Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных физических лиц (далее — «Пользователи», «Субъекты персональных данных»), использующих интернет-магазин Тестовый магазин, расположенный по адресу https://dev.smarty-shop.com (далее — «Сайт»). Оператором персональных данных является ИП Гребнева О.В. (далее — «Оператор»). Политика является документом, определяющим политику Оператора в отношении обработки персональных данных, и опубликована в соответствии с ч. 2 ст. 18.1 Федерального закона № 152-ФЗ.

1.2. Политика разработана в соответствии с требованиями:

• Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (в действующей редакции);
• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановления Правительства РФ от 01.11.2012 № 1119;
• Приказа Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения»;
• Федерального закона от 07.02.1992 № 2300-1 «О защите прав потребителей»;
• Гражданского кодекса РФ и иных применимых нормативных правовых актов РФ.

1.3. Настоящая Политика является общедоступным документом и опубликована на Сайте в постоянном доступе по адресу: https://dev.smarty-shop.com/privacy.

1.4. Политика носит информационный характер и не является самостоятельным правовым основанием для обработки персональных данных. Согласие на обработку Пользователь даёт отдельно — путём активного действия (постановки отметки в чекбоксе) в соответствующей форме на Сайте.

1.5. В случае несогласия с условиями Политики Пользователь вправе воздержаться от предоставления своих персональных данных и использования функций Сайта, требующих их предоставления.

1.6. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на Сайте.

2. Основные понятия и определения

В целях настоящей Политики используются следующие понятия:

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (ст. 3 ФЗ № 152-ФЗ).
• Оператор — ИП Гребнева О.В., самостоятельно осуществляющий обработку персональных данных.
• Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются Оператором.
• Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
• Распространение — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
• Предоставление — действия, направленные на раскрытие персональных данных определённому лицу или кругу лиц.
• Обезличивание — действия, в результате которых без дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту.
• Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу.
• Cookie (куки) — небольшой текстовый файл, сохраняемый на устройстве Пользователя при посещении Сайта.

3. Состав и категории обрабатываемых данных

3.1. В зависимости от цели обработки Оператор собирает следующие категории персональных данных:

3.1.1. При регистрации и создании учётной записи:

• фамилия, имя, отчество;
• адрес электронной почты (e-mail);
• номер телефона;
• пароль (хранится в зашифрованном виде, недоступном сотрудникам Оператора).

3.1.2. При оформлении и исполнении заказа:

• ФИО получателя; адрес доставки (регион, город, улица, дом, квартира, индекс);
• контактный телефон и адрес электронной почты;
• информация о заказе (состав, количество, стоимость), история заказов.

3.1.3. При осуществлении платежей:

• данные о платеже (сумма, дата, номер транзакции) — обрабатываются платёжными операторами; Оператор не получает и не хранит данные банковских карт.

3.1.4. При обращении в службу поддержки:

• фамилия, имя; адрес электронной почты или телефон; содержание обращения.

3.1.5. При подписке на рассылку:

• адрес электронной почты; имя (при наличии).

3.1.6. Технические данные (Cookie и веб-аналитика):

• IP-адрес; данные о браузере и устройстве (тип, версия, ОС);
• данные о посещённых страницах, времени на сайте, источнике перехода;
• данные файлов cookie.

3.2. Оператор не обрабатывает специальные категории персональных данных (расовая или национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, биометрические данные), кроме случаев, прямо предусмотренных законодательством РФ или при наличии явного согласия субъекта.

3.3. Сайт не адресован лицам младше 18 лет. Персональные данные несовершеннолетних обрабатываются только с согласия их законных представителей (ч. 1 ст. 9 ФЗ № 152-ФЗ); при выявлении обработки без такого согласия данные удаляются.

3.4. Категории субъектов, персональные данные которых обрабатываются: посетители Сайта (технические данные); зарегистрированные пользователи (данные учётной записи и заказов); получатели заказов (данные для доставки); подписчики на рассылку; лица, обращающиеся в поддержку.

4. Цели обработки персональных данных

4.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

• исполнение договора розничной купли-продажи (оформление, обработка, доставка заказов, рекламации и возвраты);
• регистрация и аутентификация Пользователя, ведение личного кабинета;
• обработка платежей и проведение расчётов совместно с платёжными операторами;
• организация доставки товаров совместно со службами доставки;
• информирование о статусе заказа (e-mail / SMS / push);
• обработка обращений, жалоб и запросов Пользователей;
• направление маркетинговых и информационных рассылок (при наличии согласия);
• проведение программ лояльности, акций и опросов (при наличии согласия);
• аналитика использования Сайта и улучшение качества обслуживания;
• обеспечение безопасности Сайта и предотвращение мошенничества;
• соблюдение требований законодательства РФ, ведение бухгалтерского и налогового учёта.

5. Правовые основания обработки

5.1. Обработка персональных данных осуществляется на следующих правовых основаниях (ст. 6, 9 ФЗ № 152-ФЗ):

• а) Согласие субъекта (п. 1 ч. 1 ст. 6, ст. 9) — для маркетинговых рассылок, персонализации предложений, опросов, обработки cookie в аналитических целях. Согласие выражается отметкой в чекбоксе и может быть отозвано в любое время.
• б) Исполнение договора (п. 5 ч. 1 ст. 6) — для данных, необходимых для оформления и исполнения заказа, доставки и расчётов.
• в) Исполнение обязанностей, предусмотренных законом (п. 2 ч. 1 ст. 6) — для бухгалтерского учёта, кассовых чеков, соблюдения ФЗ № 54-ФЗ, НК РФ, ФЗ № 2300-1 и иных актов.
• г) Законные интересы Оператора (п. 7 ч. 1 ст. 6) — обеспечение безопасности Сайта, выявление и предотвращение мошенничества, защита прав Оператора.

6. Порядок, условия и сроки обработки

6.1. Обработка ведётся на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей, соответствует им по объёму и содержанию, ведётся с обеспечением точности и актуальности данных и хранением не дольше, чем этого требуют цели обработки (ст. 5 ФЗ № 152-ФЗ).

6.2. Обработка осуществляется как с использованием средств автоматизации, так и без них (бумажный документооборот).

6.3. Оператор выполняет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу уполномоченным третьим лицам, блокирование, удаление и уничтожение персональных данных. Обезличивание применяется только в аналитических целях.

6.4. Хранение персональных данных осуществляется на серверах, расположенных на территории Российской Федерации (ч. 5 ст. 18 ФЗ № 152-ФЗ).

6.5. Сроки хранения персональных данных:

6.6. По истечении сроков персональные данные подлежат уничтожению либо обезличиванию. Факт уничтожения подтверждается актом и выгрузкой из журнала регистрации событий в информационной системе (приказ Роскомнадзора от 28.10.2022 № 179).

6.7. Условия прекращения обработки (ст. 21 ФЗ № 152-ФЗ):

• Достижение целей — уничтожение данных в течение 30 дней с момента достижения цели, если иное не предусмотрено законом;
• Отзыв согласия — прекращение и уничтожение в течение 30 дней с момента получения отзыва (кроме случаев обработки без согласия);
• Истечение срока согласия — обработка прекращается по истечении указанного срока;
• Выявление неправомерной обработки — блокирование на период проверки, устранение нарушения в течение 3 рабочих дней, уничтожение — в течение 10 рабочих дней;
• Ликвидация или реорганизация Оператора — в порядке, предусмотренном законодательством РФ.

6.8. Оператор принимает технические и организационные меры для защиты персональных данных от несанкционированного доступа, уничтожения, изменения, блокирования, копирования и распространения.

6.9. Оператор не принимает в отношении Пользователя решений, порождающих юридические последствия или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных (ст. 16 ФЗ № 152-ФЗ).

7. Передача данных третьим лицам

7.1. Оператор вправе поручать обработку персональных данных следующим категориям лиц исключительно для достижения целей раздела 4:

• службы доставки и курьерские компании — для доставки заказов;
• платёжные операторы и банки-эквайеры — для обработки платежей;
• сервисы e-mail и SMS-рассылок — для информирования и рекламных сообщений (при согласии);
• сервисы веб-аналитики (Яндекс.Метрика и аналогичные российские) — для анализа посещаемости;
• лица, оказывающие услуги по IT-обслуживанию, хостингу и технической поддержке;
• государственные органы — в случаях, предусмотренных законодательством РФ.

7.2. Обработка по поручению осуществляется на основании договора, содержащего перечень действий с персональными данными, цели обработки и обязанность соблюдать конфиденциальность и требования к защите (ч. 3 ст. 6 ФЗ № 152-ФЗ).

7.3. Оператор не продаёт, не обменивает и не передаёт персональные данные в коммерческих целях, кроме случаев, прямо предусмотренных Политикой или законодательством РФ.

7.4. Распространение персональных данных (раскрытие неопределённому кругу лиц) не осуществляется.

8. Трансграничная передача данных

8.1. Оператор не осуществляет трансграничную передачу персональных данных, кроме случаев, когда это необходимо для исполнения договора с Пользователем (в т. ч. международная доставка), при выполнении требований ст. 12 ФЗ № 152-ФЗ.

8.2. При трансграничной передаче Оператор до её начала уведомляет Роскомнадзор и получает отдельное явное согласие Пользователя на передачу его данных.

8.3. Передача в страны, не включённые Роскомнадзором в перечень государств с адекватной защитой персональных данных, не допускается без выполнения требований ч. 4 ст. 12 ФЗ № 152-ФЗ.

9. Файлы Cookie и веб-аналитика

9.1. Сайт использует файлы Cookie — небольшие текстовые файлы, сохраняемые в браузере Пользователя при посещении Сайта.

9.2. Категории используемых Cookie:

9.3. При первом посещении отображается баннер управления согласием на Cookie. Пользователь вправе выбрать разрешённые категории, принять все или отказаться от необязательных. Аналитические и маркетинговые Cookie не устанавливаются до получения явного согласия.

9.4. Пользователь вправе в любое время изменить настройки согласия через инструмент управления Cookie на Сайте или через настройки браузера. Отключение функциональных Cookie может ограничить работоспособность отдельных функций.

9.5. Используются сервисы веб-аналитики, обрабатывающие данные на серверах на территории Российской Федерации (ч. 5 ст. 18 ФЗ № 152-ФЗ).

10. Права субъектов персональных данных

10.1. В соответствии с ФЗ № 152-ФЗ Пользователь имеет следующие права в отношении своих персональных данных:

• Право на доступ (ст. 14) — получить подтверждение факта обработки и копию обрабатываемых персональных данных.
• Право на уточнение (ст. 14, 20) — требовать исправления неточных или неполных данных.
• Право на удаление (ст. 14, 21) — требовать блокирования или удаления персональных данных при незаконной обработке либо утрате необходимости в них.
• Право на отзыв согласия (ст. 9) — отозвать ранее данное согласие; отзыв не влияет на законность ранее осуществлённой обработки.
• Право на возражение против автоматизированных решений (ст. 16) — требовать, чтобы значимые решения не принимались исключительно автоматически, и пересмотра решения с участием человека.
• Право на возражение против маркетинга — отказаться от обработки в целях прямого маркетинга (отписка).
• Право на обжалование — обжаловать действия Оператора в Роскомнадзоре (rkn.gov.ru) или в суде.
• Право на возмещение вреда — требовать возмещения убытков и компенсации морального вреда, причинённых нарушением требований законодательства о персональных данных (ч. 2 ст. 17 ФЗ № 152-ФЗ).

10.2. Для реализации прав Пользователь направляет обращение по электронной почте mail1@mail.ru либо в письменной форме по адресу: г. Москва, ул. Плещеева, 4 стр. 1. По этим же контактам ведётся связь с ответственным за организацию обработки персональных данных у Оператора.

10.3. Обращение должно содержать: ФИО; контактные данные; описание требования; копию документа, удостоверяющего личность (при необходимости идентификации).

10.4. Оператор рассматривает обращение и направляет ответ в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя о причинах продления (ч. 1 ст. 20 ФЗ № 152-ФЗ).

11. Меры по обеспечению безопасности

11.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных (ст. 19 ФЗ № 152-ФЗ):

• назначен ответственный за организацию обработки персональных данных;
• разработаны и введены локальные нормативные акты по обработке и защите персональных данных;
• сотрудники, имеющие доступ к персональным данным, ознакомлены с требованиями под роспись;
• доступ к персональным данным ограничен по принципу наименьших привилегий;
• при передаче персональных данных используются защищённые соединения (SSL/TLS);
• пароли хранятся в зашифрованном виде;
• проводятся регулярные проверки условий обработки персональных данных;
• принимаются меры по обнаружению и ликвидации последствий компьютерных атак;
• в Роскомнадзор направлено уведомление об обработке персональных данных (ст. 22 ФЗ № 152-ФЗ).

11.2. В случае выявления утечки персональных данных Оператор в течение 24 часов уведомляет Роскомнадзор об инциденте, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 ФЗ № 152-ФЗ).

12. Обращение в Роскомнадзор

12.1. Если Пользователь считает, что его права в сфере защиты персональных данных нарушены, он вправе обратиться с жалобой в уполномоченный орган — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор):

• Сайт: rkn.gov.ru
• Портал подачи обращений: eais.rkn.gov.ru
• Адрес: 109074, г. Москва, Китайгородский проезд, д. 7, стр. 2.

13. Заключительные положения

13.1. Настоящая Политика вступает в силу с момента публикации на Сайте и действует бессрочно до замены новой редакцией.

13.2. Актуальная версия всегда доступна на Сайте по адресу: https://dev.smarty-shop.com/privacy. При существенных изменениях, затрагивающих права Пользователей, Оператор уведомляет об этом размещением сообщения на Сайте не менее чем за 10 дней до вступления изменений в силу.

13.3. По всем вопросам обработки персональных данных Пользователь вправе обращаться к Оператору по реквизитам, указанным в настоящей Политике.

13.4. К отношениям, не урегулированным настоящей Политикой, применяется законодательство Российской Федерации.

13.5. Признание какого-либо положения Политики недействительным не влечёт недействительности остальных её положений.