1Оператор
Обработку данных аккаунтов организуют представители компании Oflly (далее — «мы», «Оператор»). По любым вопросам о данных: oflly@proton.me, Telegram @andyowner.
2Роли: контроллер и обработчик
Oflly — B2B-сервис для агентств, поэтому наша роль зависит от категории данных:
| Категория данных | Кто контроллер | Наша роль |
|---|---|---|
| Аккаунты, вход, уведомления, настройки компании | Оператор | Контроллер |
| Данные, которые компания-клиент вносит о своих моделях, сотрудниках и операциях | Компания-клиент | Обработчик (ст. 28 GDPR) |
Данные второй категории мы обрабатываем только по указаниям клиента и только для предоставления Сервиса. Клиент сам отвечает за правовые основания обработки и информирование людей, чьи данные он вносит. Условия закрепляются в оферте и договоре обработки данных (DPA), который предоставляется по запросу.
3Какие данные обрабатываются
Данные аккаунтов
- логин и хэш пароля — сам пароль в открытом виде не хранится;
- роль и права доступа в компании;
- идентификатор Telegram-чата — для кодов 2FA, восстановления пароля и уведомлений;
- время входа и журнал значимых действий.
Данные компании (вносит клиент)
- модели и их анкеты: псевдонимы, ссылки на профили площадок, цели, соцсети;
- финансовые записи: доходы, комиссии, расходы, расчётные периоды, выплаты, авансы и штрафы;
- реквизиты для выплат (например, кошельки), запросы контента и вложения к ним.
Технические данные
- IP-адрес, сведения о браузере, журналы сервера;
- журнал попыток входа — для защиты от подбора паролей;
- cookie сессии и данные localStorage (раздел 5).
4Цели и правовые основания
| Цель | Основание (GDPR) |
|---|---|
| Предоставление функций CRM, работа аккаунтов | Исполнение договора — ст. 6(1)(b) |
| Безопасность: 2FA, лимиты входа, журналирование | Законный интерес — ст. 6(1)(f); обязанность обеспечить безопасность — ст. 32 |
| Обработка данных, внесённых клиентом о его людях | Поручение клиента-контроллера — ст. 28 |
| Поддержка и связь с клиентом | Исполнение договора / законный интерес |
| Ответы на обязательные запросы органов | Юридическая обязанность — ст. 6(1)(c) |
6Субобработчики
Мы не продаём и не сдаём данные. Для работы Сервиса привлекаются поставщики, действующие по договору:
| Поставщик | Зачем | Где |
|---|---|---|
| Хостинг-провайдер (orangewebsite) | Размещение Сервиса и хранение данных | Исландия (ЕЭП) |
| Telegram Messenger | Доставка кодов 2FA и уведомлений через бота | Вне ЕЭП (раздел 7) |
| OnlyMonster | Синхронизация выручки по API-ключу — только если клиент подключил интеграцию | По условиям поставщика |
7Передачи за пределы ЕЭП
Основное хранение данных — в ЕЭП (Исландия). Отдельные поставщики (например, Telegram) могут обрабатывать данные за пределами ЕЭП; такие передачи опираются на предусмотренные GDPR механизмы — в частности, стандартные договорные условия (SCC) — согласно документации этих поставщиков.
8Сроки хранения
- данные аккаунтов и компании — пока действует договор; после прекращения удаляются или обезличиваются в разумный срок, если закон не требует хранить дольше;
- вложения к запросам контента — удаляются автоматически через 60 дней;
- журналы безопасности и попытки входа — ограниченный срок, необходимый для защиты Сервиса;
- по запросу клиента данные его компании удаляются полностью (раздел 11).
9Безопасность
Мы применяем технические и организационные меры (ст. 32 GDPR):
- пароли хранятся только в виде хэша; вход подтверждается кодом 2FA в Telegram;
- соединение по HTTPS; защита от CSRF; ограничение числа попыток входа;
- полная изоляция данных каждой компании (мультитенантная архитектура);
- разграничение прав доступа (RBAC): каждый пользователь видит только разрешённые ему разделы и анкеты;
- журналирование значимых действий команды.
10Инциденты
Если произойдёт утечка персональных данных, создающая риск для прав и свобод людей, мы уведомим надзорный орган в течение 72 часов с момента обнаружения, а при высоком риске — также затронутых лиц и клиентов-контроллеров (ст. 33–34 GDPR).
11Ваши права
По ст. 15–22 GDPR вы можете требовать:
- доступ — узнать, какие данные о вас обрабатываются, и получить копию;
- исправление неточных данных;
- удаление («право быть забытым»);
- ограничение обработки и возражение против неё;
- переносимость — данные компании экспортируются в JSON/CSV;
- отзыв согласия — если обработка основана на согласии;
- жалобу в надзорный орган по защите данных.
Запросы принимаются на oflly@proton.me; срок ответа — до одного месяца. Если ваши данные внёс в Сервис наш клиент (мы — обработчик), мы перенаправим запрос ему как контроллеру и поможем его исполнить.
12Возраст 18+
Сервис предназначен для бизнеса в индустрии для взрослых и не рассчитан на лиц младше 18 лет; их данные мы сознательно не собираем. Клиент гарантирует совершеннолетие всех лиц, чьи данные он вносит, — это условие закреплено в оферте и Правилах.
13Изменения
Мы можем обновлять эту Политику. Актуальная редакция всегда доступна на этой странице; дата — в шапке. О существенных изменениях уведомим заранее разумным способом.
14Контакты
Вопросы об обработке данных: oflly@proton.me · Telegram @andyowner · Оператор: представители компании Oflly.