Интернет-магазин продаёт через свой сайт и маркетплейс, доставляет СДЭК и рассылает письма через email-сервис: кто оператор каждого потока данных?

Теперь на поток нужны разные основания. Данные для оформления и доставки обрабатываются на основании договора, включая получателя как выгодоприобретателя (п. 5 ч. 1 ст. 6), согласие не требуется. Для рассылок нужны отдельные согласия на продвижение и на рекламу (ч. 1 ст. 15 152-ФЗ, ч. 1 ст. 18 38-ФЗ), а контакты с маркетплейса для собственных рассылок использовать нельзя без согласия, данного вам лично. Email-сервис получает данные по договору поручения; если он зарубежный, добавляются ч. 5 ст. 18 и ст. 12 (Q104, Q107). Все базы магазина, включая выгрузки с маркетплейса, должны храниться в российских базах.

Требования закона: политика по ст. 18.1 с перечнем получателей по потокам; договор поручения с email-сервисом по ч. 3 ст. 6; отдельные согласия на рекламу; при самостоятельной роли службы доставки — условия договора с ней о целях и конфиденциальности; уведомление РКН об обработке (Q10); ограничение использования данных маркетплейса целями заказа. Практические рекомендации: составить схему потоков (источник, получатель, цель, основание, срок, страна хранения); контакты, пришедшие с маркетплейса, переносить в рассылочную базу только после согласия, полученного в посылке, QR-коде или карточке заказа; не передавать службе доставки лишнее (дату рождения, историю заказов); предусмотреть удаление по требованию во всех потоках (Q14).