Политика обработки персональных данных

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. ПЕРЕЧЕНЬ ТЕРМИНОВ И СОКРАЩЕНИЙ

2. ОБЩИЕ ПОЛОЖЕНИЯ

2.1. Настоящая Политика определяет порядок сбора, использования, хранения и защиты ПДн физических лиц, которые используют Сайт, регистрируются на Сайте, оформляют заказы, подписываются на рассылку, связываются с Оператором по телефону, электронной почте или иным образом взаимодействуют с Оператором. Политика применяется ко всей информации, которую Оператор может получить о посетителях Сайта, клиентах, контрагентах и их представителях.

2.2. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе», Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21, Постановлением Правительства РФ от 15.09.2008 № 687 и иными нормативными правовыми актами РФ в области обработки и защиты ПДн.

2.3. Политика не регулирует обработку ПДн работников Оператора по причине их отсутствия. Административный доступ ко всей системе (управление инфраструктурой, базой данных, резервное копирование) имеет Оператор. Функции ответственного за организацию обработки ПДн выполняет Оператор самостоятельно.

2.4. Политика не охватывает отношения, на которые не распространяется действие ФЗ-152 (п. 2 ст. 1 ФЗ-152).

2.5. Простое использование Сайта (просмотр страниц) не влечет обработку ПДн, кроме технически необходимых cookie.

2.6. Заполнение и отправка форм на Сайте, регистрация означают, что Пользователь ознакомился с настоящей Политикой и выражает согласие на обработку своих ПДн на изложенных условиях. Согласие на обработку ПДн оформляется отдельным документом в соответствии с требованиями ч. 1 ст. 9 ФЗ-152. Подтверждением ознакомления с Политикой и предоставления согласия является проставление отметки (чек-бокса) в соответствующем поле, при этом чек-бокс не активирован по умолчанию. Если Пользователь не согласен с условиями, ему не следует отправлять формы или использовать сервисы, требующие предоставления ПДн.

2.7. Оператор исходит из того, что Пользователь предоставляет достоверные сведения, и не проводит их самостоятельной проверки. За актуальность ПДн отвечает сам Пользователь.

2.8. Сайт и услуги не предназначены для сбора ПДн несовершеннолетних. Использование Сайта разрешено исключительно лицам, достигшим 18 лет. Если Оператору станет известно, что предоставлены данные несовершеннолетнего без согласия законных представителей, такие данные будут незамедлительно уничтожены.

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПДН

Правовыми основаниями обработки ПДн являются:

3.1. Исполнение договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 ФЗ-152).

Применяется для обработки ПДн, необходимых для:

• оформления и исполнения заказов на приобретение товаров;
• заключения и исполнения договоров купли-продажи (в том числе публичной оферты) с физическими лицами;
• заключения и исполнения договоров с юридическими лицами и индивидуальными предпринимателями (включая взаимодействие с представителями контрагентов);
• организации доставки товаров, включая передачу необходимых данных транспортным (курьерским) компаниям;
• ведения расчетов с клиентами, выставления счетов, обмена документами;
• ведения бухгалтерского и налогового учета;
• предоставления доступа к личному кабинету и обеспечения функционирования Сайта;
• урегулирования претензий и споров.

3.2. Согласие субъекта ПДн на обработку его ПДн (п. 1 ч. 1 ст. 6 ФЗ-152).

Данное согласие запрашивается для следующих целей, не вытекающих напрямую из договора:

• регистрация и авторизация Пользователя на Сайте, ведение учетной записи;
• обработка обращений, консультирование и обратная связь, включая предоставление каталога продукции по запросу;
• направление рекламных и информационных рассылок (при наличии отдельного согласия);
• сбор статистики и анализ поведения пользователей с помощью сервиса Яндекс.Метрика (через cookie-баннер).
• прием и модерация отзывов, связь с автором отзыва.

3.3. Согласие субъекта ПДн на распространение ПДн (ст. 10.1 ФЗ-152).

3.4. Применяется для публикации отзывов на Сайте. Такое согласие оформляется отдельно от иных согласий, должно содержать перечень ПДн, разрешенных к распространению, и может включать условия и запреты, установленные субъектом ПДн. Согласие на распространение ПДн может быть предоставлено субъектом путем проставления отдельной отметки в форме отзыва на Сайте.

3.5. Осуществление прав и законных интересов Оператора (п. 7 ч. 1 ст. 6 ФЗ-152).

Применяется для обеспечения технической работоспособности и безопасности Сайта, что включает:

• предотвращение DDoS-атак;
• защиту от несанкционированного доступа;
• выявление и устранение ошибок в работе Сайта;
• обеспечение стабильного функционирования для всех пользователей;
• обработку технических данных, файлов cookie, логов сервера.

3.6. Оператор осуществляет фиксацию (логирование) фактов предоставления, отзыва или изменения согласий субъектов ПДн на обработку их ПДн. Фиксация производится автоматически при совершении Пользователем соответствующих действий (проставление отметки в чек-боксе, нажатие кнопки в интерфейсе Сайта, переход по ссылке «Отписаться» и т.п.). Срок хранения логов согласий — 3 (три) года после прекращения действия согласия.

4. ЦЕЛИ ОБРАБОТКИ ПДН

Оператор обрабатывает ПДн строго для следующих заранее определенных и законных целей. Для каждой цели ниже указаны описание цели, правовое основание, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, способы обработки, срок обработки и хранения, а также порядок уничтожения ПДн. Сводный перечень целей, сроков, способов обработки ПДн, категорий субъектов и обрабатываемых ПДн приведен в Приложении № 1 к настоящей Политике.

4.1. Цель 1. Регистрация и авторизация пользователей на Сайте

• Описание цели: создание и администрирование учетной записи Пользователя, предоставление доступа к личному кабинету, идентификация Пользователя, обеспечение безопасности учетной записи, предоставление персонализированных скидок в рамках реферальной программы, ведение истории заказов и настроек.
• Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152);
• Категории и перечень обрабатываемых ПДн: фамилия, имя; номер телефона; адрес электронной почты; пароль (хранится в зашифрованном виде); реферальный код (при наличии); история входов и действий в личном кабинете; идентификатор учетной записи (ID).
• Категории субъектов ПДн: зарегистрированные Пользователи Сайта.
• Способы обработки: смешанная.
• Срок обработки и хранения: до момента удаления учетной записи Пользователем, либо до истечения 3 (трех) лет с момента последней активности, если не было оформлено ни одного заказа. При удалении аккаунта данные уничтожаются в течение 30 календарных дней, за исключением сведений, подлежащих более длительному хранению в силу закона.
• Порядок уничтожения ПДн: электронные данные — гарантированное стирание (перезапись) с использованием специализированного ПО; материальные носители (при наличии) — механическое измельчение (шредирование) с составлением акта.

4.2. Цель 2. Обработка обращений, консультирование и обратная связь

• Описание цели: связь с Пользователем для ответа на вопросы, записи на консультацию, предоставления информации о товарах и услугах, направления каталога продукции по запросу, обработки обращений через формы на Сайте, по телефону, электронной почте, в мессенджерах, а также через IP-телефонию. Оператор рекомендует Пользователю не указывать в тексте обращения сведения, не относящиеся к сути запроса, в том числе избыточные ПДн третьих лиц.
• Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152).
• Категории и перечень обрабатываемых ПДн: имя; номер контактного телефона; адрес электронной почты (если указан); предпочитаемый мессенджер; текст сообщения или комментарий; история переписки; идентификаторы пользователей в социальных сетях и мессенджерах (логин, ID, никнейм, номер телефона, привязанный к аккаунту); содержание переписки и записей телефонных разговоров (в рамках IP-телефонии).
• Категории субъектов ПДн: посетители Сайта, заполнившие любую форму обратной связи; лица, обращающиеся по телефону, электронной почте, в мессенджерах.
• Способы обработки: смешанная.
• Срок обработки и хранения: 1 (один) год с момента последнего взаимодействия. Если впоследствии с Пользователем заключается договор, ПДн переходят в цель 3 и хранятся согласно ее срокам.
• Порядок уничтожения ПДн: электронные данные — гарантированное стирание (перезапись); материальные носители (при наличии) — механическое измельчение (шредирование) с составлением акта.

4.3. Цель 3. Заключение и исполнение договоров

• Описание цели: оформление и исполнение договоров купли-продажи (в том числе публичной оферты) с физическими лицами, а также заключение и исполнение договоров с юридическими лицами и индивидуальными предпринимателями; обработка заказов, организация доставки товаров, ведение расчетов с клиентами, ведение бухгалтерского и налогового учета, взаимодействие с представителями контрагентов, урегулирование претензий, обмен документами, выставление счетов.
• Правовое основание: исполнение договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 ФЗ-152).
• Категории и перечень обрабатываемых ПДн:
• для покупателей — физических лиц: фамилия, имя; номер телефона; адрес электронной почты; адрес доставки (при необходимости); состав и сумма заказа; предпочитаемый мессенджер; сведения о факте и статусе оплаты (без реквизитов банковских карт).
• для представителей юридических лиц и индивидуальных предпринимателей: фамилия, имя, отчество представителя; должность представителя; контактные данные (телефон, email); наименование организации, ИНН, КПП, ОГРН (при необходимости).
• Категории субъектов ПДн: клиенты, контрагенты — физические лица; представители контрагентов — юридических лиц и индивидуальных предпринимателей.
• Способы обработки: смешанная.
• Срок обработки и хранения: 5 (пять) лет после окончания срока действия договора или последней операции, в соответствии с требованиями законодательства о бухгалтерском и налоговом учете. Для данных, передаваемых транспортным компаниям, — на срок доставки и 1 год для претензионной работы. Если заказ не был завершен, — 1 (один) год с момента последнего взаимодействия.
• Порядок уничтожения ПДн: электронные данные — гарантированное стирание (перезапись); материальные носители (при наличии) — механическое измельчение (шредирование) с составлением акта.

4.4. Цель 4. Направление рекламных и информационных рассылок

• Описание цели: информирование Пользователей, давших отдельное согласие, о новостях, акциях, специальных предложениях, новых товарах. Рассылка осуществляется Оператором самостоятельно, без привлечения сторонних сервисов.
• Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152), Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе».
• Категории и перечень обрабатываемых ПДн: имя; адрес электронной почты; номер контактного телефона.
• Категории субъектов ПДн: подписчики рекламных рассылок.
• Способы обработки: автоматизированная.
• Срок обработки и хранения: до момента отзыва согласия. После получения отзыва или команды «Отписаться» соответствующая запись удаляется из базы рассылки в течение 30 календарных дней.
• Порядок уничтожения ПДн: удаление данных из базы рассылки без возможности восстановления.

4.5. Цель 5. Обеспечение функционирования и безопасности Сайта

• Описание цели: обработка технических данных, логов сервера для стабильной работы Сайта, предотвращения несанкционированного доступа, защиты от автоматических действий, выявления и устранения ошибок, обеспечения отказоустойчивости.
• Правовое основание: осуществление прав и законных интересов Оператора (п. 7 ч. 1 ст. 6 ФЗ-152) — для обеспечения технической работоспособности и безопасности Сайта (предотвращение DDoS-атак, защиту от несанкционированного доступа, выявление и устранение ошибок в работе Сайта, обеспечение стабильного функционирования для всех пользователей).
• Категории и перечень обрабатываемых ПДн: IP-адрес; дата и время доступа; URL запрашиваемых страниц; технические заголовки (User-Agent, данные браузера, ОС); логи сервера; строго необходимые cookie (идентификаторы сессии, cookie выбора пользователя по категориям).
• Категории субъектов ПДн: все посетители Сайта, включая незарегистрированных.
• Способы обработки: автоматизированная.
• Срок обработки и хранения: сессионные cookie — до закрытия браузера; строго необходимые cookie (cookie выбора пользователя по категориям) — до 365 дней; иные технические cookie — не более 30 суток; логи сервера — не более 6 месяцев. По истечении указанных сроков данные уничтожаются или обезличиваются.
• Порядок уничтожения ПДн: автоматическое удаление или перезапись по истечении сроков.

4.6. Цель 6. Веб-аналитика и улучшение качества Сайта (Яндекс.Метрика)

• Описание цели: сбор обезличенных статистических данных о посещаемости, действиях пользователей, источниках переходов для оценки эффективности и оптимизации Сайта, улучшения его функциональности, интерфейса и общего удобства. Роскомнадзор в своих разъяснениях прямо указывает, что Политика обработки ПДн должна содержать сведения о факте использования Яндекс.Метрики, а также перечень обрабатываемых посредством этого сервиса данных.
• Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152), предоставляемое через cookie-баннер.
• Категории и перечень обрабатываемых ПДн: обезличенный IP-адрес (с анонимизацией); тип и версия браузера, ОС, разрешение экрана; идентификаторы cookie; просмотренные страницы, время, клики; приблизительные географические данные (страна, город); данные о предполагаемых демографических характеристиках (если имеются у Яндекса и пользователь дал Яндекс соответствующее согласие).
• Категории субъектов ПДн: посетители Сайта (при наличии согласия).
• Способы обработки: автоматизированная.
• Срок обработки и хранения: до отзыва согласия. Срок жизни cookie на устройстве Пользователя: для основных идентификаторов (_ym_uid, _ym_d) — 1 год; для _ym_isad — 2 дня; для служебных cookie Метрики (например, _ym_visorc_*) — 30 минут. Данные, собранные сервисом Яндекс.Метрика, хранятся на стороне ООО «Яндекс» до 26 месяцев с момента сбора, после чего автоматически обезличиваются или удаляются. Отчеты, полученные Оператором от сервиса, хранятся не более 6 месяцев и уничтожаются.
• Порядок уничтожения ПДн: автоматическое обезличивание или удаление сервисом Яндекс.Метрика по истечении срока хранения; отчеты уничтожаются Оператором.

4.7. Цель 7. Публикация отзывов на Сайте и в Telegram-канале

• Описание цели: публикация отзыва Пользователя на Сайте и в Telegram-канале в открытом доступе для информирования других посетителей.
• Правовое основание: согласие субъекта ПДн на распространение персональных данных (ст. 10.1 ФЗ-152).
• Категории и перечень распространяемых ПДн: имя или псевдоним (в том виде, в котором указан Пользователем); текст отзыва; оценка (рейтинг); дата публикации.
• Категории субъектов ПДн: посетители Сайта, оставившие отзыв.
• Способы обработки: смешанная.
• Срок обработки и хранения: до отзыва согласия на распространение. При отзыве согласия отзыв удаляется с Сайта в течение 3 рабочих дней.
• Порядок уничтожения: удаление записи с Сайта, удаление из базы данных без возможности восстановления.

4.8. Цель 8. Прием и модерация отзывов, связь с автором отзыва

• Описание цели: получение отзыва через форму на Сайте, проверка достоверности и модерация отзыва перед публикацией, защита формы от спама и автоматических отправок, связь с автором отзыва по вопросам, связанным с оставленным отзывом.
• Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152).
• Категории и перечень обрабатываемых ПДн: имя или псевдоним (в том виде, в котором указан Пользователем); адрес электронной почты; текст отзыва; оценка (рейтинг); дата и время отправки отзыва; IP-адрес; сведения о браузере и устройстве (User-Agent).
• Категории субъектов ПДн: посетители Сайта, оставившие отзыв.
• Способы обработки: смешанная.
• Срок обработки и хранения: до отзыва согласия. При отзыве согласия данные удаляются в течение 30 календарных дней.
• Порядок уничтожения ПДн: удаление данных без возможности восстановления.

4.9. Оператор не обрабатывает специальные категории ПДн (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические ПДн.

4.10. Платежные реквизиты (номера банковских карт) через Сайт не собираются и не хранятся Оператором. Оплата товаров производится через платежный сервис ЮKassa (ООО НКО «ЮМани»). При оформлении заказа Пользователь переходит на защищенную платежную страницу ЮKassa, где доступны оплата по QR-коду через Систему быстрых платежей (СБП) и оплата банковской картой. Все платежные данные (номер карты, срок действия, CVV) вводятся непосредственно на стороне ЮKassa и Оператору не передаются. Оператор получает только информацию о факте и статусе оплаты, а также данные, необходимые для идентификации плательщика (имя, email), в объеме, который ЮKassa возвращает Оператору для исполнения договора и формирования отчетности.

5. КАТЕГОРИИ СУБЪЕКТОВ ПДН

5.1. Оператор обрабатывает ПДн следующих категорий субъектов:

• Пользователи Сайта — физические лица, посещающие Сайт, регистрирующиеся на нем, оформляющие заказы или оставляющие заявки через формы Сайта.
• Клиенты, контрагенты — физические лица, приобретающие товары Оператора.
• Представители контрагентов — физические лица, действующие от имени юридических лиц и индивидуальных предпринимателей при заключении и исполнении договоров с Оператором.
• Лица, обращающиеся в мессенджеры — физические лица, направляющие сообщения через Telegram или через иные мессенджеры.
• Подписчики рекламных рассылок.
• Лица, оставившие отзыв на Сайте.

6. ПРИНЦИПЫ ОБРАБОТКИ ПДН

6.1. Обработка ПДн осуществляется на основе следующих принципов:

• законности и справедливости;
• ограничения обработки конкретными, заранее определенными целями;
• недопущения объединения баз данных, содержащих ПДн, обрабатываемых в несовместимых целях;
• обработки только тех ПДн, которые отвечают целям (принцип минимизации);
• соответствия содержания и объема ПДн заявленным целям (недопущение избыточности);
• обеспечения точности, актуальности и принятия мер по удалению или уточнению неполных или неточных данных;
• хранения ПДн в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.

6.2. Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории Российской Федерации.

7. МЕХАНИЗМЫ ПОЛУЧЕНИЯ СОГЛАСИЯ

Для сбора согласия Оператор использует следующие механизмы, обеспечивающие добровольность, конкретность и информированность согласия:

7.1. Для форм на Сайте (регистрация, получение каталога, обратная связь):

Пользователь отмечает неактивированный по умолчанию чек-бокс с текстом: «Я даю согласие на обработку моих персональных данных в соответствии с Политикой обработки персональных данных» (с активной гиперссылкой на полный текст Политики). Без отметки отправка формы технически невозможна. Текст рядом с чек-боксом содержит суть предоставляемого согласия и ссылку на настоящую Политику.

7.2. Для аналитических cookie (Яндекс.Метрика):

При первом посещении Сайта отображается cookie-баннер, запрашивающий отдельное, явное согласие на использование необязательных аналитических файлов cookie и загрузку соответствующих скриптов. Согласие на аналитику не является обязательным для использования основных функций Сайта. Механизмы работы cookie-баннера подробно описаны в Политике использования cookie-файлов.

7.3. Для телефонных звонков:

При первом звонке Пользователю сообщается, что разговор может быть записан (с предварительным уведомлением) и что факт предоставления своих данных в ходе разговора означает согласие на их обработку для целей консультирования и подготовки предложения. Если Пользователь не желает давать согласие, он вправе не предоставлять данные или завершить разговор.

7.4. Для рекламных рассылок:

Согласие запрашивается через отдельный, неактивированный по умолчанию чек-бокс с текстом, явно описывающим суть согласия. Согласие на рассылки не является обязательным условием для регистрации, оформления заказа и использования основных функций Сайта.

7.5. Для обработки данных, получаемых через мессенджеры:

При обращении через мессенджеры согласие считается полученным с момента направления сообщения, если из его содержания явно следует намерение субъекта предоставить ПДн для обработки в целях, указанных в настоящей Политике. Оператор информирует субъекта о факте обработки его ПДн в ответном сообщении или иным способом.

7.6. Для публикации отзывов:

При отправке формы отзыва Пользователь отмечает отдельный, неактивированный по умолчанию чек-бокс с текстом: «Я согласен на публикацию моего отзыва».

7.7. Для приема и модерации отзывов, связи с автором отзыва:

При отправке формы отзыва Пользователь отмечает отдельный, неактивированный по умолчанию чек-бокс с текстом: «Я даю согласие на обработку моих персональных данных (имя, email, текст отзыва) в целях модерации отзыва и связи со мной». Без отметки данного чек-бокса отправка формы отзыва технически невозможна.

7.8. Субъект ПДн самостоятельно решает, предоставлять ли свои ПДн, и дает согласие свободно, своей волей и в своем интересе. Если Субъект отказывается предоставить данные, обязательные для заключения и исполнения договора, Оператор не сможет выполнить необходимые действия (регистрация не будет завершена, заказ не будет оформлен).

8. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПДН

8.1. Оператор обрабатывает ПДн исключительно для целей, прямо перечисленных в настоящей Политике. Обрабатываются только данные, которые действительно необходимы для конкретной цели (принцип минимизации). Содержание и объем данных всегда строго соответствуют поставленной задаче.

8.2. Оператор следит за точностью и полнотой данных. Если Пользователь заметил ошибку, ему достаточно сообщить об этом, и Оператор обновит или удалит неверную информацию.

8.3. Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории Российской Федерации.

8.4. Обработка включает полный цикл действий: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн. Используются автоматизированные и неавтоматизированные способы.

8.5. При обработке ПДн без использования средств автоматизации Оператор руководствуется требованиями Постановления Правительства РФ от 15.09.2008 № 687.

8.6. Часть запрашиваемых ПДн (имя, телефон, email) является обязательной для достижения заявленных целей. При отказе предоставить эти данные Оператор не сможет обработать заявку, связаться с Пользователем или оказать услугу.

8.7. Оператор не принимает решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки ПДн.

9. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПДН

9.1. Обработка ПДн прекращается при достижении целей обработки, истечении срока действия согласия, а также при отзыве согласия.

9.2. Условиями прекращения обработки ПДн могут являться: достижение целей обработки ПДн; отзыв согласия Субъектом; выявление неправомерной обработки ПДн; прекращение деятельности Оператора; истечение установленных законодательством сроков хранения документов, содержащих ПДн.

9.3. Конкретные сроки хранения ПДн:

• Данные зарегистрированных пользователей — до удаления аккаунта либо 3 года после последней активности. При удалении аккаунта данные уничтожаются в течение 30 календарных дней, за исключением сведений, подлежащих более длительному хранению в силу закона.
• Данные, обрабатываемые в целях бухгалтерского и налогового учета, — 5 лет в соответствии с требованиями законодательства РФ.
• Данные, полученные через форму получения каталога, — до отзыва согласия либо 3 года с момента последнего взаимодействия.
• Данные, обрабатываемые в CRM-системе Totum, — 3 года с момента последнего взаимодействия.
• Данные, содержащиеся в cookie-файлах, — в соответствии с настройками cookie-баннера Сайта и Политикой использования cookie-файлов.
• Логи сервера — не более 6 месяцев.
• Данные веб-аналитики (Яндекс.Метрика) — хранятся сервисом Яндекс.Метрика в течение 26 месяцев. Оператор не хранит сырые логи Яндекс.Метрики. Отчеты, содержащие обезличенные данные, хранятся не более 6 месяцев и уничтожаются.
• Данные, распространяемые в отзыве, — до отзыва согласия на распространение. При отзыве согласия отзыв удаляется с Сайта в течение 3 рабочих дней.
• Данные, полученные через форму отзыва (имя или псевдоним, email, текст отзыва, оценка, IP-адрес), – до отзыва согласия. При отзыве согласия данные удаляются в течение 30 календарных дней.

9.4. По истечении сроков хранения ПДн подлежат уничтожению или обезличиванию.

10. ПОРЯДОК БЛОКИРОВАНИЯ, УТОЧНЕНИЯ И УНИЧТОЖЕНИЯ ПДН

10.1. Выявление и обращение к Оператору:

Субъект ПДн вправе направить запрос на уточнение своих ПДн при обнаружении неточностей. Запрос направляется на электронный адрес Оператора с пометкой «Актуализация ПДн». В случае выявления неправомерной обработки ПДн Субъект или уполномоченный орган вправе потребовать прекратить такие действия.

10.2. Блокирование ПДн:

При поступлении обращения Субъекта или требования уполномоченного органа о неправомерности обработки Оператор блокирует спорные ПДн с момента получения такого обращения или требования на время проведения проверки. При обнаружении неточностей в ПДн Оператор вправе заблокировать эти данные до завершения их проверки и уточнения, если это не нарушает права и законные интересы Субъекта или третьих лиц. Блокирование ПДн означает временное прекращение любых операций с ними (кроме операции уточнения).

10.3. Уточнение (актуализация) ПДн:

Оператор обязан рассмотреть запрос на уточнение и провести проверку в течение 7 (семи) рабочих дней с момента получения от Субъекта подтверждающих документов или информации, необходимой для внесения изменений. В случае подтверждения неточностей Оператор вносит соответствующие изменения в базы данных. После завершения уточнения ПДн их блокирование снимается.

10.4. Прекращение обработки ПДн:

10.4.1. По отзыву согласия: обработка, основанная на согласии, прекращается, а ПДн уничтожаются в срок, не превышающий 30 (тридцати) календарных дней, если иное не предусмотрено законом (например, обязанность хранить бухгалтерские документы).

10.4.2. При выявлении незаконной обработки: Оператор незамедлительно прекращает незаконную обработку ПДн. Сопутствующее уничтожение незаконно обрабатываемых ПДн осуществляется в срок, не превышающий 10 (десяти) рабочих дней. Субъект ПДн уведомляется о результатах рассмотрения его обращения и предпринятых мерах.

10.5. Уничтожение ПДн по истечении срока хранения:

Документы с истекшим сроком хранения уничтожаются по решению Оператора. Уничтожение электронных данных производится методами, исключающими восстановление (гарантированное стирание с использованием специального программного обеспечения, низкоуровневое форматирование). Если уничтожение невозможно, данные блокируются на 6 месяцев. Составляются протокол, акт и опись уничтожаемых дел. Акт утверждается Оператором лично.

10.6. Обработка данных в публичных интересах:

Запреты на обработку ПДн не действуют, если обработка требуется для государственных, общественных или иных публичных интересов, установленных законодательством РФ.

10.7. Прекращение распространения ПДн:

Субъект ПДн вправе в любой момент потребовать прекращения распространения своих ПДн (удаления отзыва). Оператор обязан прекратить распространение в срок, не превышающий 3 (трех) рабочих дней с момента получения требования. Требование направляется на электронный адрес Оператора с пометкой «Прекращение распространения ПДн» и должно содержать сведения, позволяющие идентифицировать отзыв (имя/псевдоним, текст отзыва, дата).

10.8. Уничтожение данных, полученных через форму отзыва:

По достижении целей обработки или истечении срока хранения данные, полученные через форму отзыва, уничтожаются методами, исключающими восстановление. Удаление производится без возможности восстановления.

11. ПРАВА СУБЪЕКТОВ ПДН И ПОРЯДОК ИХ РЕАЛИЗАЦИИ

11.1. Субъект ПДн имеет право:

• получать информацию, касающуюся обработки его ПДн, включая подтверждение факта обработки, правовые основания, цели, способы, перечень обрабатываемых данных, сроки обработки и порядок осуществления прав;
• требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать свое согласие на обработку ПДн;
• требовать устранения неправомерных действий Оператора в отношении его ПДн;
• требовать прекращения распространения своих ПДн (удаления отзыва) в любой момент.
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в судебном порядке.

11.2. Для реализации своих прав, отзыва согласия или направления требования о прекращении обработки ПДн Пользователь направляет письменный запрос на электронный адрес info@pandalabs.ru.

11.3. Запрос должен содержать:

• фамилию, имя, отчество (при наличии);
• контактный номер телефона или e-mail, указанный при обращении;
• суть требования (например, «Отзыв согласия на обработку ПДн», «Запрос информации»).

11.4. Оператор вправе запросить дополнительные сведения, позволяющие однозначно идентифицировать заявителя, без истребования копий документов, удостоверяющих личность.

11.5. Оператор отвечает на запрос в течение 10 (десяти) рабочих дней. В сложных случаях срок может быть продлен, но не более чем на 5 (пять) рабочих дней, о чем Пользователь будет уведомлен дополнительно.

11.6. Права субъекта ПДн, предусмотренные законодательством, могут быть ограничены в случаях, установленных федеральными законами, в том числе: обработка ПДн осуществляется в целях обеспечения обороны страны и безопасности государства; обработка ПДн осуществляется органами, осуществившими задержание субъекта ПДн; доступ субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц; обработка ПДн осуществляется на основании иного правового основания, кроме согласия (например, для исполнения договора или закона), и сохранение данных необходимо для реализации целей такой обработки.

11.7. Удаление адреса электронной почты и иных данных, необходимых для идентификации пользователя на Сайте, может сделать технически невозможным дальнейшее существование личного кабинета и привести к прекращению доступа к материалам.

12. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА

12.1. Оператор имеет право:

• получать от Пользователя достоверные ПДн и обрабатывать их строго в рамках настоящей Политики;
• при отзыве согласия продолжать обработку, если есть иное законное основание (например, для исполнения требований законодательства или защиты прав и законных интересов);
• передавать ПДн третьим лицам, указанным в разделе 13. «Передача ПДн третьим лицам», при условии соблюдения ими конфиденциальности;
• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ФЗ-152 и принятыми в соответствии с ним нормативными правовыми актами.

12.2. Оператор обязан:

• сделать Политику общедоступной на Сайте;
• организовывать обработку ПДн в порядке, установленном действующим законодательством РФ;
• бесплатно предоставлять Пользователю информацию об обработке его данных по запросу;
• использовать ПДн исключительно для заявленных целей;
• рассматривать и разрешать обращения Пользователей в порядке и сроки, установленные законом;
• принимать необходимые меры для защиты ПДн от несанкционированного доступа, изменения, раскрытия или уничтожения;
• прекращать обработку и уничтожать ПДн в установленных случаях;
• сообщать в уполномоченный орган по защите прав субъектов ПДн по запросу этого органа необходимую информацию в течение 30 календарных дней с даты получения такого запроса;
• своевременно уведомлять Роскомнадзор в случае установления факта неправомерной или случайной передачи ПДн, повлекшей нарушение прав субъектов ПДн, в срок, не превышающий 24 часа с момента обнаружения инцидента;
• исполнять иные обязанности, предусмотренные ФЗ-152.

13. ПЕРЕДАЧА ПДН ТРЕТЬИМ ЛИЦАМ

13.1. Оператор передает ПДн третьим лицам исключительно для достижения целей, указанных в Политике, и только при условии, что эти лица гарантируют конфиденциальность и безопасность данных. С каждым лицом, обрабатывающим ПДн по поручению Оператора, заключается договор (поручение на обработку ПДн или соглашение о конфиденциальности), обязывающий соблюдать требования законодательства.

13.2. ПДн могут передаваться следующим третьим лицам:

• Транспортные (курьерские) компании — для доставки заказов. Передаются: фамилия, имя, номер телефона, адрес доставки, состав заказа.
• ООО «СДЭК-Глобал» (ИНН 7722327689, ОГРН 1157746448463, юридический адрес: 630007, Новосибирская область, г. Новосибирск, ул. Кривощековская, зд. 15, к. 1, этаж 1, 2) — транспортная компания. Цель передачи: доставка заказов. Передаются: фамилия, имя, номер телефона, адрес доставки, состав заказа.
• ООО «КИТ: Транспортная компания» (ИНН 6679113421, ОГРН 1186658000484, юридический адрес: 620085, Свердловская область, г. Екатеринбург, ул. 8 Марта, стр. 212, офис 335) — транспортная компания. Цель передачи: доставка заказов. Передаются: фамилия, имя, номер телефона, адрес доставки, состав заказа.
• ООО «Деловые Линии» (ИНН 7826156685, ОГРН 1027810306259, юридический адрес: 196210, г. Санкт-Петербург, ул. Стартовая, д. 8, литер А, офис 132) — транспортная компания. Цель передачи: доставка заказов. Передаются: фамилия, имя, номер телефона, адрес доставки, состав заказа.
• ООО «Первая Экспедиционная Компания» (ПЭК) (ИНН 7721823853, ОГРН 1147746182748, юридический адрес: 109428, г. Москва, 1-й Вязовский пр-д, д. 4, стр. 19) — транспортная компания. Цель передачи: доставка заказов. Передаются: фамилия, имя, номер телефона, адрес доставки, состав заказа.
• ООО «Байт-Транзит-Логистик» (ИНН 5407460226, ОГРН 1105476101279, юридический адрес: 630119, Новосибирская область, г. Новосибирск, ул. Петухова, д. 79) — логистическая компания. Цель передачи: доставка заказов. Передаются: фамилия, имя, номер телефона, адрес доставки, состав заказа.
• ООО «Яндекс» (ИНН 7736207543, ОГРН 1027700229193, юридический адрес: 119021, г. Москва, ул. Льва Толстого, д. 16) — сервисы веб-аналитики (Яндекс.Метрика) и картографический виджет (Яндекс.Карты). Цель передачи: сбор обезличенной статистики посещений (при наличии отдельного согласия), отображение местоположения Оператора на карте. Передаются: обезличенный IP-адрес, cookie-идентификаторы, данные о браузере и устройстве, данные о действиях на Сайте, техническая информация при загрузке виджета карты.
• ООО «Сипуни Рус» (ИНН 7727651336, ОГРН 1087746620720) — IP-телефония. Передаются: номер телефона, содержание телефонных разговоров.
• Хостинг-провайдер REG.RU — для обеспечения технической работоспособности Сайта, хранения баз данных, файлов и логов. Передаются все данные, вводимые Пользователем в формы на Сайте, а также технические данные (IP-адрес, User-Agent, идентификаторы сессий). Серверы находятся на территории РФ.
• CRM-система Totum (https://ru.totum.online/), размещенная на арендованном хостинге NetAngels (https://www.netangels.ru/) в конфигурации self-hosted. Используется для ведения клиентской базы, исполнения договоров, маркетинговых рассылок. Передаются: ФИО, телефон, email, реквизиты договоров, история взаимодействия. Место хранения: серверы NetAngels, расположенные на территории РФ.
• ЮKassa — для обработки платежей по договору и возвратов денежных средств. Передаются: идентификатор заказа, сумма платежа, а также контактные данные Пользователя (имя, email) в объеме, необходимом для идентификации плательщика и исполнения транзакции. Обработка платежных реквизитов (номер карты, срок действия, CVV) осуществляется на стороне ЮKassa и Оператору не передается.
• ООО «ПС СТ» (ОГРН 1127847298842) — оператор фискальных данных. Цель передачи: формирование и направление кассовых чеков покупателям в электронной форме, передача фискальных данных в налоговые органы. Передаются: номер телефона и (или) адрес электронной почты покупателя, сумма и состав заказа.
• ИП Камышов Станислав Дмитриевич (ОГРНИП 318505300045618) — сервис фискальных данных Rocketr. Цель передачи: формирование и направление кассовых чеков покупателям в электронной форме. Передаются: номер телефона и (или) адрес электронной почты покупателя, сумма и состав заказа.
• ООО «Ваш Бухгалтер» (ОГРН 1206700005929) — бухгалтерская организация. Цель передачи: ведение бухгалтерского и налогового учета операций, подготовка и сдача отчетности. Передаются: данные о заказах (состав, сумма, дата), сведения о покупателях в объеме, необходимом для формирования первичных документов.
• Государственные органы — в случаях, предусмотренных законодательством РФ (по мотивированному запросу суда, правоохранительных или налоговых органов).

14. ИНФОРМАЦИОННЫЕ СИСТЕМЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

14.1. Обработка ПДн осуществляется с использованием следующих информационных систем персональных данных (ИСПДн):

14.1.1. Сайт https://pandalabs.ru/ (хостинг REG.RU). Цели обработки: регистрация пользователей, оформление заказов, сбор статистики, публикация отзывов. Категории субъектов: пользователи Сайта, клиенты, лица, оставившие отзыв. Перечень данных: фамилия, имя, телефон, email, данные cookie, IP-адрес, имя/псевдоним, текст отзыва, оценка, дата.

14.1.2. CRM-система Totum (self-hosted на хостинге NetAngels). Цели обработки: ведение клиентской базы, исполнение договоров, маркетинговые рассылки. Категории субъектов: клиенты, контрагенты (физические лица), представители контрагентов. Перечень данных: ФИО, телефон, email, реквизиты договоров, история взаимодействия. Способы обработки: автоматизированная. Место хранения: серверы NetAngels, расположенные на территории РФ.

14.1.3. IP-телефония Sipuni (ООО «Сипуни Рус»). Цели обработки: запись и хранение телефонных разговоров с клиентами. Перечень данных: номер телефона, содержание разговора.

14.1.4. Электронная почта.

14.1.5. Все информационные системы персональных данных размещены на серверах, находящихся на территории Российской Федерации, что соответствует требованиям ч. 5 ст. 18 ФЗ-152.

15. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПДН

15.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

15.2. Организационные меры включают:

• разработку и введение настоящей Политики;
• назначение ответственного за организацию обработки ПДн (сам Оператор);
• обеспечение ограниченного и разграниченного доступа к ПДн;
• учет и хранение материальных носителей (при наличии) в запираемых шкафах, исключающий хищение, подмену, несанкционированное копирование и уничтожение ПДн;
• периодическую оценку вреда, который может быть причинен субъектам ПДн, и принятие адекватных мер для недопущения такого вреда;
• регулярный пересмотр и совершенствование мер защиты с учетом актуальных угроз безопасности;
• обеспечение раздельного хранения ПДн, обрабатываемых в разных целях.

15.3. Технические меры включают:

• использование лицензионного программного обеспечения с актуальными обновлениями безопасности;
• антивирусную защиту информационных систем с использованием лицензионного программного обеспечения и своевременной актуализацией баз;
• межсетевое экранирование для контроля сетевых соединений и блокирования несанкционированного доступа;
• шифрование каналов связи при передаче данных (протокол HTTPS);
• идентификацию и аутентификацию пользователей информационных систем с применением надежных паролей (не менее 8 символов: буквы верхнего и нижнего регистра, цифры, спецсимволы);
• автоматическую блокировку сеанса при бездействии (не более 15 минут) с требованием повторного ввода пароля;
• регулярное резервное копирование баз данных, содержащих ПДн, с хранением резервных копий на отдельных защищенных носителях;
• ведение журналов событий (логов) сервера и приложений с регистрацией всех операций с ПДн (срок хранения логов — 6 месяцев);
• обеспечение физической сохранности серверного оборудования и машинных носителей;
• хранение ПДн на серверах, расположенных на территории Российской Федерации (хостинг REG.RU для Сайта, хостинг NetAngels для CRM-системы Totum).

15.4. В целях исполнения Постановления Правительства РФ от 01.11.2012 № 1119 Оператор обеспечивает 4-й уровень защищенности ПДн и реализует следующий перечень мер:

• назначено лицо, ответственное за обеспечение безопасности ПДн (Оператор);
• утвержден перечень лиц, имеющих административный доступ к ИСПДн (только Оператор);
• используются средства защиты информации, прошедшие оценку соответствия в установленном порядке (при наличии таких средств);
• определены и применяются меры по обеспечению сохранности машинных носителей ПДн.

15.5. При осуществлении обработки ПДн без использования средств автоматизации Оператор выполняет требования Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 № 687, а именно: определены места хранения материальных носителей ПДн (при их наличии); утвержден перечень лиц, осуществляющих обработку ПДн без использования средств автоматизации (только Оператор).

15.6. При обнаружении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав Пользователей, Оператор обязан:

• в течение 24 часов уведомить Роскомнадзор о факте инцидента;
• в течение 72 часов уведомить Роскомнадзор о результатах внутреннего расследования;
• уведомить Пользователей о факте инцидента (если это не запрещено законом);
• принять меры по устранению последствий инцидента и предотвращению подобных инцидентов в будущем.

16. ОБРАБОТКА ФАЙЛОВ COOKIE И АНАЛИТИЧЕСКИЕ СЕРВИСЫ

16.1. На Сайте используются файлы cookie. Порядок их использования, категории, состав данных и механизмы управления согласием подробно описаны в отдельном документе — Политике использования cookie-файлов, размещенной по адресу https://pandalabs.ru/cookie-policy/.

16.2. Общие принципы:

• технически необходимые (обязательные) cookie — обеспечивают базовую функциональность Сайта, безопасность, корректную работу форм. Активны всегда, не требуют согласия.
• аналитические cookie — используются для сбора обобщенной статистики через Яндекс.Метрику. Обрабатываются только при наличии отдельного согласия, предоставляемого через cookie-баннер.

17. ИСПОЛЬЗОВАНИЕ СЕРВИСА ЯНДЕКС.КАРТЫ

17.1. На Сайте встроен виджет Яндекс.Карты для наглядного отображения местоположения Оператора. При загрузке страницы с этим виджетом браузер Пользователя автоматически запрашивает данные с серверов Яндекса. В рамках этого технического процесса Яндекс может получить IP-адрес, сведения из cookie и данные о браузере и устройстве (User-Agent).

17.2. Виджет загружается только после того, как Пользователь включит категорию «Функциональные cookie» в cookie-баннере или в настройках cookie (ссылка «Настройка cookie» в нижней части Сайта). До этого вместо карты отображается заглушка, и запросы к серверам Яндекса не выполняются. Обработка полученных технических данных осуществляется Яндексом как самостоятельным оператором в соответствии с его Политикой конфиденциальности https://yandex.ru/legal/confidential/. Оператор не использует функционал определения точного местоположения Пользователя. Карта показывает только местоположение Оператора.

18. УВЕДОМЛЕНИЕ РОСКОМНАДЗОРА

18.1. Оператором до начала обработки ПДн направлено в Роскомнадзор уведомление о намерении осуществлять обработку ПДн в порядке, установленном ст. 22 ФЗ-152. Регистрационный номер Оператора в реестре операторов, осуществляющих обработку ПДн, — 67-23-006244.

18.2. При изменении сведений, содержащихся в уведомлении, Оператор направляет соответствующее уведомление об изменении в течение срока, установленного законодательством.

19. ОТВЕТСТВЕННОСТЬ СТОРОН

19.1. Оператор несет ответственность за нарушение требований законодательства РФ в области ПДн в соответствии с действующим законодательством (ст. 13.11 КоАП РФ, ст. 24 ФЗ-152).

19.2. Оператор не несет ответственность за утрату или разглашение конфиденциальной информации, если она:

• стала публичным достоянием до ее утраты или разглашения;
• была получена от третьей стороны до момента ее получения Оператором;
• была разглашена с согласия Субъекта.

19.3. Оператор также не несет ответственности за ПДн, добровольно раскрытые Пользователем третьим лицам, и за содержание текстов сообщений, если Пользователь сам включил в них дополнительные данные. Оператор не несет ответственности за обработку ПДн сервисами Яндекс.Метрика и Яндекс.Карты, выступающими самостоятельными операторами ПДн в части данных, которые они собирают самостоятельно.

20. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

20.1. Субъект может получить любые разъяснения по вопросам обработки его ПДн, обратившись по электронному адресу info@pandalabs.ru.

20.2. Настоящая Политика является общедоступным документом. Актуальная редакция размещена на Сайте по адресу https://pandalabs.ru/privacy/.

20.3. Оператор вправе вносить изменения в Политику в одностороннем порядке. Новая редакция вступает в силу с момента ее опубликования на Сайте, если иной срок не указан в самом документе. Пользователям рекомендуется самостоятельно отслеживать изменения.

20.4. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.

20.5. Настоящая Политика вступает в силу с момента ее опубликования на Сайте и распространяется на все отношения в области обработки ПДн, возникшие после ее опубликования.

21. РЕКВИЗИТЫ ОПЕРАТОРА

Индивидуальный предприниматель Баров Сергей Михайлович
Адрес регистрации: 214019, Россия, Смоленская область, г. Смоленск, ул. Крупской, д. 64, к. 317
ИНН: 673213113446
ОГРНИП: 321673300038472
Телефон: +7 (495) 308-47-46
E-mail: info@pandalabs.ru

ПРИЛОЖЕНИЕ № 1

Перечень целей, сроков, способов обработки ПДн, категорий субъектов и обрабатываемых ПДн