Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет политику Оператора в отношении обработки персональных данных и сведения о реализуемых требованиях к их защите (ч. 1 ст. 18.1 Закона о персональных данных).

1.2. Оператор персональных данных (далее — Оператор):

Оператор

Индивидуальный предприниматель Ханникова Ольга Николаевна

ИНН

301610539971

ОГРНИП

316302500080450

Адрес регистрации

414052, г. Астрахань, ул. Красноармейская, д. 13, кв. 66

Фактический и почтовый адрес

414000, г. Астрахань, ул. Бабушкина, д. 110а

Телефон

+7 (8512) 43-05-05

Электронная почта

mail@sadgorod.online

Сайт

https://садгород.рф/

Реестр операторов персональных данных

регистрационный номер 30-25-008717

1.3. Политика применяется ко всем персональным данным, которые Оператор обрабатывает:

• при использовании сайта https://садгород.рф/, включая виджет сайта, загружаемый с домена sadgorod.online (далее вместе — Сайт);
• при оформлении и получении заказов, участии в программе лояльности «Карта любимого покупателя», обращениях по телефону и электронной почте;
• в магазинах «САДГОРОД», в том числе при видеонаблюдении в торговых залах.

1.4. Политика опубликована на Сайте в свободном доступе на странице «Политика обработки персональных данных» (ч. 2 ст. 18.1 Закона о персональных данных). Ссылка на Политику размещена на страницах, где собираются персональные данные.

1.5. Согласия на обработку персональных данных оформляются отдельными документами: Согласие на обработку персональных данных (регистрация, личный кабинет, программа лояльности, обращения через чат на Сайте) и Согласие на аналитические cookie. Порядок использования cookie описан в Политике использования файлов cookie.

2. Термины

2.1. В Политике термины используются в значениях, установленных ст. 3 Закона о персональных данных:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту;
• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

2.2. Также в Политике используются термины: Сайт — см. п. 1.3; Пользователь — посетитель Сайта; Покупатель — лицо, оформившее заказ на Сайте или совершившее покупку в магазине «САДГОРОД»; cookie — небольшой файл, который Сайт сохраняет в браузере посетителя.

3. Принципы обработки

3.1. Оператор обрабатывает персональные данные в соответствии с принципами ст. 5 Закона о персональных данных:

• обработка ведётся законно и справедливо, только для конкретных, заранее определённых и законных целей, перечисленных в разделе 6;
• не допускается обработка, несовместимая с целями сбора, и объединение баз данных, обрабатываемых в несовместимых целях;
• обрабатываются только те данные, которые нужны для конкретной цели, — не больше;
• Оператор принимает меры, чтобы данные были точными, достаточными и актуальными;
• данные хранятся не дольше, чем этого требуют цели обработки или закон, а затем уничтожаются или обезличиваются.

3.2. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни), сведения о судимости и биометрические персональные данные. Записи видеонаблюдения в магазинах не используются для установления личности и биометрическими персональными данными не являются.

3.3. Оператор не распространяет персональные данные (не публикует их и не раскрывает неопределённому кругу лиц).

3.4. Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права, на основании исключительно автоматизированной обработки персональных данных.

3.5. Сайт не предназначен для сбора данных лиц младше 14 лет. Если Оператору станет известно, что такие данные получены без согласия законного представителя, Оператор их уничтожит.

4. Права и обязанности Оператора

4.1. Оператор вправе:

• самостоятельно определять состав мер, необходимых и достаточных для выполнения обязанностей, предусмотренных Законом о персональных данных;
• поручать обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании договора, содержащего требования ч. 3 ст. 6 Закона о персональных данных;
• продолжать обработку персональных данных без согласия субъекта после отзыва согласия при наличии оснований, указанных в п. 2–11 ч. 1 ст. 6 Закона о персональных данных (например, для исполнения договора или требований налогового законодательства).

4.2. Оператор обязан:

• обрабатывать персональные данные только при наличии законного основания и только для целей, указанных в разделе 6;
• предоставлять субъекту по его запросу информацию об обработке его персональных данных либо мотивированный отказ (ст. 14, 20 Закона о персональных данных);
• уточнять, блокировать и уничтожать персональные данные в случаях и в сроки, указанные в разделе 12;
• принимать меры по обеспечению безопасности персональных данных (раздел 11);
• уведомлять Роскомнадзор об обработке персональных данных (ст. 22 Закона о персональных данных) и об изменении сведений в уведомлении — не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения (ч. 7 ст. 22 Закона о персональных данных), а также о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных, в сроки ч. 3.1 ст. 21 Закона о персональных данных;
• обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).

5. Права субъекта персональных данных

5.1. Субъект персональных данных вправе:

• получить сведения об обработке своих персональных данных, перечисленные в ч. 7 ст. 14 Закона о персональных данных: факт обработки, правовые основания и цели, способы обработки, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, сведения о лицах, которым данные переданы или поручена обработка;
• требовать уточнения своих персональных данных, их блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных и согласие на аналитические cookie в любое время (раздел 12);
• обжаловать действия или бездействие Оператора в Роскомнадзор (Управление Роскомнадзора по Астраханской области) или в суд, требовать возмещения убытков и компенсации морального вреда в судебном порядке.

5.2. Субъект обязан сообщать достоверные данные и своевременно обновлять их (например, в личном кабинете), если они изменились. Указывая в заказе данные другого человека (например, получателя), Покупатель подтверждает, что вправе их сообщить.

6. Цели обработки, перечень данных, основания и сроки

6.1. Для каждой цели Оператор обрабатывает только указанные ниже данные указанных категорий субъектов. Ссылки на пункты — на ч. 1 ст. 6 Закона о персональных данных.

6.2. Данные, указанные в форме заказа или регистрации, Оператор получает непосредственно от субъекта.

6.3. Если при оформлении заказа без входа в личный кабинет система Сайта создаёт служебную запись покупателя, она используется только для исполнения заказа (цель 6.1.2): логин и пароль покупателю не направляются, функции личного кабинета не предоставляются. Личный кабинет создаётся только по согласию (цель 6.1.1).

6.4. Оператор не направляет рекламные рассылки по электронной почте, SMS, в мессенджерах и по иным сетям электросвязи и не обрабатывает персональные данные в целях продвижения товаров путём прямых контактов (ст. 15 Закона о персональных данных). Информация об акциях публикуется в канале магазина в мессенджере «Макс» (п. 8.3), в которую пользователь вступает сам. Если Оператор решит вести рассылки, он заранее получит отдельное согласие и внесёт изменения в Политику.

6.5. Если для цели больше нет оснований (цель достигнута, согласие отозвано, истёк срок), Оператор прекращает обработку и уничтожает данные в порядке раздела 12, если их дальнейшее хранение не требуется по закону.

7. Действия с данными и способы обработки

7.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам, указанным в разделе 8, блокирование, обезличивание (только для цели 6.1.5), удаление, уничтожение. Для цели 6.1.5 данные обрабатываются в сервисе «Яндекс Метрика» и доступны Оператору в виде статистических отчётов.

7.2. Способ обработки — смешанная обработка (с использованием средств автоматизации и без них) с передачей по внутренней сети Оператора и по сети Интернет.

7.3. Данные Сайта и корпоративная электронная почта Оператора хранятся на сервере в дата-центре в г. Москве (Российская Федерация), который предоставляет ООО «ТАЙМВЭБ.КЛАУД» (раздел 8). Данные о заказах передаются в учётную систему 1С Оператора (выгрузка заказов и остатков). Учётная система 1С установлена на компьютере Оператора в магазине в г. Астрахани (Российская Федерация) и не размещается в облачных сервисах. Записи видеонаблюдения хранятся на видеорегистраторе в магазине.

7.4. Оператор и его работники, получившие доступ к персональным данным, не раскрывают их третьим лицам и не распространяют без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Закона о персональных данных).

8. Кому передаются данные и кому поручается обработка

8.1. Оператор передаёт персональные данные или поручает их обработку только в объёме, необходимом для соответствующей цели. Лица, обрабатывающие данные по поручению Оператора, обязаны соблюдать конфиденциальность, принципы и правила обработки и меры защиты по Закону о персональных данных (ч. 3 ст. 6).

8.2. Доставку заказов выполняют водители-экспедиторы Оператора; сторонние курьерские службы Оператор не привлекает.

8.3. Канал магазина в мессенджере «Макс», где публикуется информация об акциях и размещён общий для всех подписчиков QR-код карты лояльности, работает на платформе ООО «Коммуникационная платформа». Пользователь подписывается на канал сам и может отписаться от него в любой момент; данные своего профиля он передаёт платформе по её собственным правилам. Оператор не передаёт платформе данные покупателей.

9. Файлы cookie и Яндекс Метрика

9.1. Сайт использует необходимые cookie, без которых он не работает (сессия, корзина, вход в личный кабинет), и аналитические cookie сервиса «Яндекс Метрика» и встроенной статистики 1С-Битрикс.

9.2. Аналитические cookie и «Яндекс Метрика» включаются только после нажатия «Принять все» в окне cookie; условия обработки изложены в Согласии на аналитические cookie. Кнопка «Только необходимые» отключает аналитику. Изменить выбор можно в любое время.

9.3. Сервисы Яндекса, встроенные в отдельные страницы Сайта (карта магазинов «Яндекс Карты», оплата через «Яндекс Пэй» и «Сплит»), загружаются с серверов ООО «ЯНДЕКС» при использовании этих функций и могут устанавливать cookie на доменах Яндекса. Эти cookie ООО «ЯНДЕКС» обрабатывает как самостоятельный оператор по своей политике конфиденциальности.

9.4. Перечень cookie, их назначение и сроки приведены в Политике использования файлов cookie.

10. Трансграничная передача

10.1. Оператор не осуществляет трансграничную передачу персональных данных. Сайт, почта, учётная система 1С и сервисы, перечисленные в разделе 8, размещены в Российской Федерации; шрифты и другие ресурсы Сайта загружаются с собственного сервера Оператора.

10.2. Если трансграничная передача понадобится, Оператор до её начала уведомит Роскомнадзор (ст. 12 Закона о персональных данных) и внесёт изменения в Политику.

11. Меры защиты персональных данных

11.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона о персональных данных, в том числе:

• назначено лицо, ответственное за организацию обработки персональных данных;
• изданы Политика и локальные акты по обработке и защите персональных данных; работники, допущенные к данным, ознакомлены с ними;
• проведена оценка вреда, который может быть причинён субъектам персональных данных (приказ Роскомнадзора от 27.10.2022 № 178);
• доступ к данным имеют только работники, которым он нужен для работы; права доступа к Сайту, его административной части, учётной системе и записям видеонаблюдения разграничены;
• определены угрозы безопасности персональных данных и уровень их защищённости в информационных системах (постановление Правительства РФ от 01.11.2012 № 1119);
• данные между браузером и Сайтом передаются по зашифрованному протоколу TLS (HTTPS); пароли пользователей хранятся в виде хешей;
• применяются антивирусная защита, межсетевое экранирование, резервное копирование и восстановление данных;
• ведётся учёт машинных носителей персональных данных;
• исключён неконтролируемый доступ посторонних лиц в помещения, где обрабатываются персональные данные;
• проводится внутренний контроль соответствия обработки персональных данных закону и Политике.

12. Запросы субъектов, отзыв согласия, уточнение и уничтожение данных

12.1. Направить запрос или отозвать согласие можно:

• письмом на почтовый адрес: 414000, г. Астрахань, ул. Бабушкина, д. 110а;
• электронным письмом на mail@sadgorod.online;
• для согласия на аналитические cookie — также ссылкой «Настройки cookie» внизу любой страницы Сайта или кнопкой «Изменить выбор по cookie» в Политике использования файлов cookie.

12.2. Запрос о предоставлении сведений должен содержать (ч. 3 ст. 14 Закона о персональных данных): номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате его выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, номер заказа, номер телефона или адрес электронной почты, указанные на Сайте), либо иные сведения, подтверждающие обработку его данных Оператором; подпись субъекта или его представителя. Запрос в электронной форме подписывается электронной подписью в соответствии с законодательством Российской Федерации. Ответ направляется в той же форме, в которой поступил запрос, если в нём не указано иное.

12.3. Сроки ответа:

• сведения об обработке данных или мотивированный отказ — в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 3 ст. 14, ч. 1–2 ст. 20 Закона о персональных данных);
• требование прекратить обработку — в течение 10 рабочих дней с даты получения, с возможностью продления не более чем на 5 рабочих дней (ч. 5.1 ст. 21);
• уточнение неточных данных — в течение 7 рабочих дней с даты получения подтверждающих сведений (ч. 2 ст. 21);
• уничтожение незаконно полученных или не нужных для заявленной цели данных — в течение 7 рабочих дней с даты, когда субъект представил подтверждающие сведения (ч. 3 ст. 20);
• неправомерная обработка — прекращается в течение 3 рабочих дней с даты выявления, данные уничтожаются в течение 10 рабочих дней, если обеспечить правомерность невозможно (ч. 3 ст. 21);
• отзыв согласия или достижение цели — обработка прекращается, данные уничтожаются в течение 30 дней, если нет иного законного основания для их обработки (ч. 4–5 ст. 21);
• ответ на запрос Роскомнадзора — в течение 10 рабочих дней с даты получения, срок может быть продлён не более чем на 5 рабочих дней (ч. 4 ст. 20).

12.4. Если уничтожить данные в указанный срок невозможно, Оператор блокирует их и уничтожает в срок не более 6 месяцев (ч. 6 ст. 21).

12.5. Порядок уничтожения: электронные данные удаляются из баз данных Сайта и учётной системы без возможности восстановления, бумажные носители измельчаются, записи видеонаблюдения удаляются автоматически по истечении срока хранения. Уничтожение подтверждается актом об уничтожении персональных данных, а для данных, обрабатываемых автоматизированно, — также выгрузкой из журнала регистрации событий (требования утверждены приказом Роскомнадзора от 28.10.2022 № 179). Акты об уничтожении и выгрузки из журнала хранятся 3 года с даты уничтожения. Данные, срок хранения которых установлен законом, уничтожаются по истечении этого срока.

12.6. После отзыва согласия Оператор вправе продолжить обработку без согласия только при наличии оснований, предусмотренных п. 2–11 ч. 1 ст. 6 Закона о персональных данных (например, хранение данных о выполненном заказе для налогового учёта). Отзыв согласия на обработку данных для личного кабинета означает удаление учётной записи; после этого «цена по карте» на Сайте не применяется, а в магазинах остаётся доступной по общему QR-коду из канала в «Макс».

13. Заключительные положения

13.1. Политика утверждена индивидуальным предпринимателем Ханниковой О. Н., вступает в силу с даты публикации на Сайте и действует до замены новой редакцией. Предыдущая редакция Политики утрачивает силу.

13.2. Оператор пересматривает Политику при изменении законодательства, целей или способов обработки. Новая редакция публикуется на Сайте с указанием даты; если изменения требуют нового согласия, Оператор запрашивает его. Предыдущие редакции Политики и текстов согласий Оператор хранит не менее 3 лет после окончания срока действия последнего согласия, данного по ним, и предоставляет по запросу.

13.3. Вопросы по Политике и обработке персональных данных направляйте ответственному за организацию обработки персональных данных по адресу mail@sadgorod.online или по телефону +7 (8512) 43-05-05.