаются обработчикам (раздел 7), блокируются, удаляются. Обработка автоматизированная; на основании обработки не принимаются решения, порождающие юридические последствия для вас.

• Данные учётной записи — до удаления вами аккаунта или отзыва согласия на обработку.
• Выгрузки на сайт «Рабочее место» — до 30 дней, затем удаляются автоматически; вы можете удалить их раньше.
• Подключение к ГИС МТ и СУЗ (токен доступа) — только в оперативной памяти сервера на время работы (около 9 часов), на диск не записывается.
• Коды, отправленные для вставки в поле на сайте с телефона («телефон-сканер») — в оперативной памяти сервера не более 5 минут.
• Резервные копии базы данных — до 14 дней.
• Записи о согласиях после удаления аккаунта хранятся без телефона и почты не более трёх лет как доказательство в случае спора.
• Счета и сведения об оплате — в течение сроков бухгалтерского и налогового учёта.
• Реестр пробных периодов (только хэши) — пока действует сервис: он нужен, чтобы удаление аккаунта не позволяло получить пробный период повторно.
• Технические записи сервера хранятся не дольше, чем нужно для обеспечения безопасности.

6. Согласия

Согласие на обработку персональных данных даётся отдельно от пользовательского соглашения отдельной отметкой при регистрации. Согласие на аналитику и на получение сообщений — отдельные, необязательные, по умолчанию не даны. Отозвать необязательные согласия можно в любой момент в приложении: «Безопасность и данные».

Отозвать согласие на обработку персональных данных можно, удалив аккаунт в приложении («Безопасность и данные» → «Удалить аккаунт») или написав на info@grpak.ru.

7. Передача данных третьим лицам

Данные хранятся и обрабатываются на серверах на территории Российской Федерации. Трансграничной передачи нет.

Обработчики и получатели:

• хостинг-провайдер (аренда сервера в РФ) — размещение сервиса;
• SMS-провайдер sms.ru — получает номер телефона и текст одноразового кода для отправки сообщения;
• почтовый сервис домена — получает e-mail и текст письма с кодом входа или со счётом;
• платёжный сервис (ЮKassa) при оплате картой — получает сумму, назначение платежа и e-mail для чека; данные карты обрабатывает сам платёжный сервис и передаёт нам только результат оплаты;
• сервис реквизитов по ИНН (DaData) — получает ИНН, который вы вводите для поиска организации;
• Национальный каталог — получает GTIN товаров для поиска наименований;
• ГИС МТ «Честный знак» (ООО «Оператор-ЦРПТ») — получает коды маркировки и подписанные вами документы, когда вы сами запускаете проверку статуса кода или отправку документа. Подпись документов выполняется на вашем компьютере вашим сертификатом; приложение подписей не создаёт.

Иным лицам данные не передаются, кроме случаев, прямо предусмотренных законом.

8. Проверка статуса кодов

Когда вы сканируете код, приложение может запросить его статус в ГИС МТ через наш сервер. Код передаётся в ГИС МТ; на нашем сервере коды из таких запросов не сохраняются. Запрос выполняется от вашего имени, если вы подключились к ГИС МТ сертификатом, либо через служебное подключение организации-оператора сервиса, если оно включено.

9. Безопасность

Применяются: передача данных по защищённому соединению (HTTPS); хранение на сервере только контрольных сумм кодов входа и сессионных ключей; шифрование выгрузок на сайт; локальная база приложения на устройстве хранится в зашифрованном виде; ограничение числа попыток и частоты запросов; разграничение доступа к серверу.

10. Ваши права

Вы вправе получить сведения об обработке ваших данных, потребовать их уточнения, блокирования или удаления, отозвать согласие, обжаловать действия оператора в Роскомнадзоре или в суде. Для этого напишите на info@grpak.ru с указанием телефона или почты, под которыми вы зарегистрированы. Ответ — в срок, установленный законом (до 10 рабочих дней с возможностью продления).

Удалить аккаунт и данные на сервере можно самостоятельно в приложении: «Безопасность и данные» → «Удалить аккаунт», а также без приложения на странице https://api.grpak.ru/legal/delete-account (подтверждение кодом из SMS или письма). Коды и документы на вашем устройстве при этом не удаляются: они принадлежат вам.

11. Сайт «Рабочее место»

Сайт не использует рекламные и аналитические cookie и счётчики. Для работы входа в браузере хранятся служебные данные сеанса (до закрытия вкладки) и настройки оформления и подключения телефона-сканера (на устройстве, до очистки данных браузера).

12. Изменения политики

Оператор может изменять политику. Новая редакция публикуется по этому адресу с указанием даты; о существенных изменениях пользователи уведомляются в приложении. Действует редакция от 12.10.2026.