Политика обработки персональных данных
1. Общие положения
Настоящая Политика определяет порядок и условия обработки персональных данных и меры по обеспечению их безопасности, которые применяет ИП Лялин Игорь Федорович (ИНН 183467868549, ОГРНИП 325180000107247, адрес: 427011, Удмуртская Республика, Завьяловский Район, д. Хохряки, ул. Вишневая, 21, далее — «Оператор») при работе сайта goretch.ru и интернет-магазина «Горечь». Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована на сайте для неограниченного доступа (ч. 2 ст. 18.1 Закона).
Ответственный за организацию обработки персональных данных: ИП Лялин Игорь Федорович, эл. почта kosmetika@goretch.ru, телефон +79043141131.
2. Чьи данные мы обрабатываем
- покупатели и получатели заказов;
- пользователи, которые входят в личный кабинет на сайте;
- подписчики рассылки — при наличии отдельного согласия на получение рекламы;
- посетители сайта (технические данные и файлы cookie);
- лица, направившие Оператору обращение, вопрос или претензию.
3. Цели, состав данных, основания и сроки
| Цель | Данные | Основание | Срок хранения |
|---|---|---|---|
| Оформление, оплата и доставка заказа | Имя и фамилия получателя, телефон, эл. почта (если указана), выбранный пункт выдачи, состав и сумма заказа, комментарий | Исполнение договора купли-продажи (п. 5 ч. 1 ст. 6 Закона), согласие | 5 лет после исполнения заказа (сроки хранения документов бухгалтерского учёта, ст. 29 Федерального закона № 402-ФЗ) |
| Выдача кассового чека, учёт маркированных товаров | Эл. почта или телефон, сведения о расчёте и коды маркировки товаров | Обязанность по закону: 54-ФЗ, законодательство о маркировке товаров | В сроки, установленные этими законами (не менее 5 лет) |
| Вход в личный кабинет | Эл. почта, история заказов | Согласие | До удаления аккаунта или отзыва согласия |
| Ответы на обращения и претензии | Имя, контакт для ответа, текст обращения, сведения о заказе | Исполнение договора, обязанность по закону о защите прав потребителей | 3 года после ответа (срок исковой давности) |
| Рассылка новостей и предложений | Эл. почта, телефон | Отдельное согласие на получение рекламы (ст. 18 Федерального закона № 38-ФЗ «О рекламе») | До отзыва согласия |
| Работа и безопасность сайта | IP-адрес, сведения о браузере и устройстве, необходимые файлы cookie (корзина, вход) | Исполнение договора, согласие | Журналы сервера — 14 дней; cookie — см. Политику cookie |
| Веб-аналитика (Яндекс Метрика) | Идентификаторы cookie, сведения об устройстве, действия на сайте | Согласие (кнопка «Принять» в уведомлении о cookie) | До отзыва согласия; хранение у ООО «Яндекс» — по его правилам |
Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические персональные данные. Оператор не принимает решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки.
4. Действия с данными и способы обработки
Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Обработка смешанная: с использованием средств автоматизации и без них.
Оператор не распространяет персональные данные (не публикует их для неограниченного круга лиц): на сайте нет отзывов, фотографий или иных сведений о покупателях. Если такая публикация понадобится, Оператор заранее получит отдельное согласие на распространение персональных данных (ст. 10.1 Закона).
5. Где хранятся данные
Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (серверы ООО «Бегет», Санкт-Петербург; ч. 5 ст. 18 Закона). Трансграничная передача персональных данных не осуществляется.
6. Кому передаются данные
Только в объёме, необходимом для указанных целей:
- Службам доставки (ООО «СДЭК-Глобал», сервис «Яндекс Доставка»): имя, телефон, эл. почта получателя и пункт выдачи.
- Оператору облачной кассы и оператору фискальных данных: эл. почта или телефон для направления кассового чека.
- Банку-эквайеру: сумма и номер заказа. Данные банковской карты вводятся на странице банка и Оператору не передаются.
- ООО «Бегет»: хостинг, хранение данных и отправка писем по поручению Оператора (ч. 3 ст. 6 Закона).
- ООО «Яндекс»: на странице оформления заказа используется карта пунктов выдачи (Яндекс Карты), которая получает IP-адрес и технические данные браузера.
- ООО «Яндекс»: сервис веб-аналитики Яндекс Метрика — только если вы приняли аналитические cookie (раздел 7).
- Государственным органам — в случаях и в порядке, предусмотренных законодательством Российской Федерации.
Лица, обрабатывающие данные по поручению Оператора, обязаны соблюдать конфиденциальность и принимать меры по защите данных, предусмотренные ст. 18.1 и 19 Закона.
7. Файлы cookie
Необходимые файлы cookie (идентификатор корзины и сессии входа) нужны для работы корзины и оформления заказа. С вашего согласия — кнопки «Принять» в уведомлении о cookie — сайт подключает сервис веб-аналитики Яндекс Метрика (ООО «Яндекс», данные обрабатываются в России): статистика посещений, сведения об устройстве и браузере, IP-адрес, идентификаторы cookie и запись действий на странице (Вебвизор). Содержимое форм с персональными данными в записи скрыто, адреса страниц передаются без служебных параметров. Подробнее и список cookie — в Политике использования cookie; изменить выбор можно в любой момент по ссылке «Настройки cookie» внизу страницы.
8. Ваши права и сроки ответа
Вы вправе:
- получить сведения об обработке ваших персональных данных (ст. 14 Закона);
- потребовать уточнения данных, если они неполные, устаревшие или неточные, а также их блокирования или уничтожения, если они обрабатываются незаконно или не нужны для заявленной цели;
- отозвать согласие на обработку персональных данных или на получение рекламы, потребовать прекратить обработку;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.
Запрос направляйте на kosmetika@goretch.ru или почтой по адресу Оператора. В запросе укажите ваши имя и контакт, который вы использовали на сайте (эл. почту или телефон), и сведения о заказе, если он был, — чтобы мы могли найти ваши данные и убедиться, что запрос направили именно вы. Мы отвечаем в сроки, установленные Законом:
| Сведения об обработке ваших данных | 10 рабочих дней с получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ч. 3 ст. 14 Закона) |
|---|---|
| Уточнение неполных или неточных данных | 7 рабочих дней с получения подтверждающих сведений (ч. 3 ст. 20 Закона) |
| Прекращение неправомерной обработки | 3 рабочих дня с выявления; если её нельзя сделать правомерной — уничтожение данных в течение 10 рабочих дней (ч. 3 ст. 21 Закона) |
| Требование прекратить обработку | 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ч. 5.1 ст. 21 Закона) |
| Отзыв согласия, достижение цели обработки | Прекращение обработки и уничтожение данных в течение 30 дней (ч. 4–5 ст. 21 Закона), кроме данных, которые Оператор обязан хранить по закону (например, сведения о расчётах и кассовых чеках) |
9. Меры по защите персональных данных
Оператор принимает меры, предусмотренные ст. 18.1 и 19 Закона.
Организационные меры:
- назначен ответственный за организацию обработки персональных данных (раздел 1);
- издана и опубликована настоящая Политика;
- доступ к персональным данным предоставляется только лицам, которым он нужен для исполнения заказов, в минимально необходимом объёме; они ознакомлены с требованиями Закона и настоящей Политикой;
- осуществляется внутренний контроль соответствия обработки Закону;
- определён порядок реагирования на инциденты с персональными данными (раздел 10).
Технические меры:
- передача данных между браузером и сайтом — только по защищённому протоколу HTTPS (TLS); соединение с базой данных — по TLS с проверкой сертификата;
- доступ к базе данных — только по защищённому соединению с проверкой учётных данных; приложение и обслуживание базы используют разные учётные записи с минимально необходимыми правами;
- вход в административный раздел — только для уполномоченных сотрудников по персональной ссылке; действия сотрудников с заказами записываются в журнал;
- персональные данные исключаются из технических журналов сервера; журналы хранятся не более 14 дней;
- резервные копии базы данных хранятся на территории Российской Федерации; данные банковских карт Оператор не получает и не хранит;
- используются заголовки безопасности браузера, ограничивающие загрузку сторонних скриптов и встраивание сайта на чужие страницы.
10. Инциденты с персональными данными
Если выявлена неправомерная или случайная передача (предоставление, распространение, доступ) персональных данных, повлёкшая нарушение прав субъектов, Оператор уведомляет Роскомнадзор (ч. 3.1 ст. 21 Закона):
- в течение 24 часов — об инциденте, его предполагаемых причинах и вреде, о принятых мерах и о контактном лице Оператора;
- в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии).
Оператор устраняет причины инцидента, при необходимости сообщает о нём затронутым покупателям и взаимодействует с ГосСОПКА в порядке, установленном законодательством.
11. Прекращение обработки и уничтожение данных
Обработка прекращается при достижении цели, истечении срока хранения, отзыве согласия (если нет другого законного основания), выявлении неправомерной обработки или ликвидации Оператора. Данные в базе данных уничтожаются удалением или обезличиванием записей, данные на бумаге — измельчением. Уничтожение подтверждается актом и выгрузкой из журнала событий в порядке, установленном Роскомнадзором.
12. Изменение Политики
Оператор вправе изменять Политику, например при изменении законодательства или состава обрабатываемых данных. Актуальная редакция всегда опубликована на этой странице; дата редакции указана в начале документа.