Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет цели, правовые основания, порядок и условия обработки персональных данных, а также меры по их защите.

1.2. Оператор персональных данных (далее — Оператор): ИП Пенькова Анастасия Станиславовна, ИНН 252692184929, ОГРНИП 325253600077219. Юридический адрес: 690089, Приморский край, г. Владивосток, ул. Героев Варяга, 10, кв. 17. Адрес магазина: г. Владивосток, ул. Сочинская, 3а ст2. Электронная почта для обращений по вопросам персональных данных: penkova_a@mail.ru.

1.3. Политика применяется к персональным данным, которые Оператор получает в связи с работой сайта магазина «МореЕда» (moreeda.shop) и оформлением на нём заказов.

1.4. Политика опубликована в свободном доступе на этой странице (ч. 2 ст. 18.1 Закона). Отдельно опубликован текст согласия на обработку персональных данных.

1.5. Ответственным за организацию обработки персональных данных является лично Оператор — ИП Пенькова Анастасия Станиславовна. Он принимает и рассматривает обращения субъектов персональных данных (контакт — penkova_a@mail.ru).

2. Основные понятия

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Иные понятия используются в значениях, установленных статьёй 3 Закона.

3. Цели обработки, категории субъектов, перечень данных, правовые основания и сроки

3.1. Оформление, исполнение и доставка заказа, связь с покупателем по заказу

• Категории субъектов: покупатели, оформляющие заказ на сайте.
• Перечень данных: имя; номер телефона; адрес доставки — при выборе доставки; комментарий к заказу — если указан. Вместе с заказом сохраняются дата и время дачи согласия и редакция его текста.
• Правовые основания: согласие субъекта (п. 1 ч. 1 ст. 6 Закона); исполнение договора, стороной которого является субъект, и заключение договора по его инициативе (п. 5 ч. 1 ст. 6 Закона).
• Срок обработки и хранения: до выполнения или отмены заказа, но не более 90 календарных дней с даты оформления заказа, либо до отзыва согласия, если он наступит раньше. Порядок удаления — в п. 6.4.

3.2. Обеспечение работоспособности и безопасности сайта

• Категории субъектов: посетители сайта.
• Перечень данных: IP-адрес, дата и время запроса, адрес запрошенной страницы, сведения о браузере — в журналах веб-сервера.
• Правовое основание: осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6 Закона).
• Срок хранения: 14 дней, после чего журналы удаляются автоматически.

3.3. Специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические персональные данные Оператор не обрабатывает.

4. Порядок и условия обработки

4.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, удаление, уничтожение. Способ обработки — смешанный (с использованием средств автоматизации и без них).

4.2. Данные заказа обрабатываются только при наличии согласия покупателя, которое он даёт, отмечая соответствующее поле перед отправкой заказа. Заказ передаётся с сайта по защищённому соединению (HTTPS) и сохраняется в базе данных заказов Оператора на сервере сайта. Имя, номер телефона, адрес доставки и комментарий хранятся в базе данных в зашифрованном виде. С заказом работают Оператор и уполномоченные им работники: они связываются с покупателем по телефону, чтобы подтвердить заказ. В браузере покупателя сохраняется только состав корзины — без персональных данных.

4.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона). Сервер сайта и база данных заказов расположены в г. Москве, на сервере, арендованном у российского хостинг-провайдера. Обработку персональных данных Оператор хостинг-провайдеру не поручает.

4.4. Трансграничная передача персональных данных не осуществляется.

4.5. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации.

4.6. Сайт не использует файлы cookie и сервисы веб-аналитики. Карта проезда сервиса «Яндекс Карты» загружается только после нажатия кнопки «Показать карту»; после этого ООО «Яндекс» может обрабатывать данные посетителя, в том числе с использованием cookie, по собственным правилам.

4.7. Оператор и лица, получившие доступ к персональным данным, не раскрывают и не распространяют их без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Закона).

5. Права субъекта персональных данных

Субъект персональных данных вправе:

• получать доступ к своим персональным данным и сведения об их обработке (ст. 14 Закона);
• требовать уточнения (исправления), блокирования или уничтожения (удаления) своих персональных данных, если они неполные, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели обработки (ч. 1 ст. 14 Закона);
• отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона);
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде (ст. 17 Закона).

Как воспользоваться правами: направьте запрос или отзыв согласия на электронную почту penkova_a@mail.ru или письмом по юридическому адресу. Оператор отвечает в течение 10 (десяти) рабочих дней с даты получения запроса (подробнее — в разделе 6).

6. Актуализация, исправление, удаление и уничтожение данных; ответы на запросы

6.1. Запросы, требования и отзыв согласия направляются Оператору на электронную почту penkova_a@mail.ru или письмом по юридическому адресу. Чтобы Оператор мог найти данные, укажите номер заказа (если он известен), имя, номер телефона и дату заказа.

6.2. Оператор отвечает на запрос субъекта в течение 10 (десяти) рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением мотивированного уведомления (ч. 1 ст. 20 Закона).

6.3. При достижении цели обработки Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий тридцати дней (ч. 4 ст. 21 Закона). При отзыве согласия — в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено законом (ч. 5 ст. 21 Закона).

6.4. Персональные данные покупателя (имя, номер телефона, адрес доставки, комментарий) удаляются из базы данных заказов автоматически и безвозвратно:

• сразу после того, как заказ отмечен выполненным или отменённым;
• если заказ не был завершён — не позднее следующих суток после истечения 90 календарных дней с даты его оформления;
• при отзыве согласия или по требованию субъекта — в сроки, указанные в п. 6.3.

После удаления в базе остаются только сведения о составе, сумме и способе получения заказа, по которым определить покупателя невозможно. Резервные копии базы данных хранятся не более 14 дней, данные покупателей в них зашифрованы; по истечении этого срока копии удаляются автоматически, вместе с ними удаляются и данные. Если покупатель связывался с Оператором по телефону или в мессенджере, сведения о заказе удаляются из переписки и со всех иных носителей в те же сроки.

7. Меры по обеспечению безопасности персональных данных

Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения (ст. 18.1 и 19 Закона), в том числе:

• доступ к персональным данным покупателей имеют только Оператор и уполномоченные им работники — по персональным учётным записям, в объёме, необходимом для работы с заказами; для работников вход защищён двухфакторной аутентификацией, число попыток входа ограничено;
• имя, номер телефона, адрес и комментарий покупателя хранятся в базе данных в зашифрованном виде (алгоритм AES-256); ключ шифрования хранится отдельно от базы данных и не входит в её резервные копии;
• действия с заказами (кто, когда и какое действие совершил) регистрируются в журнале; значения полей в журнал не записываются, поэтому копии персональных данных в нём не остаются;
• соединение с сайтом и с системой управления заказами защищено шифрованием по протоколу HTTPS (TLS);
• число заказов, которые можно отправить с одного адреса за минуту, ограничено — для защиты от автоматизированных атак;
• доступ к серверу сайта ограничен и защищён межсетевым экраном, журналы веб-сервера хранятся не более 14 дней;
• данные удаляются автоматически по истечении сроков, указанных в разделе 3 и п. 6.4;
• опубликованы настоящая Политика и текст согласия на обработку персональных данных.

Если будет установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор с момента выявления такого инцидента уведомляет Роскомнадзор: в течение 24 часов — о произошедшем инциденте, его предполагаемых причинах, предполагаемом вреде и принятых мерах по устранению последствий; в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона).

8. Заключительные положения

8.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её публикации на этой странице; дата редакции указана в начале документа.

8.2. По всем вопросам обработки персональных данных обращайтесь по адресу penkova_a@mail.ru.