Политика обработки персональных данных

Редакция от 24 октября 2026 года. Текст согласия на обработку персональных данных при регистрации в личном кабинете размещён отдельным документом: https://avito.gsoftapi.ru/soglasie.

1. Общие положения

1.1. Настоящая Политика является документом, предусмотренным частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее: ФЗ-152), и определяет порядок обработки и защиты персональных данных пользователей сервиса GSOFT (далее: Сервис). Сервис работает на сайтах gsoftapi.ru, api.gsoftapi.ru, cabinet.gsoftapi.ru (кабинет внутри amoCRM), upload.gsoftapi.ru (страница сборщика заказов) и avito.gsoftapi.ru (личный кабинет со входом по адресу электронной почты и паролю).

1.2. Оператором персональных данных является индивидуальный предприниматель Галицын Алексей Дмитриевич (далее: Оператор), ИНН 780538685513, ОГРНИП 320784700203500, место нахождения: г. Санкт-Петербург, Российская Федерация. Обязанности ответственного за организацию обработки персональных данных Оператор исполняет лично.

1.3. Настоящая Политика разработана в соответствии с ФЗ-152 и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.4. Политика действует в отношении всех персональных данных, которые Оператор получает в процессе использования Сервиса.

1.5. Использование Сервиса, установка виджета, принятие публичной оферты и иные действия сами по себе не являются согласием на обработку персональных данных. Когда обработка основана на согласии, оно даётся отдельно: отметкой в поле «Даю согласие на обработку персональных данных» под ссылкой на документ «Согласие на обработку персональных данных» (https://avito.gsoftapi.ru/soglasie). Отметка по умолчанию не проставлена. Иные основания обработки указаны в разделе 6.

2. Несовершеннолетние

2.1. Сервис не предназначен для использования лицами, не достигшими 18 (восемнадцати) лет.

2.2. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. Если Оператору станет известно, что персональные данные были предоставлены несовершеннолетним лицом без согласия законного представителя, такие данные будут удалены в кратчайшие сроки.

3. Определения и термины

3.1. В настоящей Политике используются следующие термины:

• Персональные данные: любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных: любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
• Оператор: лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав данных и совершаемые с ними действия.
• Субъект персональных данных (Пользователь): физическое лицо, чьи персональные данные обрабатываются Оператором в рамках использования Сервиса.
• Согласие субъекта: конкретное, предметное, информированное, сознательное и однозначное выражение воли субъекта персональных данных на обработку его персональных данных, оформленное отдельно от иных документов (часть 1 статьи 9 ФЗ-152).
• Клиент: юридическое лицо или индивидуальный предприниматель, принявший публичную оферту (https://gsoftapi.ru/offer.html); в Оферте он называется Пользователем.
• Профиль: учётная запись физического лица в личном кабинете на avito.gsoftapi.ru (адрес электронной почты и пароль), привязываемая к одному аккаунту amoCRM.
• Сервис: программное обеспечение GSOFT, обеспечивающее интеграцию между платформами Avito и amoCRM, включая виджет amoCRM, личный кабинет и серверную часть.

4. Перечень собираемых персональных данных

4.1. Оператор может собирать и обрабатывать следующие персональные данные Пользователя:

• имя (фамилия и отчество, если Пользователь их сообщил);
• номер контактного телефона;
• адрес электронной почты;
• сведения о компании Пользователя;
• IP-адрес и информация о браузере.

4.2. Оператор не собирает и не хранит данные банковских карт (номер, CVV, срок действия).

4.3. При регистрации и работе в Профиле Оператор обрабатывает:

• адрес электронной почты (служит логином);
• пароль: хранится только в виде хеша;
• имя и номер телефона; имя пользователя Telegram, если Пользователь его указал;
• фото Профиля, если Пользователь его загрузил: изображение 256×256 точек, которое видит только сам Пользователь в личном кабинете;
• идентификатор аккаунта amoCRM, к которому привязан Профиль, и дату привязки;
• даты регистрации и последнего входа;
• сведения о сессиях: IP-адрес, сведения о браузере (строка User-Agent), время входа и срок действия сессии;
• запись о согласии: хеш адреса электронной почты, номер редакции документа «Согласие», дату и время, IP-адрес и сведения о браузере;
• счётчики попыток входа и регистрации: адрес электронной почты и IP-адрес.

4.4. От виджета в amoCRM Оператор получает и хранит сведения о пользователях аккаунта amoCRM Клиента, в том числе идентификатор, имя, логин (адрес электронной почты), группу, роль, признаки «администратор» и «активен», язык, время последнего входа в amoCRM. Эти сведения Оператор обрабатывает по поручению Клиента (раздел 4 Оферты): для работы интеграции (ответственные за сделки, задачи) и для проверки, что Профиль привязывает или отвязывает администратор аккаунта amoCRM. О пользователе, открывшем настройки виджета, Оператор также получает номер телефона и должность; его имя, логин, номер телефона и должность Оператор как оператор использует для связи с Клиентом по работе Сервиса (пункт 4.2 Оферты). Сведения хранятся до удаления данных аккаунта (пункт 7.3).

4.5. Для ответа на обращения и запросы субъектов Оператор обрабатывает сведения из них, в том числе реквизиты документа, удостоверяющего личность, если они указаны.

5. Цели обработки персональных данных

5.1. Оператор обрабатывает персональные данные в следующих целях:

• оказание услуг по интеграции платформ Avito и amoCRM;
• создание и управление сделками, контактами и задачами в amoCRM на основании данных из Авито;
• пересылка сообщений между чатами Авито и amoCRM;
• обработка заказов Авито Доставки и выполнение настроенных действий;
• служебные уведомления о статусе подписки, изменениях в работе Сервиса и ошибках;
• оказание технической поддержки;
• улучшение качества Сервиса и устранение технических неполадок;
• выполнение обязательств перед Клиентом в рамках договора-оферты;
• регистрация, вход и работа в личном кабинете на avito.gsoftapi.ru, привязка Профиля к одному аккаунту amoCRM;
• связь с Пользователем по вопросам работы Сервиса по электронной почте и телефону, указанным в Профиле;
• узнавание Пользователя, когда он сам пишет в поддержку через Telegram (Оператор первым в Telegram не пишет);
• защита Профиля: ограничение числа попыток входа;
• подтверждение получения согласия и его отзыва (часть 3 статьи 9 ФЗ-152);
• рассмотрение обращений и запросов субъектов персональных данных.

5.2. Оператор не направляет рекламу по телефону, электронной почте и в мессенджерах. Если такая рассылка появится, она будет вестись только при отдельном предварительном согласии адресата (статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).

6. Правовые основания обработки

6.1. Правовые основания обработки:

• согласие субъекта персональных данных (пункт 1 части 1 статьи 6 ФЗ-152): для данных Профиля, включая сведения о сессиях и запись о согласии (пункт 4.3), до удаления Профиля или отзыва согласия. Согласие даётся отдельным документом в порядке пункта 1.5;
• исполнение договора, стороной которого является субъект персональных данных (пункт 5 части 1 статьи 6 ФЗ-152): если Пользователь сам является стороной Оферты как индивидуальный предприниматель;
• осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъекта (пункт 7 части 1 статьи 6 ФЗ-152): имя, адрес электронной почты, номер телефона, сведения о компании и переписка представителей и работников Клиента, не являющихся стороной Оферты, которые они сообщают при установке виджета, подключении аккаунтов Авито и обращении в поддержку (пункт 4.1), и сведения о пользователе amoCRM, открывшем настройки виджета (пункт 4.4), для исполнения Оферты, служебных уведомлений и ответов на обращения; IP-адрес и сведения о браузере при обращении к Сервису, для его защиты и устранения неполадок; запись о согласии после удаления Профиля или отзыва согласия, чтобы доказать его получение (часть 3 статьи 9 ФЗ-152); счётчики попыток входа и регистрации (адрес электронной почты, IP-адрес) для защиты от подбора паролей;
• поручение Клиента (часть 3 статьи 6 ФЗ-152): для данных в сообщениях, контактах, сделках и заказах Клиента и для сведений о пользователях аккаунта amoCRM Клиента (пункт 4.4), в том числе для проверки прав администратора при привязке Профиля (раздел 4 Оферты);
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (пункт 2 части 1 статьи 6 ФЗ-152), в том числе ответы на обращения и запросы субъектов (статьи 14, 20 и 21 ФЗ-152).

7. Способы обработки персональных данных и сроки

7.1. Обработка персональных данных смешанная: автоматизированная, с использованием средств вычислительной техники, и без средств автоматизации (звонки и переписка поддержки).

7.2. При сборе персональных данных граждан Российской Федерации их запись, систематизация, накопление, хранение, уточнение и извлечение ведутся с использованием базы данных, находящейся на территории Российской Федерации (часть 5 статьи 18 ФЗ-152), на сервере, который Оператор арендует у ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525). Резервные копии базы хранятся в зашифрованном виде не дольше 30 дней; снимок диска сервера за последние сутки хранится у того же провайдера; обращения по электронной почте хранятся у почтового сервиса Mail.ru (ящик ne49@bk.ru). По условиям договора провайдер не обрабатывает данные Оператора и не является лицом, обрабатывающим их по поручению Оператора. Кроме Оператора, к данным имеют доступ только лица, указанные в разделе 8.

7.3. Сроки обработки и хранения:

• данные Профиля: до отзыва согласия; Профиль, в который не входили 3 года подряд, удаляется;
• сведения о сессиях: до выхода из кабинета или 30 дней без обращений к кабинету, но не более 90 дней со входа по паролю; список последних входов (время, IP-адрес, сведения о браузере): 90 дней;
• счётчики попыток входа и регистрации: только в памяти сервера, в течение окна подсчёта (от 15 минут до часа);
• запись о согласии: 3 года после удаления Профиля или отзыва согласия; после удаления в ней остаются только хеш адреса электронной почты, номер редакции, дата и время;
• обращения и запросы субъектов и ответы на них: 3 года после ответа;
• технические журналы Сервиса (журнал приложения, системный журнал сервера, журнал веб-сервера с IP-адресом и сведениями о браузере): не более 30 дней;
• журнал действий интеграции по аккаунтам Авито Клиента: 180 дней (данные по поручению Клиента);
• данные интеграции Клиента (подключения аккаунтов Авито, переписка, заказы, настройки) и сведения о пользователях аккаунта amoCRM (пункт 4.4): в течение срока действия подписки и 30 дней после её окончания, после чего уничтожаются. Удаление виджета само по себе данные не уничтожает, чтобы при повторной установке сохранились настройки и оплаченный срок; по требованию Клиента данные уничтожаются в срок не более 30 дней;
• остальные данные Пользователя: в течение срока использования Сервиса и не более 30 дней после его прекращения, если иной срок не установлен законом.

7.4. По достижении целей обработки или при отзыве согласия персональные данные уничтожаются, в том числе в резервных копиях, в срок, не превышающий 30 дней (части 4 и 5 статьи 21 ФЗ-152). Если уничтожить данные в этот срок невозможно, Оператор блокирует их, уничтожает в срок не более шести месяцев (часть 6 статьи 21 ФЗ-152) и сообщает об этом субъекту.

7.5. Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

7.6. Файлы cookie и хранилище браузера. Личный кабинет на avito.gsoftapi.ru использует одну cookie: cookie сессии, имя которой начинается с «__Host-». Она нужна, чтобы кабинет узнавал вошедшего Пользователя, содержит случайный идентификатор сессии, недоступна скриптам страницы (HttpOnly), передаётся только по HTTPS (Secure) и только на avito.gsoftapi.ru, действует до выхода из кабинета или 30 дней без обращений к кабинету, но не более 90 дней со входа по паролю. Кабинет внутри amoCRM (cabinet.gsoftapi.ru) cookie не ставит. В обоих кабинетах рабочий токен кабинета (действует до 24 часов) хранится в хранилище вкладки (sessionStorage) до её закрытия или выхода. В хранилище браузера (localStorage) на устройстве Пользователя сохраняются тема оформления, отметки о скрытых подсказках, черновики ответов на отзывы, ход фоновых работ кабинета, последние введённые для вызова курьера Авито имя, телефон и адрес и последний адрес самовывоза; Оператор и Авито получают имя, телефон и адрес только при оформлении вызова курьера или самовывоза. При выходе из Профиля кабинет стирает эти записи на этом устройстве, а после удаления Профиля при следующем открытии кабинета. Фотографии из отзывов и объявлений Авито браузер Пользователя загружает напрямую с серверов Авито. Счётчики посещаемости, рекламные пиксели, сторонние скрипты, шрифты и капчи на сайтах Сервиса не используются.

8. Передача персональных данных третьим лицам

8.1. Оператор передаёт персональные данные третьим лицам исключительно в следующих случаях:

• amoCRM (ООО «Амоцрм»): передача данных контактов, сделок и сообщений для обеспечения работы интеграции. Обработка осуществляется в соответствии с политикой конфиденциальности amoCRM;
• Avito (ООО «КЕХ еКоммерц»): передача сообщений и запросов к API Авито для обеспечения работы интеграции. Обработка осуществляется в соответствии с политикой конфиденциальности Авито;
• администраторы аккаунта amoCRM, к которому привязан Профиль: в кабинете внутри amoCRM им показывается адрес электронной почты Профиля в замаскированном виде (например, iv***@mail.ru); администратор может отвязать Профиль от аккаунта. Задать Профилю новый пароль не могут ни администратор, ни поддержка Оператора: новый пароль задаётся только по ссылке, которую Оператор присылает на адрес электронной почты Профиля;
• по требованию уполномоченных государственных органов в случаях, предусмотренных законодательством Российской Федерации.

8.2. Оператор не продаёт и не передаёт персональные данные третьим лицам в коммерческих целях.

8.3. Трансграничная передача персональных данных не осуществляется.

8.4. Официальные каналы поддержки: электронная почта ne49@bk.ru и телефон +7 952 666-98-78. Если Пользователь по своему выбору пишет Оператору в Telegram или WhatsApp, переписку хранят операторы этих мессенджеров за пределами Российской Федерации на своих условиях. Оператор не пересылает в мессенджеры персональные данные из Сервиса и Профиля, в том числе данные покупателей Клиента, не отвечает в мессенджерах на запросы о персональных данных и первым в мессенджерах не пишет; такие запросы принимаются по электронной почте ne49@bk.ru.

8.5. Имя пользователя Telegram, указанное в Профиле, в Telegram не передаётся: Оператор хранит его в своей базе в Российской Федерации, чтобы узнать Пользователя, когда тот сам напишет в поддержку, и первым в Telegram не пишет.

8.6. Лиц, обрабатывающих персональные данные по поручению Оператора, нет. При их появлении Оператор указывает их в Политике и в тексте согласия до начала передачи.

9. Права субъекта персональных данных

9.1. Субъект персональных данных имеет право:

• получать информацию об обработке своих персональных данных (статья 14 ФЗ-152);
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (статья 14 ФЗ-152);
• отозвать согласие на обработку персональных данных (часть 2 статьи 9 ФЗ-152);
• требовать удаления персональных данных (статья 21 ФЗ-152);
• требовать прекращения обработки своих персональных данных (часть 5.1 статьи 21 ФЗ-152); удалить Профиль по уведомлению на ne49@bk.ru;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных, Роскомнадзор (статья 17 ФЗ-152).

9.2. Обращение или запрос направляется на ne49@bk.ru. Обращение с адреса электронной почты Профиля Оператор рассматривает без дополнительных сведений. Запрос, направленный иначе, должен содержать сведения, предусмотренные частью 3 статьи 14 ФЗ-152: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (для Профиля: адрес электронной почты и поддомен привязанного аккаунта amoCRM); подпись субъекта или его представителя. Запрос в форме электронного документа подписывается электронной подписью. Посмотреть и исправить имя, номер телефона и имя пользователя Telegram, загрузить и удалить фото Профиля Пользователь может в кабинете без запроса; удалить Профиль можно по уведомлению на ne49@bk.ru.

9.3. Сроки реагирования Оператора:

• сведения об обработке персональных данных предоставляются в течение 10 (десяти) рабочих дней с даты получения запроса; срок может быть продлён, но не более чем на 5 (пять) рабочих дней, с направлением Пользователю мотивированного уведомления (часть 1 статьи 20 ФЗ-152);
• при подтверждении факта неточности персональных данных Оператор уточняет их в течение 7 (семи) рабочих дней со дня представления подтверждающих сведений и снимает блокирование (часть 2 статьи 21 ФЗ-152);
• при выявлении неправомерной обработки Оператор прекращает её в срок, не превышающий 3 (трёх) рабочих дней; если обеспечить правомерность обработки невозможно, уничтожает персональные данные в срок, не превышающий 10 (десяти) рабочих дней, и уведомляет об этом Пользователя (часть 3 статьи 21 ФЗ-152);
• требование о прекращении обработки исполняется в срок, не превышающий 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением (часть 5.1 статьи 21 ФЗ-152), кроме случаев, когда обработка допускается без согласия по пунктам 2 – 11 части 1 статьи 6 ФЗ-152;
• по достижении цели обработки данные уничтожаются в срок, не превышающий 30 дней (часть 4 статьи 21 ФЗ-152).

9.4. Если запрос касается данных, которые Оператор обрабатывает по поручению Клиента, Оператор в срок не более 3 рабочих дней пересылает его Клиенту как оператору этих данных и сообщает об этом заявителю.

10. Меры по защите персональных данных

10.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.

10.2. К применяемым мерам защиты относятся:

• шифрование конфиденциальных данных (секретов API, токенов доступа) с использованием алгоритма AES-256-GCM;
• передача данных по защищённому протоколу HTTPS (TLS);
• разграничение доступа: к данным Сервиса имеет доступ только Оператор; администраторы аккаунта amoCRM получают доступ к данным Профиля только в объёме пункта 8.1;
• пароли Профилей хранятся только в виде хеша, вычисленного алгоритмом scrypt с солью; токены сессий хранятся в базе в виде хеша;
• cookie сессии с атрибутами HttpOnly, Secure, SameSite=Lax;
• ограничение числа попыток входа и регистрации для одного адреса электронной почты и одного IP-адреса;
• адреса электронной почты в технических журналах записываются маской;
• хранение паролей и секретов в изолированном окружении, недоступном из исходного кода;
• регулярное резервное копирование данных;
• автоматическое удаление устаревших данных (журналов, обработанных вебхуков);
• ограничение сетевого доступа к базе данных: подключение только с сервера приложения;
• авторизация пользователей личного кабинета на avito.gsoftapi.ru проводится информационной системой Оператора, отвечающей требованиям о защите информации статьи 16 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; её владелец является гражданином Российской Федерации, не имеющим гражданства другого государства (пункт 4 части 10 статьи 8 того же закона). Вход через иностранные сервисы не применяется.

10.3. При неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов, Оператор с момента выявления инцидента уведомляет Роскомнадзор: в течение 24 часов об инциденте, его предполагаемых причинах, предполагаемом вреде, принятых мерах и о лице, уполномоченном на взаимодействие с Роскомнадзором; в течение 72 часов о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (часть 3.1 статьи 21 ФЗ-152). Если инцидент затрагивает данные, обрабатываемые по поручению Клиента, Оператор незамедлительно уведомляет Клиента как оператора этих данных и передаёт ему сведения, необходимые для уведомления Роскомнадзора.

11. Порядок отзыва согласия на обработку персональных данных

11.1. Пользователь вправе в любой момент отозвать согласие уведомлением на ne49@bk.ru.

11.2. Отзыв направляется с адреса электронной почты Профиля. Если отзыв отправлен с другого адреса, Оператор в течение 3 рабочих дней просит подтвердить, что Профиль принадлежит отправителю, и считает отзыв полученным с даты его поступления. Указывать в отзыве иные сведения не обязательно.

11.3. После отзыва Профиль, его сессии и связанные с ним данные удаляются в срок, не превышающий 30 дней с даты получения отзыва (часть 5 статьи 21 ФЗ-152). В резервных копиях данные уничтожаются в срок, указанный в пункте 7.4. После отзыва Оператор хранит только запись о согласии в объёме и в течение срока, указанных в пункте 7.3, на основании пункта 7 части 1 статьи 6 ФЗ-152 (часть 2 статьи 9 ФЗ-152).

11.4. Отзыв согласия на обработку данных Профиля прекращает вход в личный кабинет на avito.gsoftapi.ru, но не прекращает работу интеграции в аккаунте amoCRM: кабинет внутри amoCRM продолжает работать, договор-оферта прекращается только в порядке раздела 10 Оферты.

12. Заключительные положения

12.1. Политика вступает в силу с момента размещения по адресу https://gsoftapi.ru/privacy.html. Ссылка на неё размещена на каждой странице, где собираются персональные данные, в том числе на страницах регистрации, входа и Профиля на avito.gsoftapi.ru.

12.2. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по указанному адресу. Дата редакции указывается в начале документа.

12.3. При изменении целей обработки или состава данных, обработка которых основана на согласии, Оператор запрашивает новое согласие. Продолжение использования Сервиса таким согласием не является.

12.4. По всем вопросам, связанным с обработкой персональных данных, Пользователь может обратиться к Оператору: