1. Кто мы#
Fufills («Платформа», «мы») — B2B-платформа фулфилмента наложенным платежом, управляемая Fufills. Мы предоставляем продавцам складирование, доставку последней мили, подтверждение колл-центром с ИИ-поддержкой, инкассацию COD и расчёты в более чем 16 странах Латинской Америки и региона Ближний Восток и Северная Африка.
Эта политика объясняет, как мы обрабатываем Персональные данные, когда: (а) вы посещаете fufills.com, drop.fufills.com или любой связанный поддомен; (б) регистрируете или ведёте аккаунт продавца на Платформе; (в) мы доставляем заказы от имени продавца, для которого вы — конечный покупатель; (г) взаимодействуете с нами по email, WhatsApp или телефону.
Во всех взаимодействиях с аккаунтом продавца Fufills является *оператором (контролером)* данных. Для данных заказов конечного покупателя (вашего покупателя) Fufills действует как *обработчик (процессор)*, а оператором является продавец — отдельное Соглашение об обработке данных (DPA) регулирует эти отношения.
2. Какие данные мы собираем#
Мы собираем только то, что необходимо для предоставления сервиса, безопасной работы и соблюдения законодательства.
Данные аккаунта
- Идентификация — имя, фамилия, наименование бизнеса, страна операций.
- Контакт — рабочий email, номер телефона (с кодом страны).
- Учётные данные — пароль (хранится как хеш bcrypt; открытый текст не виден), опциональный секрет TOTP 2FA (зашифрован при хранении), коды восстановления (хешированы).
- Артефакты верификации — IP-адрес, user-agent, операционная система, приблизительная геолокация (город / страна) в момент верификации email или сброса пароля.
Бизнес- и онбординг-данные
- Профиль оператора — годы опыта в e-commerce, стадия COD (исследование / запуск рекламы / запуск / масштабирование), диапазон ежемесячных заказов, текущий confirmation rate, текущий delivery rate, диапазон средней цены.
- Рыночный интент — страны, в которые вы сейчас отправляете, ваша самая сильная страна, целевая страна для роста.
- Предпочтение трека — Seller (собственные SKU), Drop (наш каталог), оба или не определились.
- Боли и цели на 90 дней, выбранные на шаге квалификации.
- Текущий стек — Shopify, WooCommerce, внутренняя команда, другой COD-партнёр или ничего.
- Канал привлечения — как вы нас нашли (YouTube, Instagram, рекомендация, платная реклама и т.д.).
Данные заказов и фулфилмента (обрабатываем как процессор по поручению продавца)
- Имя конечного покупателя, номер телефона и адрес доставки — необходимы для подтверждения и доставки.
- Купленный товар, количество, заявленная стоимость, валюта.
- Транскрипты звонков подтверждения колл-центра (с ИИ-поддержкой) — используются для расчёта confirmation rate, улучшения качества товара и разрешения споров.
- События статуса доставки (в пути, попытка, доставлено, возврат, RTO).
- Сумма расчёта, валюта, метод выплаты, строки счёта.
Технические данные и данные безопасности
- Cookies — первичная сессионная cookie (нужна для входа), анти-бот cookies Cloudflare, опциональные аналитические cookies (устанавливаются только после явного согласия в баннере).
- Токен Cloudflare Turnstile — для различения людей и ботов на эндпоинтах регистрации и сброса пароля. Cloudflare получает URL запроса и отпечаток окружения браузера. Содержимое формы не передаётся.
- Сигналы honeypot и времени заполнения публичных форм (регистрация, контакт) — отбрасываются после валидации запроса.
- Отчёты об ошибках Sentry — при падении страницы захватываем стектрейс, URL, анонимизированный ID пользователя и браузер. Тела запросов вырезаются перед отправкой.
- Аудит-лог — действия, важные для безопасности (вход, смена пароля, смена email, смена метода выплат, действия админа) с меткой времени, актором, IP и user-agent. Хранится 7 лет для реагирования на инциденты и форензики.
Коммуникации и маркетинг
- Сообщения WhatsApp Business (подробно в §4 ниже).
- Email — транзакционные (верификация, сброс пароля, счета, уведомления о выплатах) и продуктовые обновления (можно отписаться от продуктовых обновлений, не теряя транзакционные).
- Уведомления в приложении и тикеты поддержки.
- Параметры UTM и referrer при регистрации — для атрибуции маркетинговых каналов.
3. Почему мы их используем (и правовое основание)#
GDPR и LGPD требуют указать правовое основание для каждой цели обработки. CCPA и законы MENA требуют указать бизнес-цель. Мы делаем и то, и другое.
| Цель | Правовое основание (GDPR / LGPD) | Бизнес-цель (CCPA) |
|---|---|---|
| Предоставить сервис COD-фулфилмента (аккаунт, заказы, расчёты). | Исполнение договора, принятого при регистрации. | Предоставление запрошенного потребителем сервиса. |
| Эксплуатация подтверждения колл-центра с ИИ для заказов конечного покупателя. | Исполнение договора между вами и конечным покупателем; DPA уполномочивает нас как процессора. | Предоставление сервиса. |
| Предотвращение мошенничества, злоупотреблений, захвата аккаунтов (rate limits, honeypot, Turnstile, 2FA, аудит-лог, логирование IP/UA). | Законный интерес в обеспечении безопасной платформы. | Безопасность и обнаружение мошенничества. |
| Соблюдение требований налоговых, финансовых, AML-регуляторов и регуляторов защиты потребителей. | Исполнение юридической обязанности. | Исполнение юридической обязанности. |
| Отправка транзакционных сообщений WhatsApp / email, связанных с вашим аккаунтом или заказами. | Исполнение договора. | Предоставление сервиса. |
| Отправка продуктовых обновлений WhatsApp / email после opt-in. | Ваше согласие (opt-in, отзываемое в любой момент). | Не применяется — на основе согласия. |
| Измерение эффективности рекламы через Meta Pixel + Conversions API. | Ваше согласие через баннер cookies. | Маркетинг (только после opt-in). |
| Внутренняя аналитика, продуктовые исследования, бенчмаркинг (агрегированы и анонимизированы до анализа). | Законный интерес в улучшении сервиса. | Внутренние исследования. |
Где мы опираемся на законный интерес, мы провели оценку законного интереса (LIA) и заключили, что обработка пропорциональна, ожидаема и сбалансирована с вашими правами. Краткое изложение можно запросить по адресу privacy@fufills.com.
4. Сообщения WhatsApp BusinessРаскрытие Meta / WhatsApp BSP#
Fufills использует платформу WhatsApp Business (управляемую Meta Platforms Ireland Ltd. для резидентов ЕЭЗ / Великобритании и Meta Platforms Inc. в остальных регионах) для общения с продавцами, явно давшими opt-in. Этот раздел является нашим формальным раскрытием согласно WhatsApp Business Messaging Policy и Commerce Policy Meta.
Когда и как вы даёте opt-in
- Во время онбординга (Шаг 5 из 5) показывается чётко обозначенная галочка «Писать мне в WhatsApp» рядом с простым описанием того, какие сообщения мы будем отправлять. По умолчанию галочка не установлена.
- При установке галочки и отправке Шага 5 наш сервер фиксирует whatsapp_consent = true и whatsapp_consent_at = NOW(). Мы сохраняем метку времени, IP и user-agent как доказательство согласия.
- В приложении вы можете отозвать согласие в любой момент через Профиль → Уведомления. Отзыв немедленно соблюдается для всех шаблонов.
- Также можно отписаться, ответив STOP, СТОП, BAJA, ARRÊT, إلغاء или ANNULLA на любое наше сообщение. Отписка фиксируется по вашему номеру и сохраняется после удаления аккаунта.
Что мы отправляем (и что не отправляем)
- Сообщения об управлении аккаунтом — приветствие, знакомство с вашим аккаунт-менеджером, напоминания онбординга, коды сброса пароля.
- Сервисные / транзакционные сообщения — подтверждение заказа, обновления статуса доставки заказов, которые мы выполняем для вас, уведомления о выплатах, сводки расчётов, доступность счёта, сбои биллинга.
- Ответы поддержки — когда вы пишете первыми, мы отвечаем в том же треде WhatsApp в нашем окне обслуживания клиентов.
- Продуктовые обновления — запуски функций, расширения по странам, контент Academy. Только после отдельного opt-in в приложении, никогда не смешиваются с транзакционными уведомлениями.
- Мы НЕ отправляем рекламный контент от имени третьих лиц, партнёрские офферы или маркетинг несвязанных продуктов. Мы не используем WhatsApp для холодных рассылок людям, не давшим opt-in.
- Мы не пишем вашим конечным покупателям в WhatsApp в рекламных целях — звонки подтверждения колл-центра используют телефонную сеть, если ваш конечный покупатель отдельно не согласился на WhatsApp-поток подтверждения.
Хранение и передача номера
- Мы храним ваш номер WhatsApp в нашей базе зашифрованным при хранении. Номер передаётся в WhatsApp Business Platform Meta только как конверт сообщения — Meta нужен адрес получателя для доставки.
- Meta обрабатывает содержимое согласно WhatsApp Business Solution Terms и Messaging Policy. Мы не разрешаем Meta использовать ваш номер для рекламных аудиторий. Мы не экспортируем данные сообщений WhatsApp в рекламные платформы.
- При отписке (STOP / переключатель Профиля / отзыв через privacy@fufills.com) мы прекращаем отправку — но Meta сохраняет метаданные доставки согласно своим политикам, которые мы не контролируем.
Шаблоны и 24-часовое окно
- Если вы не писали нам 24 часа, мы можем отправлять только предварительно одобренные шаблоны. Каждый шаблон проходит проверку Meta до активации.
- Внутри 24-часового окна обслуживания клиентов после вашего сообщения мы можем отвечать свободным текстом в рамках темы, которую вы подняли.
- Мы не соединяем ответ поддержки с маркетинговым обращением в том же 24-часовом окне.
5. Meta Pixel + Conversions APIРаскрытие cookies + рекламы#
На маркетинговом сайте fufills.com (не внутри аутентифицированного приложения) мы можем загружать Meta Pixel и параллельно отправлять серверный поток событий через Meta Conversions API. Оба срабатывают ТОЛЬКО после вашего согласия на маркетинговые cookies в баннере.
Что измеряется
- Просмотры страниц, клики по кнопкам, глубина прокрутки на маркетинговых страницах.
- Завершение регистрации (CompleteRegistration).
- Завершение шага онбординга (событие Subscribe, используется для оценки стоимости квалифицированного лида).
- Апгрейды и выплаты (событие Purchase со значением валовой выручки).
Как мы обращаемся с ПДн
- Email и номер телефона, если присутствуют, хешируются SHA-256 перед отправкой в Meta Conversions API. Это рекомендованная Meta настройка для Advanced Matching и ограничивает то, что Meta может узнать о вас.
- Мы никогда не отправляем нехешированные ПДн в Pixel или CAPI.
- Мы никогда не отправляем номера карт, банковские реквизиты или данные конечного покупателя (вашего покупателя) в Meta.
Как отказаться
- Отклонить «Маркетинг» в баннере cookies — Pixel не загружается, события CAPI подавляются.
- Внутри Meta можно управлять активностью на https://www.facebook.com/off_facebook_activity/.
- Использовать сигнал Global Privacy Control (GPC) — мы признаём GPC как opt-out продажи / передачи по CCPA.
7. Субпроцессоры и третьи лица#
Мы консервативны в отношении того, кто касается ваших данных. Перечень ниже является исчерпывающим для категорий получателей. Актуальный список доступен по запросу с privacy@fufills.com — существенные добавления уведомляются за 30 дней клиентам-продавцам по DPA.
| Получатель | Назначение | Где обрабатывается | Гарантия передачи |
|---|---|---|---|
| DigitalOcean LLC | Хостинг приложения и базы данных | ЕС (основной), США (резерв) | SCC ЕС (2021/914) |
| Cloudflare Inc. | CDN, WAF, Turnstile, защита DDoS | Глобальный edge | SCC ЕС + IDTA Великобритании |
| Meta Platforms Ireland Ltd. / Inc. | WhatsApp Business + Pixel + CAPI | ЕЭЗ / США | SCC ЕС + Data Privacy Framework |
| Functional Software, Inc. (Sentry) | Мониторинг ошибок | США | SCC ЕС + DPF |
| Postmark (ActiveCampaign) | Транзакционный email | США | SCC ЕС + DPF |
| Локальные перевозчики последней мили (по странам) | Доставка заказов | Страна доставки | DPA по перевозчикам |
| Локальные операторы колл-центров (по странам) | Подтверждение заказов (где ИИ дополняется людьми) | Страна работы | DPA + NDA по операторам |
| Банковские и платёжные партнёры | Расчёт на ваш банковский счёт | Страна выплаты | Нормативное (банковская тайна) |
| Профессиональные советники (аудиторы, юристы, бухгалтеры) | Уставной аудит + защита в спорах | Страна специалиста | Соглашение о конфиденциальности + профессиональная привилегия |
Мы не продаём и не передаём Персональные данные для кросс-контекстной поведенческой рекламы по CCPA / CPRA. Определение «продажи» в CCPA широкое — даже Meta Pixel может считаться «продажей» или «передачей». Это отключается через баннер cookies или отправкой сигнала GPC.
8. Данные конечного покупателя (вашего покупателя) — Fufills как процессор#
Когда вы отправляете заказ через ваш магазин или Платформу, мы получаем имя, телефон, адрес доставки и содержание заказа вашего покупателя. Для этих данных *продавец* является оператором по GDPR / LGPD; Fufills действует как *процессор*.
Мы будем использовать данные конечного покупателя только для предоставления услуги, запрошенной продавцом — подтверждение колл-центром, отправка, доставка, инкассация COD и итоговый расчёт. Мы не будем заниматься маркетингом к конечным покупателям и не будем использовать их данные для обучения моделей ИИ, продаваемых вне сервиса Fufills.
Наши условия для продавцов включают DPA, отражающее GDPR Ст. 28 и LGPD Ст. 39. Продавцам, обслуживающим потребителей ЕЭЗ / Великобритании / Бразилии, следует опираться на DPA для трансграничных деталей. Подписанное DPA предоставляется по запросу на privacy@fufills.com.
Субпроцессоры, используемые для данных конечного покупателя (перевозчики, колл-центры, банки), перечислены в §7. Существенные добавления уведомляются за 30 дней с правом возражения.
9. Международные передачи данных#
Fufills обслуживает продавцов и конечных покупателей в LATAM, MENA, Европе и США. Данные неизбежно пересекают границы. Мы используем следующие гарантии:
ЕЭЗ / Великобритания → за пределы
- Стандартные договорные положения ЕС (2021/914) + International Data Transfer Addendum Великобритании (IDTA) с каждым субпроцессором.
- Transfer Impact Assessment (TIA) для каждого направления, с дополнительными мерами (шифрование, псевдонимизация), если требует местное право.
- Для передач в Meta — EU-US Data Privacy Framework (DPF) плюс SCC как резерв.
Бразилия (LGPD) → за пределы
- Будем опираться на стандартные положения ANPD после их финализации; пока — на Ст. 33 LGPD (специальное согласие или договорная необходимость) и договорные гарантии, эквивалентные SCC ЕС.
KSA / ОАЭ → за пределы
- KSA: трансграничная передача по Ст. 29 PDPL и регламенту SDAIA — ведём реестр передач и опираемся на одобренное SDAIA решение об адекватности или impact assessment нашего DPO.
- ОАЭ: Федеральный закон-декрет № 45/2021 — опираемся на решение об адекватности страны-получателя, договорные обязательства получателя или ваше явное согласие.
10. Сроки хранения данных#
Мы храним данные только столько, сколько нужно для целей сбора, плюс сроки исковой давности и требования налоговых / финансовых регуляторов.
| Данные | Срок | Причина |
|---|---|---|
| Данные активного аккаунта (профиль, настройки, API-токены). | Срок жизни аккаунта. | Предоставление сервиса. |
| Данные закрытого аккаунта. | 90 дней после закрытия, затем анонимизируются или удаляются. | Возможность реактивации, аудит-след. |
| Данные заказов и счетов (ваши и конечного покупателя). | 7 лет с момента выставления. | Налоговые и финансовые регуляторы LATAM и MENA. |
| Расчёты и выплаты. | 10 лет. | Хранение записей по AML. |
| Аудит-лог (вход, события безопасности). | 7 лет. | Реагирование на инциденты + форензика. |
| Метка согласия WhatsApp + записи об отписке. | Срок жизни сохранённого номера, плюс 5 лет после удаления. | Доказательство соблюдения WhatsApp Business Policy. |
| Crash-отчёты Sentry. | 90 дней. | Только инженерный дебаг. |
| Логи приложения (web, queue). | 90 дней горячих, 12 месяцев архив. | Эксплуатация + инциденты. |
| Списки отписки от маркетинговых email / WhatsApp. | Бессрочно. | Чтобы больше никогда не писать после отписки. |
11. Ваши права#
У вас есть права на ваши Персональные данные. Точный перечень зависит от юрисдикции — мы соблюдаем наиболее широкий применимый перечень.
GDPR / UK GDPR
- Доступ — запросить копию хранимых данных.
- Исправление — поправить неточные или неполные данные.
- Удаление («право на забвение») — удалить, если применяются правовые основания.
- Ограничение — ограничить обработку на время спора.
- Переносимость — получить данные в машиночитаемом формате и передать другому оператору.
- Возражение — против обработки на основе законного интереса, включая профилирование для маркетинга.
- Отзыв согласия — в любой момент, для обработок на основе согласия (маркетинг WhatsApp, Pixel).
- Подать жалобу в надзорный орган. Для пользователей ЕЭЗ / Великобритании ведущий орган — DPC Ирландии.
LGPD (Бразилия)
- Подтверждение существования + доступ.
- Исправление + анонимизация, блокировка или удаление ненужных / избыточных / несоответствующих данных.
- Переносимость + информация о передаче государственным или частным субъектам.
- Отзыв согласия и запрос пересмотра автоматизированных решений.
- Жалоба в ANPD (Autoridade Nacional de Proteção de Dados).
CCPA / CPRA (Калифорния)
- Right to Know — категории и конкретные фрагменты Personal Information.
- Right to Delete.
- Right to Correct.
- Right to Opt Out of Sale / Sharing для кросс-контекстной поведенческой рекламы — соблюдается через баннер cookies + GPC.
- Right to Limit Use of Sensitive Personal Information — SPI не используется вне предоставления запрошенного сервиса.
- Right to Non-Discrimination — никакого ухудшения сервиса за реализацию права.
KSA PDPL + UAE PDPL
- Права на информирование, доступ, исправление, удаление, ограничение, возражение и отзыв согласия.
- KSA — прямая жалоба в SDAIA.
- ОАЭ — прямая жалоба в UAE Data Office.
Как реализовать право
- Напишите на privacy@fufills.com с email-адреса, зарегистрированного в аккаунте. Мы проверяем личность (чтобы не передать ваши данные самозванцу), запрашивая подтверждение телефона или отправляя письмо на зарегистрированный адрес.
- Стандартный срок ответа: 30 дней (15 дней по LGPD для первоначального ответа). Можем продлить на 60 дней для сложных запросов с объяснением причины.
- Запросы бесплатны, кроме повторяющихся, где мы можем взимать разумную административную плату согласно местному праву.
12. Безопасность#
Мы относимся к безопасности как к функции продукта, а не как к галочке. Перечень ниже — то, что мы делаем сегодня; реальное состояние безопасности обеспечивается и аудитируется внутренне.
При передаче и хранении
- TLS 1.2+ на всех публичных эндпоинтах. HSTS + preload. Cloudflare на фронте для DDoS + WAF.
- Шифрование на уровне колонок для API-токенов системы-источника — ключ шифрования живёт вне базы.
- Пароли хранятся как bcrypt (cost ≥ 12) — пароль в открытом виде восстановить нельзя.
- Секреты TOTP 2FA зашифрованы при хранении. Коды восстановления хешированы.
Контроль доступа
- Админ-аккаунты обязаны иметь 2FA. Роли и права — на серверной стороне (Spatie/laravel-permission).
- Доступ к боевой базе ограничен поимённым on-call инженерам через короткоживущие креды.
- Все действия админов попадают в аудит-лог с актором, временем, IP, user-agent, целью.
Предотвращение злоупотреблений
- Cloudflare Turnstile на регистрации, входе, сбросе пароля и редактировании email.
- Блокировка аккаунта и rate limits на каждом эндпоинте аутентификации.
- Honeypot и время заполнения на публичных формах.
- CSP (enforcing), SRI, X-Frame-Options DENY, Referrer-Policy strict-origin-when-cross-origin.
- Ежедневный аудит composer + npm. Существенные CVE патчатся в SLA нашей политики безопасности.
Реагирование на инциденты
- Уведомление затронутых клиентов-продавцов в течение 72 часов с момента подтверждённой утечки персональных данных, с информацией, требуемой GDPR Ст. 33-34 / LGPD Ст. 48 / PDPL KSA Ст. 20.
- Уведомление надзорного органа, если порог достигнут.
- После инцидента — публикация анализа коренной причины затронутым клиентам.
13. ИИ и автоматизированные решения#
Fufills использует ИИ двумя способами, касающимися Персональных данных: (а) подтверждение колл-центром с ИИ-поддержкой для заказов конечного покупателя, и (б) разговорный ИИ-агент, пишущий недавно онбординутым продавцам в WhatsApp.
Ни один из потоков не принимает юридически значимых решений без человека в петле. ИИ предлагает оптимальный скрипт подтверждения и оптимальный момент контакта; назначенный аккаунт-менеджер продавца (человек) принимает окончательные коммерческие решения по вашему аккаунту.
Вы можете запросить пересмотр человеком любого автоматизированного решения, затрагивающего вас, по GDPR Ст. 22 / LGPD Ст. 20. Напишите на privacy@fufills.com.
Мы не используем персональные данные конечного покупателя для обучения моделей ИИ, продаваемых вне сервиса Fufills. Агрегированные и анонимизированные метрики могут использоваться для внутреннего улучшения моделей.
14. Несовершеннолетние#
Fufills — B2B-платформа для продавцов и операторов 18 лет и старше. Мы сознательно не собираем Персональные данные лиц моложе 18 лет.
Если вы считаете, что несовершеннолетний зарегистрировался или мы обрабатываем его данные, напишите на privacy@fufills.com — мы удалим аккаунт.
15. Изменения политики#
При изменении политики, существенно затрагивающем ваши права или наши практики, мы уведомим по email и баннером в приложении не менее чем за 30 дней до вступления в силу.
Несущественные изменения (исправление опечаток, уточнения, обновления списка субпроцессоров в той же категории) вступают в силу при публикации. Дата «Последнее обновление» отражает последнюю ревизию.
История существенных ревизий доступна по запросу с privacy@fufills.com.
16. Контакты#
Data Protection Officer + контакт по конфиденциальности: privacy@fufills.com
Общая поддержка: hello@fufills.com
WhatsApp (поддержка): +44 7418 310214
Для пользователей ЕЭЗ / Великобритании наш ведущий надзорный орган — Irish Data Protection Commission. Также можно обратиться в ваш местный орган.
Для пользователей LGPD — жалоба в ANPD по адресу https://www.gov.br/anpd/.
Для жителей Калифорнии назначенный агент для privacy-запросов: privacy@fufills.com.
