Политика конфиденциальности

Обновлено: 03.11.2026

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса MP Index (далее — «Сервис»), доступного по адресу mp-index.ru, в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператором персональных данных является (), ОГРН , ИНН , юридический адрес: (далее — «Оператор»). Контакты по вопросам обработки персональных данных: электронная почта info@mpindex.ru, телефон . Ответственный за организацию обработки персональных данных: .

Оператор включён в реестр операторов, осуществляющих обработку персональных данных (Роскомнадзор): регистрационный номер от .

Термины, используемые в Политике:

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие с персональными данными: сбор, запись, хранение, изменение, использование, передача, удаление.
• Пользователь — физическое лицо, зарегистрировавшее личный кабинет в Сервисе либо посетившее его публичные страницы (главную, страницу входа, регистрации, настоящую Политику).
• Cookie — небольшой фрагмент данных, сохраняемый браузером Пользователя по инициативе Сервиса.

2. Перечень обрабатываемых персональных данных

Оператор обрабатывает только те данные, которые перечислены ниже — без сбора «любых иных» данных сверх этого списка:

• Данные учётной записи — логин, полное имя, электронная почта (если указана при регистрации), хэш пароля.
• Источник регистрации - при регистрации в учетной записи сохраняются домен сайта, с которого вы впервые перешли на Сервис, UTM-метки этой ссылки, первая открытая страница и время перехода, а также client_id Яндекс.Метрики. До регистрации эти сведения хранятся в вашем браузере в cookie mpx_ft (до 90 дней) и передаются Оператору только вместе с формой регистрации. Используются, чтобы оценивать, какие каналы приводят пользователей в Сервис.
• Данные API Ozon — предоставленные вами для каждого подключённого магазина (раздел «Магазины» личного кабинета) Client-Id и API-ключ Ozon Seller API, а также, при подключении, ключи Ozon Performance API — используются исключительно для запроса ваших данных о продажах и рекламных кампаниях соответствующего магазина из вашего личного кабинета Ozon. При наличии нескольких магазинов их ключи хранятся и используются независимо друг от друга.
• Файлы персонализации кабинета — загруженные по желанию аватар и логотип (изображения), а также указанное произвольное название бренда для интерфейса кабинета.
• Данные мессенджеров (Telegram, MAX) — при подключении Telegram- и/или MAX-уведомлений: идентификатор чата и имя пользователя (chat_id, username) в соответствующем мессенджере, которые Telegram или MAX передают нам в момент подтверждения подключения по одноразовому коду. Оба канала подключаются и отключаются независимо друг от друга.
• Данные об оплате — при оплате модулей или тарифа: электронная почта для формирования кассового чека и статус платежа. Данные банковской карты Оператор не получает и не хранит — оплата целиком проходит на стороне платёжного провайдера ЮKassa.
• Данные обращения в чат на сайте: если вы пишете в чат на публичных страницах Сервиса без регистрации: электронная почта (обязательно, для ответа), имя (по желанию), текст сообщений, страница и источник перехода (включая UTM-метки), IP-адрес и данные браузера, а также cookie с идентификатором переписки (mpx_gchat), по которому окно чата показывает вашу переписку в том же браузере.
• Данные продавцов, которым Оператор пишет в Telegram - если Оператор пишет вам личное сообщение в Telegram в ответ на ваш публичный комментарий о работе на маркетплейсе: имя пользователя и имя в Telegram, ссылка на этот публичный комментарий, текст переписки с Оператором и отметка, заходили ли вы по ссылке из сообщения в демо-кабинет или регистрировались. Сообщения отправляются вручную настроенной программой с аккаунта Оператора, поштучно; если вы ответите, что писать не нужно, Оператор больше не пишет.
• IP-адрес и технические данные браузера — при посещении публичных страниц Сервиса (главная, вход, регистрация, настоящая Политика): IP-адрес, регион, операционная система, браузер, тип устройства, источник перехода (включая UTM-метки), а также обезличенный идентификатор посетителя (client_id куки Яндекс.Метрики) — используется, чтобы отличать повторные визиты одного и того же посетителя от разных посетителей в рамках статистики (подробнее — раздел 10).
• Журнал действий в кабинете — для авторизованных пользователей: какие страницы/отчёты Сервиса и когда вы посещали, какие действия выполняли (запуск синхронизации, выгрузка отчета, генерация AI-отчета, сохранение себестоимости, налоговых настроек и правил репрайсинга, переход к оплате), какие рекомендации Сервиса были вам показаны, открыты или отмечены выполненными, какие неподключенные разделы вы открывали. Содержимое отчетов, цифры вашего магазина и введенные вами значения в журнал не записываются — только факт действия, его вид и время. Используется для внутренней статистики использования функций.

Оператор не использует технологии browser fingerprinting (отпечаток устройства по canvas/WebGL/шрифтам/аудио и т.п.) и не собирает пароль от вашего личного кабинета Ozon.

3. Цели обработки персональных данных

Формулировки вида «для улучшения сервиса» без конкретики Оператор не использует — цель обработки указана отдельно для каждой категории данных в таблице выше.

4. Правовые основания обработки

Обработка персональных данных осуществляется на следующих правовых основаниях, предусмотренных ст. 6 152-ФЗ:

• Согласие субъекта персональных данных (ч. 1 п. 1 ст. 6) — для данных учётной записи, данных мессенджеров (Telegram, MAX), данных обращения в чат на сайте (согласие дается отдельной отметкой в окне чата перед первой отправкой), аватара/логотипа и IP-адреса/технических данных браузера. Согласие оформляется отдельным чекбоксом при регистрации (раздел 12) и баннером согласия на использование cookie при первом посещении сайта.
• Исполнение договора, стороной которого является субъект персональных данных (ч. 1 п. 5 ст. 6) — для данных API Ozon и данных об оплате, обработка которых необходима для оказания вам услуг Сервиса на условиях, которые вы приняли при регистрации/оплате.
• Осуществление законных интересов Оператора (ч. 1 п. 7 ст. 6), не нарушающих права и свободы субъекта персональных данных, — для журнала действий в кабинете (развитие продукта), выявления подозрительной активности на публичных страницах (защита Сервиса) и данных продавцов, которым Оператор пишет в Telegram (ответ на публично размещенный вами комментарий и учет переписки).

5. Сроки хранения персональных данных

6. Передача персональных данных третьим лицам

Оператор не передаёт и не продаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных законодательством РФ, а также следующих сервисов, необходимых для работы Сервиса:

• Яндекс.Метрика (ООО «ЯНДЕКС», Российская Федерация) — веб-аналитика публичных страниц: счётчик на страницах Сервиса и построчная выгрузка визитов с IP-адресом через Logs API (раздел 10);
• ЮKassa (ООО НКО «ЮMoney») — обработка оплаты модулей/тарифа: передаются электронная почта и сумма платежа для формирования кассового чека;
• Telegram (Telegram FZ-LLC) — доставка уведомлений через Telegram Bot API: передаётся текст уведомления пользователям, самостоятельно подключившим эту функцию (см. раздел 13 о трансграничном характере этой передачи). Уведомления администратору Сервиса о действиях пользователей и посетителей сайта (регистрация, вход, оплата, сообщения в чат и поддержку) через Telegram не направляются - только через MAX и по электронной почте. Уведомления реферальным партнерам передаются в Telegram без персональных данных пользователей: электронная почта, логин и имя в них скрыты;
• MAX (российский мессенджер MAX) — доставка уведомлений через MAX Bot API: передаётся текст уведомления пользователям, самостоятельно подключившим эту функцию. В отличие от Telegram эта передача не является трансграничной (раздел 13).
• Beget (ООО «Бегет», Российская Федерация) - отправка и прием электронной почты Сервиса (подтверждения, уведомления, ответы в чате и в поддержке): передаются адрес электронной почты получателя и текст письма;
• Anthropic PBC (США) - формирование текста AI-рекомендаций в личном кабинете: по вашему явному запросу (нажатие кнопки «Получить рекомендации от ИИ» в разделе «Инсайты и рекомендации» и в других отчетах; включение «AI-вывода недели» на странице «Итоги недели» - тогда раз в неделю, пока вы его не отключите там же), а при оплаченном тарифе с модулем «AI-рекомендации» также автоматически раз в неделю для разбора прошедшей недели; при тарифе или модуле «AI-аудит магазина» - автоматически раз в месяц и по нажатию кнопки «Сделать аудит» на странице «Аудит магазина» для разбора прошлого месяца. Передаются уже обезличенные агрегированные показатели вашего магазина (выручка, заказы, прибыль, доля товаров по категориям, найденные проблемы и их оценки, отклонения от сезонности и т.п.) без каких-либо персональных данных о вас или ваших покупателях.

7. Права субъекта персональных данных

Вы вправе в любой момент:

• запросить информацию о том, какие ваши персональные данные обрабатываются Оператором;
• потребовать уточнения, исправления или дополнения неточных персональных данных;
• потребовать удаления своих персональных данных, за исключением случаев, когда их хранение обязательно по закону;
• отозвать согласие на обработку персональных данных полностью или в части (например, только на маркетинговые рассылки, оставив обработку, необходимую для работы кабинета) — отзыв согласия не влияет на законность обработки, осуществлённой Оператором на основании согласия до момента его отзыва;
• обратиться с жалобой в Роскомнадзор, если считаете, что ваши права как субъекта персональных данных нарушены;
• обратиться в суд за защитой своих прав, в том числе с требованием о возмещении убытков и (или) компенсации морального вреда, причинённых нарушением порядка обработки персональных данных (ст. 17 152-ФЗ).

Для реализации этих прав обратитесь по адресу info@mpindex.ru. Оператор рассматривает такое обращение и направляет мотивированный ответ в срок, не превышающий 30 (тридцати) дней с даты получения обращения, если иной (более короткий) срок не установлен 152-ФЗ для конкретного вида обращения (ст. 14 152-ФЗ). Отдельные действия можно выполнить самостоятельно в личном кабинете без обращения к Оператору: отключить Telegram- и/или MAX-уведомления (удаляет сохранённые chat_id/username соответствующего мессенджера), удалить загруженный аватар/логотип, отписаться от маркетинговых писем.

8. Меры по обеспечению безопасности персональных данных

Оператор применяет следующие организационные и технические меры защиты персональных данных:

• соединение с сайтом Сервиса защищено по протоколу HTTPS (TLS-сертификат);
• пароли учётных записей хранятся исключительно в виде необратимого криптографического хэша, а не в открытом виде;
• данные каждого пользователя изолированы на уровне каждого запроса к базе данных и доступны только ему в рамках его учётной записи; построчный журнал визитов с IP-адресами (раздел 10) доступен исключительно администратору Сервиса;
• формы, изменяющие данные аккаунта (вход, смена пароля, ключи API Ozon и др.), защищены от межсайтовой подделки запроса (CSRF-токен);
• попытки подбора пароля при входе и восстановлении пароля ограничены по частоте (rate limiting) в привязке к конкретной учётной записи;
• публичные страницы (до входа в систему) защищены от автоматизированного сканирования и известных шаблонов вредоносных запросов;
• Оператор проводит регулярные внутренние проверки безопасности Сервиса и устраняет выявленные недостатки.

Должностные лица Оператора, виновные в нарушении требований законодательства Российской Федерации о персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации (ст. 24 152-ФЗ).

9. Порядок уничтожения персональных данных

По достижении цели обработки или истечении срока хранения (раздел 5) персональные данные уничтожаются либо обезличиваются одним из следующих способов:

• Автоматически — построчный журнал визитов с IP-адресами (раздел 10) удаляется из базы данных ежедневным регламентным заданием по истечении 12 месяцев с даты визита, без участия администратора; тем же заданием удаляются записи журнала действий и журнала рекомендаций в кабинете старше 12 месяцев и стирается IP-адрес в записях о посещении страниц кабинета старше 12 месяцев;
• По вашему запросу — при обращении на info@mpindex.ru с требованием удалить учётную запись Оператор удаляет данные учётной записи и связанные с ней персональные идентификаторы в течение 30 дней с момента обращения, за исключением данных, хранение которых обязательно по законодательству РФ (например, сведения об оплате в пределах установленного законом срока);
• Самостоятельно — отключение Telegram- и/или MAX-уведомлений или удаление аватара/логотипа в личном кабинете удаляет соответствующие данные немедленно.

10. Файлы cookie и веб-аналитика

Сервис использует файлы cookie двух видов:

• Технически необходимые cookie — для авторизации, сохранения настроек интерфейса и CSRF-защиты форм, а также cookie mpx_dev со случайным идентификатором браузера: при входе и регистрации он связывается с учетной записью (хранится только его хеш), чтобы один человек не получал пробный период повторно на новую учетную запись. Без них Сервис не может корректно работать, поэтому их использование не требует отдельного согласия и не отключается баннером cookie.
• Аналитические cookie — устанавливаются счётчиком Яндекс.Метрики для сбора статистики посещений, а также cookie mpx_ft с источником первого перехода на сайт (раздел 2, «Источник регистрации»). Их использование требует согласия, которое запрашивается баннером при первом визите на сайт: счетчик Яндекс.Метрики запускается и cookie mpx_ft записывается только после нажатия «Принимаю». Кнопка «Отказаться» или закрытие баннера означают отказ, в этом случае аналитические cookie не устанавливаются, а ранее установленные удаляются. Сделанный выбор хранится в cookie mpx_consent 12 месяцев; изменить его или отозвать согласие можно в любой момент по ссылке «Настройки cookie» внизу страниц сайта или удалив cookie в настройках браузера. Отказ от аналитических cookie не ограничивает работу Сервиса.

Веб-аналитика Яндекс.Метрики работает в двух формах:

• Обезличенная статистика на стороне Яндекса — счётчик собирает обезличенные данные о посещениях (просмотренные страницы, переходы), включая функцию «Карта кликов». Функция «Вебвизор» (запись действий на странице) включена только на публичных страницах сайта (главная, блог, калькуляторы, тарифы, регистрация); в личном кабинете она отключена, поэтому содержимое кабинета (цифры и товары вашего магазина) в Яндекс не передается. Эти данные обрабатываются оператором сервиса Яндекс.Метрика и доступны Оператору только в виде агрегированных отчётов (например, распределение визитов по региону, ОС, браузеру, устройству, источнику перехода) — без сопоставления с конкретным посетителем.
• Построчный журнал визитов с IP-адресом на стороне Оператора — Оператор регулярно выгружает из Яндекс.Метрики (через Logs API) построчные данные о визитах, включая IP-адрес, дату и время визита, регион, ОС, браузер, тип устройства, источник перехода (включая UTM-метки) и client_id — идентификатор посетителя из куки Яндекс.Метрики, позволяющий сгруппировать визиты одного и того же посетителя за период и увидеть, сколько раз он возвращался на сайт. client_id, сохраненный при регистрации, позволяет сопоставить визиты до регистрации с учетной записью. IP-адрес по правоприменительной практике Роскомнадзора относится к персональным данным, поэтому такая выгрузка рассматривается как их обработка, а не обезличенной статистики.

11. Локализация обработки персональных данных

Первоначальный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных пользователей — граждан Российской Федерации осуществляются с использованием баз данных, физически расположенных на территории Российской Федерации, в соответствии с ч. 5 ст. 18 152-ФЗ. Используемый сервис веб-аналитики (Яндекс.Метрика) — российское юридическое лицо, обрабатывающее данные на серверах, расположенных в РФ.

12. Согласие на обработку персональных данных

Согласие на обработку персональных данных оформляется отдельным действием и не объединено с принятием иных условий использования Сервиса: при регистрации вам предлагается отдельный, не отмеченный заранее чекбокс «Я согласен на обработку персональных данных…», установка которого является обязательным условием регистрации. Согласие на получение маркетинговых рассылок запрашивается отдельным, также не отмеченным заранее чекбоксом и не является обязательным для использования Сервиса.

Устанавливая чекбокс согласия на обработку персональных данных в форме регистрации, вы подтверждаете, что ознакомлены с условиями настоящей Политики и даёте согласие на обработку ваших персональных данных на изложенных в ней условиях. Согласие действует в течение лет с момента предоставления либо до момента отзыва (раздел 7).

13. Трансграничная передача персональных данных

Оператор не осуществляет систематическую трансграничную передачу персональных данных. Единственный случай, при котором данные (текст уведомления и идентификатор чата Telegram) могут обрабатываться иностранным лицом, — это самостоятельное подключение вами Telegram-уведомлений: сообщения доставляются через Telegram Bot API, оператором которого является Telegram FZ-LLC (иностранная компания). Эта передача происходит только по вашей инициативе и только в отношении пользователей, включивших данную функцию в личном кабинете; отключить её можно в любой момент (раздел 7). Уведомления администратору Сервиса о действиях пользователей и посетителей сайта через Telegram не направляются: они доставляются только через мессенджер MAX и по электронной почте. Уведомления реферальным партнерам через Telegram персональных данных пользователей не содержат: электронная почта, логин и имя в них скрыты. Мессенджер MAX — российский сервис, поэтому передача аналогичных данных при подключении MAX-уведомлений трансграничной не является. Сервис Anthropic PBC (США, раздел 6) также расположен за пределами РФ, однако не образует трансграничной передачи персональных данных: ему передаются только обезличенные агрегированные показатели магазина, не позволяющие идентифицировать физическое лицо. Оператор соблюдает требования законодательства РФ об уведомлении Роскомнадзора о трансграничной передаче персональных данных в случаях, когда она носит систематический характер.