Версия 1.6 · Действует с 2026-06-05

Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором.

1.2. Политика действует в отношении всех персональных данных, которые Оператор может получить от субъектов через интернет-сайт krab.market, Mini App (мини-приложение, открываемое в клиенте Telegram), Telegram-бот @krab_filament_bot (только для маршрутизации уведомлений и предоставления ссылки на Mini App), бот в мессенджере MAX, а также по иным каналам связи.

1.3. Действующая редакция Политики постоянно доступна по адресу https://krab.market/legal/privacy-policy.

2. Сведения об операторе

Параметр	Значение
Полное наименование	Общество с ограниченной ответственностью «3Д СИСТЕМА»
Сокращённое наименование	ООО «3Д СИСТЕМА»
ИНН	7203582780
ОГРН	1247200018559
Почтовый адрес	625017, Тюменская область, г. Тюмень, ул. Аккумуляторная, дом 1, стр. 1, помещение 2
Электронная почта для обращений субъектов персональных данных	privacy@krab.market
Сайт	https://krab.market
Лицо, ответственное за организацию обработки персональных данных	Мирошников М. Ю., Генеральный директор
Регистрационный номер в Реестре операторов, осуществляющих обработку персональных данных, Роскомнадзора	72-26-057517

3. Используемые понятия

Понятия «персональные данные», «обработка», «оператор», «субъект персональных данных», «трансграничная передача», «уничтожение», «обезличивание» применяются в значениях, установленных статьёй 3 152-ФЗ.

4. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

Покупатели и потенциальные покупатели — физические лица, оформляющие или просматривающие заказы на сайте krab.market или в ботах Оператора, в том числе получающие заказ путём самовывоза в пункте выдачи Оператора.
Пользователи Telegram-бота @krab_filament_bot.
Пользователи бота Оператора в мессенджере MAX.
Лица, направляющие Оператору обращения по электронной почте или через формы обратной связи.
Работники Оператора и иные лица, которым предоставлен доступ к административной панели (admin-web) для целей обработки заказов и администрирования сервиса. В отношении данной категории Оператор обрабатывает: фамилию, имя (служебное наименование учётной записи), служебный адрес электронной почты, номер мобильного телефона, идентификатор учётной записи в Telegram (telegram_id) и (или) в мессенджере MAX (max_user_id), используемые для подтверждения входа в административную панель (авторизация по номеру телефона и одноразовому коду, направляемому в привязанный бот), а также журналы действий в системе.

5. Перечень обрабатываемых персональных данных

Состав обрабатываемых персональных данных различается в зависимости от канала взаимодействия.

5.1. Веб-сайт `krab.market`

Имя (или ФИО);
Номер мобильного телефона (используется как идентификатор учётной записи);
Адрес электронной почты (опционально, для входа по magic-link);
Адрес доставки (адрес ПВЗ или постамата выбранной службы доставки) либо отметка о получении заказа путём самовывоза в пункте выдачи Оператора (г. Тюмень, ул. Аккумуляторная, дом 1, стр. 1, помещение 2);
История заказов: состав, количество, суммы, способ оплаты, статусы;
IP-адрес и User-Agent (фиксируются в журналах для целей безопасности и расследования инцидентов);
Файлы cookie (см. отдельную Политику использования cookie).

5.2. Telegram-бот `@krab_filament_bot` (без сбора ПДн через переписку)

С 5 июня 2026 года переписка с Telegram-ботом не используется для сбора персональных данных субъекта. Бот выступает исключительно как точка входа в Mini App и канал доставки уведомлений о статусе заказа. Через инфраструктуру Telegram BotAPI Оператору поступают:

идентификатор пользователя в Telegram (telegram_id), который Telegram присваивает каждой учётной записи и уже хранит на своей стороне;
username и first_name, если они опубликованы пользователем в профиле Telegram (предоставляются мессенджером автоматически).

Содержательно через BotAPI передаются только команда /start, шаблонные приветствия и уведомления о смене статуса заказа без указания ФИО, номера телефона, адреса и иных персональных данных получателя.

5.3. Mini App krab.market в клиенте Telegram (https://miniapp.krab.market)

Mini App открывается в клиенте Telegram через WebApp-кнопку. При работе в Mini App пользователь взаимодействует напрямую с инфраструктурой Оператора по HTTPS, минуя серверы Telegram; данные, введённые в формы Mini App, не проходят через BotAPI Telegram и не попадают на инфраструктуру Telegram FZ-LLC. Состав обрабатываемых через Mini App данных:

идентификатор пользователя в Telegram (telegram_id), полученный через механизм Telegram.WebApp.initData (HMAC-подпись от Telegram), — используется для авторизации в Mini App;
номер телефона субъекта, предоставленный через Mobile ID или однократный код подтверждения;
ФИО получателя заказа (вводится в форме оформления заказа);
адрес пункта выдачи заказа (ПВЗ или постамата) либо отметка о самовывозе в пункте выдачи Оператора;
состав заказа и история заказов;
email-адрес, если субъект указал его в профиле.

Подтверждение трансграничной передачи персональных данных через инфраструктуру Telegram FZ-LLC при работе в Mini App не требуется, поскольку перечисленные данные не проходят через серверы Telegram.

5.4. Бот в мессенджере MAX (https://max.ru/id7203582780_bot)

Идентификатор пользователя в MAX (max_id);
Имя пользователя;
Номер телефона (передаётся явно через механизм MAX request_contact);
Адрес ПВЗ или постамата либо отметка о самовывозе в пункте выдачи Оператора;
История заказов и связанные с ней данные.

5.5. Оператор не обрабатывает специальные категории персональных данных (раса, национальность, политические взгляды, состояние здоровья и т.п.) и биометрические персональные данные.

5.6. Оператор не обрабатывает персональные данные несовершеннолетних младше возраста, с которого допускается самостоятельное заключение договора розничной купли-продажи.

6. Цели обработки персональных данных

№	Цель	Состав персональных данных
1	Регистрация и аутентификация пользователя	Телефон, email, идентификаторы в мессенджерах
2	Заключение и исполнение договора розничной купли-продажи	ФИО, телефон, адрес ПВЗ/постамата или отметка о самовывозе, состав заказа
3	Передача отправлений в службы доставки и информирование о статусе доставки; организация выдачи заказа при самовывозе в пункте выдачи Оператора	ФИО, телефон, адрес ПВЗ/постамата (при самовывозе данные в стороннюю службу доставки не передаются)
4	Информирование о статусах заказов через выбранный канал связи	Email, telegram_id, max_id
5	Получение подтверждения оплаты от ЮKassa и формирование 54-ФЗ-чека	yukassa_payment_id, сумма, дата, состав заказа
6	Обеспечение информационной безопасности, расследование инцидентов	IP, User-Agent, журналы действий
7	Исполнение обязанностей, предусмотренных законодательством РФ (бухгалтерский, налоговый учёт, ответы на запросы уполномоченных органов)	Сведения о заказах и оплатах
8	Рассмотрение обращений субъектов персональных данных	ФИО, контактные данные, текст обращения
9	Авторизация и аутентификация работников Оператора в административной панели (admin-web) посредством номера телефона и одноразового кода, направляемого в привязанный Telegram/MAX-бот	Служебное наименование учётной записи, служебный email, номер телефона, `telegram_id`/`max_user_id`

7. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих правовых основаниях (статья 6 152-ФЗ):

Пункт 5 части 1 статьи 6 — обработка необходима для исполнения договора, стороной которого является субъект персональных данных (оформление и доставка заказа).
Пункт 2 части 1 статьи 6 — обработка предусмотрена федеральными законами (бухгалтерский, налоговый учёт, Закон РФ «О защите прав потребителей»).
Пункт 1 части 1 статьи 6 — согласие субъекта персональных данных (для целей, выходящих за рамки исполнения договора, в том числе для передачи данных в мессенджеры Telegram и MAX, инфраструктура которых частично расположена за пределами РФ).
Пункт 7 части 1 статьи 6 — обработка необходима для осуществления законных интересов Оператора (защита от мошенничества, обеспечение работоспособности сервиса), при условии, что не нарушаются права и свободы субъекта.

Согласие на обработку персональных данных оформляется в виде отдельного документа в соответствии с требованиями статьи 9 152-ФЗ в редакции Федерального закона от 24.07.2023, с учётом изменений, вступивших в силу с 01.09.2025.

8. Способы и объём обработки

8.1. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без их использования.

8.2. Перечень действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

9. Сроки обработки и хранения

Категория данных	Срок хранения	Основание
Учётная запись пользователя (телефон, email, идентификаторы мессенджеров)	До отзыва согласия / удаления учётной записи	Договор
Данные заказа, фискальные чеки от ЮKassa	5 лет с момента совершения операции	ст. 29 ФЗ «О бухгалтерском учёте», ст. 23 НК РФ
Учётная запись работника в административной панели (телефон, email, идентификаторы мессенджеров)	На срок наличия у работника полномочий по доступу к административной панели; удаляется (деактивируется) при прекращении полномочий	Организация обработки заказов
Журналы доступа (IP, User-Agent)	Не более 12 месяцев	Законный интерес безопасности
Резервные копии базы данных и пользовательских файлов	Не более 30 дней (автоматическая ротация в хранилище)	Законный интерес обеспечения целостности и доступности данных
Обращения субъектов персональных данных	5 лет с даты регистрации	Учёт исполнения требований 152-ФЗ
Cookie	См. Политику cookie	—

По истечении срока обработки персональные данные уничтожаются или обезличиваются. Уничтожение подтверждается актом в порядке, установленном Приказом Роскомнадзора от 28.10.2022 № 179.

10. Передача персональных данных третьим лицам

10.1. Оператор передаёт персональные данные третьим лицам исключительно в объёме и для целей, указанных ниже:

Получатель	Передаваемые данные	Цель	Основание
ООО «СДЭК-ГЛОБАЛ» (СДЭК), ИНН 7722327689	ФИО, телефон, код ПВЗ, габариты отправления, состав отправления	Доставка заказа в ПВЗ	Поручение по ч. 3 ст. 6 152-ФЗ
ООО «Яндекс.Такси» (сервис «Яндекс Доставка»), ИНН 7704340310	ФИО, телефон, код ПВЗ, габариты отправления	Доставка заказа в ПВЗ	Поручение по ч. 3 ст. 6 152-ФЗ
ООО «ФАЙВ ПОСТ» (5Post, X5 Group), ИНН 7722461620	ФИО, телефон, код ПВЗ/постамата, габариты отправления, номер заказа	Доставка заказа в ПВЗ или постамат сети «Пятёрочка»/«Перекрёсток»	Поручение по ч. 3 ст. 6 152-ФЗ
ООО НКО «ЮMoney» (сервис «ЮKassa»), ИНН 7750005725, лицензия Банка России 3510-К	ФИО, телефон, email (опц.), сумма и состав заказа для 54-ФЗ-чека (реквизиты банковской карты Оператор не получает)	Приём платежа и формирование фискального чека	Поручение по ч. 3 ст. 6 152-ФЗ + п. 2 ч. 1 ст. 6 (54-ФЗ)
Telegram FZ-LLC (ОАЭ)	Идентификатор учётной записи Telegram (`telegram_id`), `username`, `first_name` (изначально известны мессенджеру), а также тексты служебных уведомлений о статусе заказа без указания ФИО, телефона и адреса	Маршрутизация уведомлений; запуск Mini App. Передача ПДн получателя заказа (ФИО, телефон, адрес ПВЗ) через инфраструктуру Telegram FZ-LLC не осуществляется (см. п. 5.3)	Не образует состава трансграничной передачи ПДн субъекта в смысле ст. 12 152-ФЗ
ООО «ВКонтакте» (платформа MAX), ИНН 7842349892	Все персональные данные, передаваемые в рамках сообщений бота	Транспорт сообщений	Поручение по ч. 3 ст. 6 152-ФЗ
Собственный почтовый сервер Mailu	Адрес электронной почты, текст уведомлений	Доставка email-уведомлений и magic-link	Исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ)
АО «Селектел» (Selectel Object Storage), ИНН 7813585050	Полный снимок данных ИСПДн в составе ежедневных и недельных резервных копий	Хранение резервных копий БД и пользовательских файлов в РФ (для восстановления при инцидентах); хранение не более 30 дней	Поручение по ч. 3 ст. 6 152-ФЗ + п. 7 ч. 1 ст. 6 (законные интересы Оператора)

10.2. С каждым лицом, осуществляющим обработку персональных данных по поручению Оператора, заключается договор, содержащий перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных в соответствии со статьёй 19 152-ФЗ.

10.3. Оператор не продаёт персональные данные и не передаёт их в рекламных целях третьим лицам без отдельного согласия субъекта.

10.4. При выборе субъектом самовывоза заказа в пункте выдачи Оператора (г. Тюмень, ул. Аккумуляторная, дом 1, стр. 1, помещение 2) передача персональных данных в сторонние службы доставки не осуществляется: пункт выдачи эксплуатируется самим Оператором, выдача заказа производится работниками Оператора по контрольным реквизитам (номер заказа, телефон). Новые обработчики (лица, действующие по поручению Оператора) в этом случае не привлекаются.

11. Трансграничная передача

11.1. По состоянию на дату вступления в силу настоящей редакции (1.6) Оператор не осуществляет трансграничную передачу персональных данных субъектов.

11.2. Все интерактивные операции с ПДн субъекта (авторизация, ввод номера телефона и ФИО, выбор адреса доставки, оформление и оплата заказа) выполняются:

на сайте krab.market — через HTTPS на инфраструктуре, расположенной на территории РФ;
в Mini App miniapp.krab.market, открываемом из клиента Telegram, — через прямое HTTPS-соединение клиента с инфраструктурой Оператора, минуя серверы Telegram (см. п. 5.3 настоящей Политики);
в боте MAX — через российскую платформу.

Telegram-бот @krab_filament_bot используется исключительно как точка запуска Mini App и канал доставки уведомлений; через инфраструктуру Telegram FZ-LLC проходят только идентификаторы учётной записи Telegram, изначально известные мессенджеру, и шаблонные сообщения без ПДн получателя заказа (см. п. 5.2). Указанная передача не образует состава трансграничной передачи персональных данных в смысле статьи 12 152-ФЗ.

11.3. В случае возобновления передачи ПДн субъектов на серверы операторов мессенджеров, расположенные за пределами Российской Федерации, Оператор:

разместит уведомление об этом в действующей редакции настоящей Политики;
получит отдельное согласие субъекта на трансграничную передачу в порядке статьи 12 152-ФЗ;
направит уведомление о намерении осуществлять трансграничную передачу в Роскомнадзор в соответствии с частью 3 статьи 12 152-ФЗ.

11.4. Историческое согласие субъектов на трансграничную передачу через инфраструктуру Telegram (редакция документа tg-transborder 1.4 от 28.05.2026 и ранее), полученное до перехода на Mini App, остаётся в реестре согласий как исторические данные и не используется как основание для новых операций передачи. Субъект вправе в любой момент отозвать такое согласие в порядке раздела 14 настоящей Политики.

12. Локализация баз данных

В соответствии с частью 5 статьи 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации.

13. Меры по обеспечению безопасности персональных данных

13.1. Правовые меры: утверждение настоящей Политики и внутренних локальных нормативных актов; назначение ответственного за организацию обработки персональных данных; ознакомление работников с требованиями 152-ФЗ.

13.2. Организационные меры: определение перечня лиц, имеющих доступ к персональным данным; разграничение прав доступа; регулярный аудит обработки.

13.3. Технические меры (в соответствии со ст. 19 152-ФЗ и Постановлением Правительства РФ от 01.11.2012 № 1119):

хранение персональных данных в защищённой инфраструктуре, расположенной на территории РФ;
шифрование каналов связи (TLS) при передаче персональных данных;
хранение паролей в виде криптографических хешей;
аутентификация и авторизация пользователей и администраторов;
ведение журналов доступа и действий;
регулярное резервное копирование с ротацией;
применение средств защиты от вредоносного кода и несанкционированного доступа;
определение уровня защищённости персональных данных в соответствии с ПП РФ № 1119.

14. Права субъекта персональных данных

В соответствии со статьями 14, 20, 21 152-ФЗ субъект персональных данных имеет право:

Получать сведения, касающиеся обработки его персональных данных (ст. 14).
Требовать уточнения, блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
Отозвать согласие на обработку персональных данных.
Обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.
На защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

15. Порядок реализации прав субъекта

15.1. Запрос в адрес Оператора направляется в письменной форме на email privacy@krab.market или по почтовому адресу Оператора.

15.2. Запрос должен содержать:

сведения, позволяющие идентифицировать субъекта (ФИО, телефон или иной идентификатор учётной записи);
сведения, подтверждающие факт обработки персональных данных Оператором (например, дата заказа);
подпись субъекта или его представителя (для письменных запросов).

15.3. Ответ направляется в срок, не превышающий 10 рабочих дней с даты получения запроса (ч. 1 ст. 20 152-ФЗ). Срок может быть продлён, но не более чем на 5 рабочих дней, с уведомлением субъекта.

15.4. Отзыв согласия осуществляется путём направления уведомления на privacy@krab.market либо через удаление учётной записи в личном кабинете / боте. С момента получения отзыва Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней, за исключением случаев, когда обработка должна быть продолжена в силу закона.

16. Уведомление об инцидентах

В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор в порядке части 3.1 статьи 21 152-ФЗ:

в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, его предполагаемых причинах, предполагаемом вреде и принятых мерах;
в течение 72 часов направляет результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента.

17. Изменения Политики

17.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения по адресу https://krab.market/legal/privacy-policy, если иное не предусмотрено новой редакцией.

17.2. Дата вступления настоящей редакции в силу: 31 мая 2026 г. (редакция 1.5).

18. Реквизиты

ООО «3Д СИСТЕМА» ИНН 7203582780, ОГРН 1247200018559 Почтовый адрес: 625017, Тюменская область, г. Тюмень, ул. Аккумуляторная, дом 1, стр. 1, помещение 2 Email: privacy@krab.market Сайт: https://krab.market