Компания «САЭ» — официальные решения для автоматизации и безопасности

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.       ПЕРЕЧЕНЬ ТЕРМИНОВ И СОКРАЩЕНИЙ

2.       ОБЩИЕ ПОЛОЖЕНИЯ

2.1.        Настоящая Политика определяет порядок сбора, использования, хранения и защиты ПДн физических лиц, которые используют Сайт, оформляют заказы, регистрируются, подписываются на рассылку, связываются с Оператором по телефону, электронной почте или через онлайн-чат, а также иным образом взаимодействуют с Оператором.

2.2.        Политика разработана в соответствии с:

·      Конституцией Российской Федерации;

·      Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;

·      Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

·      Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе»;

·      Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

·      Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

·      иными нормативными правовыми актами Российской Федерации в области обработки и защиты ПДн.

2.3.        Политика не регулирует обработку ПДн сотрудников Оператора. Для целей обработки ПДн сотрудников (трудовых отношений) Оператором принят отдельный локальный нормативный акт. Также Политика не охватывает отношения, на которые не распространяется действие ФЗ-152 (п. 2 ст. 1 ФЗ-152).

2.4.        Политика охватывает следующие ситуации:

·      регистрация и авторизация Пользователя на Сайте, ведение Личного кабинета Пользователя;

·      оформление заказа через форму на Сайте (включая вкладки «Физическое лицо» и «Юридическое лицо»);

·      заключение и исполнение договоров купли-продажи и иных договоров с контрагентами (ИП, юридическими лицами) и обработка данных их представителей;

·      использование формы «Купить в 1 клик» (экспресс-заказ);

·      использование формы «Подобрать аналог» и формы «Задать вопрос»;

·      телефонные звонки и переписка по электронной почте;

·      взаимодействие с онлайн-чатом Jivo;

·      сбор технических данных и файлов cookie для обеспечения работы Сайта;

·      сбор статистики с использованием сервиса Яндекс.Метрика (только с отдельного согласия);

·      направление рекламной рассылки (при наличии отдельного согласия);

2.4.1.       Простое использование Сайта (просмотр страниц) не влечет обработку ПДн, кроме технически необходимых cookie.

2.4.2.       Заполнение и отправка форм на Сайте означает, что Пользователь ознакомился с настоящей Политикой и выражает согласие на обработку своих ПДн на изложенных условиях. Согласие на обработку ПДн оформляется отдельным документом в соответствии с требованиями ч. 1 ст. 9 ФЗ-152. Подтверждением ознакомления с Политикой и предоставления согласия является проставление отметки (чек-бокса) в соответствующем поле, при этом чек-бокс не активирован по умолчанию. Если Пользователь не согласен с условиями, ему не следует отправлять формы или использовать сервисы, требующие предоставления ПДн.

2.4.3.       Согласие на обработку ПДн, когда оно требуется, оформляется отдельным документом и подтверждается отдельно и явно:

·      для обязательных данных, необходимых для исполнения договора (ФИО, адрес доставки, телефон, email) - согласие является условием заключения договора. Пользователь выражает его, проставив отметку в чек-боксе рядом с текстом «Я даю согласие на обработку моих персональных данных в соответствии с Политикой обработки персональных данных» и перейдя по ссылке на текст отдельного согласия; чек-бокс заранее не активирован; без его проставления отправка формы технически невозможна;

·      для необязательных данных (рекламная рассылка, аналитические cookie) - согласие является добровольным и дается отдельно через специальный чек-бокс или cookie-баннер. Отказ от такого согласия не препятствует использованию основных функций Сайта.

2.5.        Оператор исходит из того, что Пользователь предоставляет достоверные сведения, и не проводит их самостоятельной проверки. За актуальность ПДн отвечает сам Пользователь.

2.6.        Сайт и услуги не предназначены для сбора ПДн несовершеннолетних. Использование Сайта разрешено исключительно лицам, достигшим 18 лет. Если Оператору станет известно, что предоставлены данные несовершеннолетнего без согласия законных представителей, такие данные будут незамедлительно уничтожены.

3.       ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПДН

3.1.        Правовыми основаниями обработки ПДн Оператором являются:

·      исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 ФЗ-152) - для оформления и исполнения заказов, доставки товаров, ведения учета, регистрации и авторизации Пользователя, а также для обеспечения функционирования Сайта, для заключения и исполнения договоров с контрагентами;

·      согласие субъекта ПДн на обработку (п. 1 ч. 1 ст. 6 ФЗ-152) - для приема и обработки заявок, консультирования, направления рекламной рассылки, сбора аналитики через Яндекс.Метрику, а также для обработки данных, предоставляемых через онлайн-чат Jivo;

·      законный интерес Оператора (п. 7 ч. 1 ст. 6 ФЗ-152) - для обеспечения технической работоспособности и безопасности Сайта, что включает: предотвращение DDoS-атак, защиту от несанкционированного доступа, выявление и устранение ошибок в работе сайта, обеспечение стабильного функционирования для всех пользователей; этот интерес признается Оператором правомерным, поскольку он не ущемляет основные права и свободы субъектов ПДн и необходим для достижения целей, указанных в Политике.

3.2.        Оператор осуществляет фиксацию (логирование) фактов предоставления, отзыва или изменения согласий субъектов ПДн на обработку их ПДн. Фиксация производится автоматически при совершении Пользователем соответствующих действий (проставление отметки в чек-боксе, нажатие кнопки в интерфейсе Сайта, переход по ссылке «Отписаться» и т.п.). Срок хранения логов согласий - 3 (три) года после прекращения действия согласия.

4.       МЕХАНИЗМЫ ПОЛУЧЕНИЯ СОГЛАСИЯ СУБЪЕКТА ПДН

4.1.        Для сбора согласия Оператор использует следующие механизмы, обеспечивающие добровольность, конкретность и информированность согласия:

4.1.1.       Для целей заключения и исполнения договора (регистрация в личном кабинете, оформление заказа):

При заполнении формы регистрации или оформления заказа Пользователю предлагается проставить отметку в неактивированном по умолчанию чек-боксе с текстом: «Я даю согласие на обработку моих персональных данных в соответствии с Политикой обработки персональных данных» (с активной гиперссылкой на полный текст Политики) и подтвердить, что ознакомлен с отдельным документом «Согласие на обработку персональных данных», текст которого доступен по ссылке рядом с чек-боксом. Отправка формы технически невозможна без проставления отметки.

4.1.2.       Для цели обработки обращений, консультаций и запросов, поступающих через формы на сайте:

Пользователю предлагается проставить отметку в неактивированном по умолчанию чек-боксе с текстом: «Я даю согласие на обработку моих персональных данных в соответствии с Политикой обработки персональных данных» (с активной гиперссылкой на полный текст Политики) и подтвердить, что ознакомлен с отдельным документом «Согласие на обработку персональных данных», текст которого доступен по ссылке рядом с чек-боксом. Отправка формы технически невозможна без проставления отметки.

Тумблер по умолчанию находится в выключенном положении. Согласие является добровольным, однако без его предоставления Оператор не сможет обработать заявку.

4.1.3.       Для направления рекламной рассылки:

Согласие запрашивается через отдельный, неактивированный по умолчанию чек-бокс (в форме регистрации, оформления заказа или в Личном кабинете) с текстом: «Я согласен получать рекламные сообщения». Пользователь должен также подтвердить, что ознакомлен с отдельным документом «Согласие на рекламные рассылки», текст которого доступен по ссылке рядом с чек-боксом Данное согласие не является обязательным для регистрации или оформления заказа.

4.1.4.       Для сбора аналитических данных (Яндекс.Метрика):

При первом посещении Сайта Пользователю отображается cookie-баннер, запрашивающий отдельное согласие на использование аналитических файлов cookie и загрузку скрипта Яндекс.Метрики. Механизм работы баннера описан в разделе «Файлы cookie и использование сервисов аналитики» настоящей Политики.

4.1.5.       Для использования онлайн-чата Jivo:

При начале диалога в онлайн-чате Jivo Пользователю отображается уведомление о том, что его данные (включая имя, телефон, e-mail, IP-адрес и технические данные) обрабатываются в целях консультирования. Продолжение диалога после ознакомления с уведомлением означает согласие Пользователя на обработку указанных данных.

4.2.        При поступлении обращения по телефону Оператор информирует звонящего о том, что разговор может быть записан, и предупреждает о целях обработки его голоса и иных данных. Согласие на обработку ПДн при телефонном обращении считается полученным с момента, когда звонящий продолжает разговор после такого предупреждения. При обращении по электронной почте согласие на обработку ПДн, содержащихся в тексте обращения, считается полученным с момента отправки обращения, если в тексте содержится явное указание на согласие. В ином случае Оператор запрашивает согласие дополнительно.

4.3.        Субъект ПДн самостоятельно решает, предоставлять ли свои ПДн, и дает согласие свободно, своей волей и в своем интересе. Если Субъект отказывается предоставить данные, обязательные для заключения и исполнения договора, Оператор не сможет выполнить необходимые действия (регистрация не будет завершена, заказ не будет оформлен).

5.       ПРИНЦИПЫ И ПОРЯДОК ОБРАБОТКИ ПДН

5.1.        Обработка ПДн осуществляется на основе следующих принципов:

·      законности и справедливости;

·      ограничения обработки конкретными, заранее определенными целями;

·      недопущения объединения баз данных, содержащих ПДн, обрабатываемых в несовместимых целях;

·      обработки только тех ПДн, которые отвечают целям (принцип минимизации);

·      соответствия содержания и объема ПДн заявленным целям (недопущение избыточности);

·      обеспечения точности, актуальности и принятия мер по удалению или уточнению неполных / неточных данных;

·      хранения ПДн в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.

5.2.        Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн с использованием баз данных, находящихся на территории Российской Федерации. Инфраструктура хостинга расположена на серверах, физически размещенных на территории РФ. Все сервисы, используемые Оператором (Яндекс.Метрика, Яндекс.Карты, Jivo), обеспечивают обработку данных на серверах, расположенных на территории РФ.

5.3.        Оператор осуществляет автоматизированную обработку ПДн, а также обработку без использования средств автоматизации (при работе с бумажными носителями, если они возникают, например, при заключении офлайн-договоров). Оператор осуществляет следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение ПДн.

5.4.        При обработке ПДн без использования средств автоматизации Оператор руководствуется требованиями Постановления Правительства РФ от 15.09.2008 № 687.

5.5.        Часть запрашиваемых ПДн (имя, телефон, адрес доставки) является обязательной для достижения заявленных целей (оформление заказа, доставка). При отказе предоставить эти данные Оператор не сможет обработать заказ или связаться с Пользователем.

5.6.        Оператор не принимает решений, порождающих юридические последствия в отношении субъекта ПДн, на основании исключительно автоматизированной обработки ПДн.

6.       ЦЕЛИ ОБРАБОТКИ ПДН

6.1.        Оператор обрабатывает ПДн строго для следующих заранее определенных и законных целей. Для каждой цели ниже указаны описание цели, правовое основание, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, способы обработки, срок обработки и хранения, а также порядок уничтожения ПДн.

6.1.1.       Цель 1. Регистрация и авторизация Пользователя на Сайте, ведение Личного кабинета

·      Описание цели: создание и администрирование учетной записи Пользователя, предоставление доступа к Личному кабинету, идентификация Пользователя, обеспечение безопасности учетной записи.

·      Правовое основание: исполнение договора (п. 5 ч. 1 ст. 6 ФЗ-152).

·      Категории и перечень обрабатываемых ПДн: фамилия, имя, отчество; адрес электронной почты; номер телефона; логин; пароль (хранится в зашифрованном (хешированном) виде); история входов и действий в Личном кабинете.

·      Категории субъектов ПДн: зарегистрированные Пользователи Сайта.

·      Способы обработки: смешанная.

·      Срок обработки и хранения: до момента удаления учетной записи Пользователем, либо до истечения 3 (трех) лет с момента последней активности, если не было оформлено ни одного заказа. При удалении аккаунта данные уничтожаются в течение 30 календарных дней, за исключением сведений, подлежащих более длительному хранению в силу закона.

·      Порядок уничтожения ПДн: электронные данные - гарантированное стирание (перезапись) с использованием специализированного ПО; материальные носители (при наличии) - механическое измельчение (шредирование) с составлением акта.

6.1.2.       Цель 2. Оформление и исполнение заказов (включая экспресс-заказ «Купить в 1 клик»), доставка товаров, обработка платежей, информирование о статусе заказа, работа с контрагентами

·      Описание цели: обработка данных Покупателя для оформления заказа (в том числе упрощенного), связи с ним, передачи данных курьерским службам для доставки, формирования документов, выполнения требований законодательства, ведение договорной работы, обмен документами, выставление счетов, исполнение обязательств, налоговый и бухгалтерский учет.

·      Правовое основание: исполнение договора (п. 5 ч. 1 ст. 6 ФЗ-152), а также согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152) в части обработки контактных данных при экспресс-заказе.

·      Категории и перечень обрабатываемых ПДн:

¾        Для покупателей - физических лиц: фамилия, имя, отчество (полностью); адрес электронной почты; контактный телефон; адрес доставки (включая индекс, регион, населенный пункт, улицу, дом, квартиру); регион доставки (для расчета стоимости доставки); способ оплаты; комментарии к заказу (если указаны); история заказов; данные о факте оплаты (без реквизитов банковских карт); сведения о примененных промокодах.

¾        Для индивидуальных предпринимателей: ФИО, ИНН, ОГРНИП, адрес, контактный телефон, адрес электронной почты, банковские реквизиты.

¾        Для представителей юридических лиц и ИП: ФИО, должность, контактный телефон, адрес электронной почты, название компании, ИНН, КПП, юридический адрес (при указании).

¾        Для экспресс-заказа «Купить в 1 клик»: контактное лицо (имя); адрес электронной почты; название компании; ИНН; город; комментарий к заказу (если указан).

·      Категории субъектов ПДн: Пользователи Сайта, оформившие заказ (в том числе экспресс-заказ), индивидуальные предприниматели, представители юридических лиц и индивидуальных предпринимателей.

·      Способы обработки: смешанная.

·      Срок обработки и хранения: 5 (пять) лет с даты последней операции в соответствии с требованиями налогового и бухгалтерского законодательства. Если экспресс-заказ не был завершен, данные хранятся 1 (один) год с момента последнего взаимодействия. По истечении указанного срока данные подлежат уничтожению.

·      Порядок уничтожения ПДн: электронные данные - гарантированное стирание (перезапись); материальные носители - механическое измельчение (шредирование).

6.1.3.       Цель 3. Обработка обращений, консультаций и запросов, поступающих через формы «Подобрать аналог», «Задать вопрос», онлайн-чат Jivo, а также по телефону и электронной почте

·      Описание цели: связь с Пользователем для ответа на вопросы, обработки обращений, поступивших через формы на Сайте, по электронной почте, по телефону или через онлайн-чат, включая подбор аналогов товаров, консультирование по техническим характеристикам, наличию и цене, а также формирование базы потенциальных клиентов. Оператор рекомендует Пользователю не указывать в тексте обращения сведения, не относящиеся к сути запроса, в том числе избыточные персональные данные третьих лиц.

·      Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152).

·      Категории и перечень обрабатываемых ПДн: имя (или ФИО, если указано); контактный телефон; адрес электронной почты (при указании); текст обращения, вопроса или диалога (свободное текстовое поле, может содержать дополнительные сведения, включая избыточные персональные или технические данные, относящиеся к компании Пользователя); IP-адрес; данные о браузере и устройстве (для онлайн-чата); история переписки или диалога.

·      Категории субъектов ПДн: посетители Сайта, направившие обращение, заявку или использующие онлайн-чат.

·      Способы обработки: смешанная.

·      Срок обработки и хранения: 1 (один) год с момента последнего взаимодействия.

·      Порядок уничтожения ПДн: удаление данных без возможности восстановления.

6.1.4.       Цель 4. Направление рекламной рассылки

·      Описание цели: информирование Пользователя о товарах, акциях, новостях Оператора посредством электронной почты, SMS или иных средств связи при наличии отдельного согласия.

·      Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152).

·      Категории и перечень обрабатываемых ПДн: адрес электронной почты; контактный телефон; фамилия, имя (при указании).

·      Категории субъектов ПДн: Пользователи, выразившие согласие на получение рассылки.

·      Способы обработки: автоматизированная.

·      Срок обработки и хранения: до момента отзыва согласия. После получения отзыва или команды «Отписаться» соответствующая запись удаляется из базы рассылки в течение 30 календарных дней.

·      Порядок уничтожения ПДн: удаление данных из базы рассылки без возможности восстановления.

6.1.5.       Цель 5. Обеспечение функционирования и безопасности Сайта

·      Описание цели: обработка технических данных, файлов cookie, логов сервера для стабильной работы Сайта, предотвращения несанкционированного доступа, защиты от автоматических действий, выявления и устранения ошибок.

·      Правовое основание: законный интерес Оператора (п. 7 ч. 1 ст. 6 ФЗ-152).

·      Категории и перечень обрабатываемых ПДн: IP-адрес; дата и время доступа; URL запрашиваемых страниц; технические заголовки (User-Agent, данные браузера, ОС); файлы cookie (строго необходимые); логи сервера.

·      Категории субъектов ПДн: все пользователи Сайта.

·      Способы обработки: автоматизированная.

·      Срок обработки и хранения: сессионные cookie - до закрытия браузера; иные технические cookie - не более 30 суток; логи сервера - не более 6 месяцев.

·      Порядок уничтожения ПДн: автоматическое удаление или перезапись по истечении сроков.

6.1.6.       Цель 6. Веб-аналитика и улучшение качества Сайта (Яндекс.Метрика)

·      Описание цели: сбор обезличенных статистических данных о посещаемости, действиях пользователей, источниках переходов для оценки эффективности и оптимизации Сайта.

·      Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152), предоставляемое через cookie-баннер.

·      Категории и перечень обрабатываемых ПДн: обезличенный IP-адрес (с анонимизацией); тип и версия браузера, ОС, разрешение экрана; идентификаторы cookie; просмотренные страницы, время, клики; приблизительные географические данные (страна, город).

·      Категории субъектов ПДн: посетители Сайта (при наличии согласия).

·      Способы обработки: автоматизированная.

·      Срок обработки и хранения: до отзыва согласия; сервис Яндекс.Метрика хранит данные до 26 месяцев. Оператор не хранит сырые логи. В случае получения от сервиса отчетов, содержащих обезличенные данные, такие отчеты хранятся не более 6 месяцев и уничтожаются.

·      Порядок уничтожения ПДн: автоматическое обезличивание или удаление сервисом Яндекс.Метрика по истечении срока хранения; отчеты уничтожаются Оператором.

6.2.        Оператор не обрабатывает специальные категории ПДн (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические ПДн.

6.3.        Платежные реквизиты (номера банковских карт) Оператор не собирает и не хранит. Оплата осуществляется через платежные сервисы, которые обрабатывают платежные данные самостоятельно. Пользователь перенаправляется на защищенную страницу платежного сервиса, где вводит данные карты. Оператор получает только информацию о факте и статусе оплаты.

7.       КАТЕГОРИИ СУБЪЕКТОВ ПДН

7.1.        Оператор обрабатывает ПДн следующих категорий субъектов:

·      зарегистрированные Пользователи Сайта;

·      покупатели, оформившие заказ (в том числе без регистрации, а также через экспресс-заказ «Купить в 1 клик»);

·      пользователи, направившие заявки через формы «Подобрать аналог» и «Задать вопрос»;

·      пользователи, взаимодействующие с онлайн-чатом Jivo;

·      подписчики рекламной рассылки;

·      лица, обратившиеся в поддержку или по иным каналам связи;

·      посетители Сайта (в части технических данных и аналитики при согласии);

·      индивидуальные предприниматели и представители юридических лиц (контрагенты).

8.       ПРАВА СУБЪЕКТОВ ПДН И ПОРЯДОК ИХ РЕАЛИЗАЦИИ

8.1.        Субъект ПДн имеет право:

8.1.1.       на отзыв согласия на обработку ПДн в любой момент;

8.1.2.       получать информацию, касающуюся обработки его ПДн, включая подтверждение факта обработки, правовые основания, цели, способы, перечень обрабатываемых данных, сроки обработки и порядок осуществления прав;

8.1.3.       требовать уточнения, блокирования или уничтожения неполных, неточных, устаревших или незаконно полученных данных;

8.1.4.       обжаловать действия или бездействие Оператора в Роскомнадзор или суд.

8.2.        Для реализации своих прав, отзыва согласия или направления требования о прекращении обработки ПДн Пользователь направляет письменный запрос на электронный адрес Оператора. Запрос должен содержать:

·      фамилию, имя, отчество (при наличии);

·      контактный номер телефона или e-mail, указанный при обращении;

·      суть требования (например, «Отзыв согласия на обработку ПДн», «Запрос информации»).

8.3.        Оператор вправе запросить дополнительные сведения, позволяющие однозначно идентифицировать заявителя, без истребования копий документов, удостоверяющих личность.

8.4.        Оператор отвечает на запрос в течение 10 (десяти) рабочих дней. В сложных случаях срок может быть продлен, но не более чем на 5 (пять) рабочих дней, о чем Пользователь будет уведомлен дополнительно.

8.5.        В случае выявления неточных ПДн при обращении Пользователя Оператор блокирует спорные данные на период проверки. Если факт неточности подтвердится, Оператор уточняет данные в течение 7 (семи) рабочих дней и снимает блокировку.

9.       ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА

9.1.        Оператор имеет право:

9.1.1.       получать достоверные ПДн;

9.1.2.       обрабатывать ПДн в объеме и для целей, предусмотренных Политикой;

9.1.3.       в случае отзыва согласия продолжать обработку на ином законном основании (например, для исполнения договора или требований законодательства);

9.1.4.       передавать ПДн третьим лицам, указанным в разделе «Передача ПДн третьим лицам»;

9.1.5.       самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ФЗ-152 и принятыми в соответствии с ним нормативными правовыми актами.

9.2.        Оператор обязан:

9.2.1.       публиковать настоящую Политику на Сайте;

9.2.2.       организовывать обработку ПДн в порядке, установленном действующим законодательством РФ;

9.2.3.       предоставлять Субъекту по его просьбе информацию, касающуюся обработки его ПДн;

9.2.4.       использовать полученную информацию исключительно для заявленных целей;

9.2.5.       отвечать на обращения и запросы Субъектов и их законных представителей в соответствии с требованиями ФЗ-152;

9.2.6.       принимать правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий;

9.2.7.       прекратить обработку и уничтожить ПДн в порядке и случаях, предусмотренных ФЗ-152;

9.2.8.       сообщать в уполномоченный орган по защите прав Субъектов по запросу этого органа необходимую информацию в течение 30 календарных дней с даты получения такого запроса;

9.2.9.       своевременно уведомлять Роскомнадзор в случае установления факта неправомерной или случайной передачи ПДн, повлекшей нарушение прав субъектов ПДн, в срок, не превышающий 24 часа с момента обнаружения инцидента;

9.2.10.   исполнять иные обязанности, предусмотренные ФЗ-152.

10.   СРОКИ ХРАНЕНИЯ И ОБРАБОТКИ ПДН

10.1.     Обработка ПДн осуществляется в течение сроков, необходимых для достижения целей обработки, если иное не предусмотрено требованиями законодательства Российской Федерации.

10.2.     Условиями прекращения обработки ПДн могут являться:

·      достижение целей обработки ПДн;

·      отзыв согласия Субъектом;

·      выявление неправомерной обработки ПДн;

·      прекращение деятельности Оператора;

·      истечение установленных законодательством сроков хранения документов, содержащих ПДн (например, для целей налогового учета).

10.3.     Конкретные сроки обработки и хранения ПДн применительно к каждой цели обработки:

10.3.1.   Данные учетной записи - до момента удаления учетной записи Пользователем, либо до истечения 3 (трех) лет с момента последней активности, если не было оформлено ни одного заказа. При удалении аккаунта данные уничтожаются в течение 30 календарных дней, за исключением сведений, подлежащих более длительному хранению в силу закона.

10.3.2.   Данные о заказах - 5 (пять) лет с даты последней операции, если заказ был оформлен; если заказ не был завершен - 1 (один) год с момента последнего взаимодействия.

10.3.3.   Данные обращений, заявок, чатов - 1 (один) год с момента последнего взаимодействия.

10.3.4.   Данные контрагентов - 5 (пять) лет с даты окончания срока действия договора или последней операции, если иное не предусмотрено законодательством.

10.3.5.   Данные для рекламной рассылки - до момента отзыва согласия. После получения отзыва или команды «Отписаться» соответствующая запись удаляется из базы рассылки в течение 30 календарных дней.

10.3.6.   Технические данные - сессионные cookie - до закрытия браузера; иные технические cookie - не более 30 суток; логи сервера - не более 6 месяцев.

10.3.7.   Данные веб-аналитики (Яндекс.Метрика) - хранятся сервисом Яндекс.Метрика в течение 26 месяцев. Оператор не хранит сырые логи Яндекс.Метрики. В случае получения от сервиса отчетов, содержащих обезличенные данные, такие отчеты хранятся не более 6 месяцев и уничтожаются.

10.4.     По истечении установленных сроков или при наступлении иных условий прекращения обработки Оператор производит уничтожение ПДн:

·      электронные данные уничтожаются методами гарантированного стирания (перезапись);

·      бумажные носители (при наличии) уничтожаются путем механического измельчения (шредирования) с составлением акта.

10.5.     Уничтожение документов с истекшим сроком хранения производится по решению экспертной комиссии Оператора. Составляются протокол, акт и опись уничтожаемых дел. Акт утверждается руководителем Оператора или уполномоченным лицом.

11.   ПОРЯДОК БЛОКИРОВАНИЯ, УТОЧНЕНИЯ И УНИЧТОЖЕНИЯ ПДН

11.1.     При получении обращения субъекта ПДн, его представителя либо запроса уполномоченного органа о неточности или неправомерности обработки Оператор незамедлительно блокирует соответствующие ПДн на весь период проверки.

11.2.     Если подтверждена неточность, Оператор уточняет ПДн в течение 7 (семи) рабочих дней со дня получения необходимых сведений, после чего блокировка снимается.

11.3.     При выявлении неправомерной обработки Оператор в срок, не превышающий 3 (трех) рабочих дней, прекращает такую обработку. Если обеспечить правомерность невозможно, Оператор уничтожает ПДн в срок, не превышающий 10 (десяти) рабочих дней с момента выявления неправомерной обработки.

11.4.     При достижении цели обработки ПДн Оператор прекращает обработку и уничтожает ПДн в срок, не превышающий 30 (тридцати) календарных дней с даты достижения цели, если иное не предусмотрено законодательством.

11.5.     При отзыве согласия на обработку ПДн Оператор прекращает обработку и, если сохранение данных более не требуется, уничтожает их в срок, не превышающий 30 (тридцати) календарных дней с даты получения отзыва, за исключением случаев, когда закон или договор обязывают продолжить хранение.
Отзыв согласия осуществляется в порядке, предусмотренном разделом «Права субъектов ПДН и порядок их реализации» настоящей Политики (путем направления запроса на электронный адрес Оператора с пометкой «Отзыв согласия на обработку ПДн»).

11.6.     Отзыв согласия на использование сервиса Яндекс.Метрика осуществляется через настройки cookie в футере Сайта.

12.   ПЕРЕДАЧА ПДН ТРЕТЬИМ ЛИЦАМ

12.1.     Оператор может предоставлять доступ к ПДн третьим лицам, которые осуществляют их обработку по поручению Оператора для достижения целей, указанных в настоящей Политике. С каждым таким лицом заключается соответствующий договор (поручение на обработку ПДн или соглашение о конфиденциальности), обязывающий соблюдать законодательство о ПДн и обеспечивать безопасность ПДн.

12.2.     Оператор передает ПДн следующим категориям третьих лиц:

12.2.1.   ООО «Яндекс» (ИНН 7736207543, ОГРН 1027700229193, 119021, г. Москва, ул. Льва Толстого, д. 16) - сервис Яндекс.Метрика для сбора обезличенной статистики посещений (только при наличии отдельного согласия). Передаются: обезличенный IP-адрес, cookie-идентификаторы, данные о браузере и действиях на Сайте.

12.2.2.   ООО «Яндекс» (ИНН 7736207543, ОГРН 1027700229193, 119021, г. Москва, ул. Льва Толстого, д. 16) - виджет Яндекс.Карты для отображения местоположения Оператора. При загрузке страницы браузер Пользователя автоматически запрашивает данные с серверов Яндекса, и Яндекс может получить IP-адрес, сведения из cookie и данные о браузере и устройстве. Обработка осуществляется Яндексом как самостоятельным оператором в соответствии с его Политикой конфиденциальности.

12.2.3.   ООО «Живой Сайт» (Jivo) - сервис онлайн-чата для оперативной связи с Пользователями. Передаются: имя, телефон, e-mail (если указаны Пользователем), текст диалога, IP-адрес, данные о браузере и устройстве. Обработка осуществляется на серверах, расположенных на территории РФ, в соответствии с Политикой конфиденциальности сервиса.

12.2.4.   Курьерские службы (службы доставки), привлекаемые Оператором для доставки заказов Покупателям. Передаются: ФИО, адрес доставки, контактный телефон. Конкретный перечень курьерских служб, привлекаемых к доставке, публикуется на Сайте в разделе «Доставка» и может быть изменен Оператором с уведомлением Пользователей путем размещения новой редакции перечня на Сайте. С каждой службой доставки заключается договор, предусматривающий обязанность соблюдения конфиденциальности и требований законодательства о ПДн.

12.2.5.   Платежные сервисы, через которые осуществляется оплата заказов. Оператор не передает данные банковских карт, так как не собирает их; Пользователь перенаправляется на защищенную страницу платежного сервиса, который обрабатывает платежные данные самостоятельно. Оператор может получать информацию о факте и статусе оплаты.

12.2.6.   Государственные органы - в случаях, предусмотренных законодательством РФ. Передача ПДн государственным органам осуществляется исключительно на основании и в порядке, предусмотренном действующим законодательством РФ, при наличии мотивированного запроса, оформленного надлежащим образом.

13.   МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПДН, СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ, СВЕДЕНИЯ О СООТВЕТСТВИИ ТРЕБОВАНИЯМ ПРАВИТЕЛЬСТВА РФ

13.1.     Во исполнение ст. 18.1 и 19 ФЗ-152 Оператор принимает необходимые и достаточные правовые, организационные и технические меры, направленные на защиту ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

13.2.     Организационные меры включают:

·      разработку и введение в действие локальных актов, регламентирующих порядок обработки и защиты ПДн, в том числе настоящей Политики;

·      назначение лица, ответственного за организацию обработки ПДн (на основании внутреннего приказа Оператора);

·      периодическое ознакомление работников, допущенных к обработке ПДн, с требованиями законодательства и внутренними документами Оператора;

·      обеспечение ограниченного и разграниченного доступа к ПДн - только уполномоченные работники и исключительно в объеме, необходимом для выполнения трудовых (должностных) обязанностей;

·      организацию учета и хранения материальных носителей ПДн (при их наличии) в запираемых шкафах, исключающих несанкционированный доступ;

·      проведение периодической оценки вреда, который может быть причинен субъектам ПДн в случае нарушения требований законодательства;

·      регулярный пересмотр и совершенствование применяемых мер защиты с учетом актуальных угроз безопасности.

13.3.     Технические меры, реализуемые для защиты ПДн, включают:

·      антивирусную защиту информационных систем с использованием лицензионного программного обеспечения и своевременной актуализацией баз;

·      межсетевое экранирование для контроля сетевых соединений и блокирования несанкционированного доступа;

·      шифрование каналов связи при передаче данных (протокол HTTPS);

·      идентификацию и аутентификацию пользователей информационных систем с применением надежных паролей и, где это технически возможно, двухфакторной аутентификации;

·      автоматическую блокировку сеанса при бездействии;

·      регулярное резервное копирование баз данных, содержащих ПДн, с хранением резервных копий на отдельных защищенных носителях;

·      ведение журналов событий (логов) сервера и приложений с регистрацией всех операций с ПДн (срок хранения логов - 6 месяцев);

·      обеспечение физической сохранности серверного оборудования и машинных носителей, включая контроль доступа в помещения, где они размещены.

13.4.     Для реализации указанных выше мер Оператор применяет следующие средства обеспечения безопасности:

·      лицензионное антивирусное программное обеспечение с централизованным управлением и автоматическим обновлением антивирусных баз;

·      программно-аппаратные межсетевые экраны (брандмауэры), настроенные в соответствии с политиками сетевой безопасности;

·      сертифицированные средства криптографической защиты информации, обеспечивающие шифрование каналов передачи данных по протоколу HTTPS (TLS не ниже версии 1.2);

·      средства идентификации и аутентификации, включая программные компоненты для реализации двухфакторной аутентификации;

·      средства автоматической блокировки сеанса пользователя при простое (тайм-аут бездействия);

·      специализированное программное обеспечение резервного копирования и выделенные защищенные носители для хранения резервных копий;

·      системы регистрации и мониторинга событий информационной безопасности (логирование операций с ПДн);

·      организационно-технические системы контроля физического доступа в серверные и архивные помещения.

13.5.     Все средства эксплуатируются в актуальных версиях, с регулярным обновлением и проверкой работоспособности.

13.6.     В целях исполнения Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства РФ от 01.11.2012 № 1119, Оператор обеспечивает 4-й уровень защищенности ПДн и реализует следующий перечень мер:

·      назначено должностное лицо, ответственное за обеспечение безопасности ПДн в информационной системе; указанное лицо ознакомлено с локальными актами, регламентирующими особенности и правила обработки;

·      организован режим безопасности помещений, в которых размещена информационная система, препятствующий неконтролируемому проникновению или пребыванию в этих помещениях лиц, не имеющих права доступа;

·      утвержден перечень лиц, чей доступ к ПДн, обрабатываемым в информационной системе, необходим для выполнения служебных (трудовых) обязанностей;

·      используются средства защиты информации, прошедшие оценку соответствия в установленном порядке (при наличии таких средств);

·      определены и применяются меры по обеспечению сохранности машинных носителей ПДн.

13.7.     При осуществлении обработки ПДн без использования средств автоматизации Оператор выполняет требования Положения, утвержденного постановлением Правительства РФ от 15.09.2008 № 687, а именно:

·      определены места хранения материальных носителей ПДн (при их наличии);

·      утвержден перечень лиц, осуществляющих обработку ПДн без использования средств автоматизации.

13.8.     При обнаружении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Оператор обязан:

·      в течение 24 часов уведомить Роскомнадзор о факте инцидента;

·      в течение 72 часов уведомить Роскомнадзор о результатах внутреннего расследования;

·      уведомить субъектов ПДн о факте инцидента (если это не запрещено законом);

·      принять меры по устранению последствий инцидента и предотвращению подобных инцидентов в будущем.

14.   ФАЙЛЫ COOKIE И ИСПОЛЬЗОВАНИЕ СЕРВИСОВ АНАЛИТИКИ

14.1.     На Сайте используются следующие типы файлов cookie:

·      Технически необходимые (обязательные) файлы cookie - обеспечивают базовую функциональность Сайта, включая безопасность, корректную работу форм, корзины, авторизации. Использование этих файлов не требует согласия Пользователя.

·      Аналитические файлы cookie - используются для сбора и обработки обобщенной статистической информации с целью повышения качества Сайта. К этой категории относится сервис Яндекс.Метрика. Для активации требуется отдельное, явное согласие Пользователя. Аналитические cookie (Яндекс.Метрика) хранятся в течение срока, установленного сервисом Яндекс.Метрика (до 26 месяцев), но не дольше, чем это необходимо для достижения целей аналитики. Пользователь может удалить их в любой момент через настройки браузера.

14.2.     При первом посещении Сайта до начала какой-либо обработки данных, требующих согласия, Пользователю отображается cookie-баннер. Баннер содержит две кнопки: «Принять» и «Настроить».

·      «Принять» - включает аналитические cookie, загружается скрипт Яндекс.Метрики. Баннер закрывается. В лог записывается: аналитика = Y, дата/время, идентификатор сессии.

·      «Настроить» - открывает модальное окно с выбором категорий cookie. Баннер не закрывается до момента подтверждения выбора или закрытия окна; при закрытии модального окна без сохранения аналитика остается отключенной.

14.3.     Пользователь вправе в любой момент изменить или отозвать согласие на использование аналитических cookie, открыв модальное окно настроек через постоянную ссылку «Настройки cookie» в подвале Сайта. Изменение положения тумблера «Аналитические cookies» на «Запрещено» и сохранение выбора влечет прекращение сбора данных сервисом Яндекс.Метрика. Технически необходимые cookie продолжают обрабатываться на законных основаниях.

14.4.     Пользователь может самостоятельно управлять файлами cookie на уровне своего веб-браузера или устройства, включая удаление существующих cookie, блокировку всех или сторонних cookie, использование режима приватного просмотра. Блокировка или удаление технически необходимых (обязательных) cookie через настройки браузера приведет к нарушению или полной невозможности работы ключевых функций Сайта (например, отправка форм, авторизация, работа корзины). Такие действия осуществляются Пользователем на свой риск и не являются способом отзыва согласия у Оператора в смысле, предусмотренном настоящей Политикой.

15.   ИНФОРМАЦИЯ О СЕРВИСАХ ЯНДЕКС.МЕТРИКА И ЯНДЕКС.КАРТЫ

15.1.     Оператор информирует Пользователя о применении сервиса Яндекс.Метрика для сбора статистических данных о посещаемости Сайта, анализа поведения Пользователей и улучшения качества работы Сайта. Сервис Яндекс.Метрика осуществляет сбор, обработку и хранение обезличенных данных в соответствии с Политикой конфиденциальности Яндекса (https://yandex.ru/legal/confidential/) и Условиями использования сервиса (https://yandex.ru/legal/metrica_termsofuse/).

15.2.     Перечень обрабатываемых сервисом Яндекс.Метрика данных включает:

·      технические данные устройства и программного обеспечения (тип браузера, ОС, разрешение экрана);

·      обезличенный IP-адрес (с анонимизацией);

·      cookie-идентификаторы;

·      данные о посещении (просмотренные страницы, время, клики);

·      приблизительные географические данные (страна, город).

15.3.     Срок хранения данных Яндекс.Метрикой составляет до 26 месяцев, после чего они обезличиваются или удаляются автоматически. Оператор не хранит сырые логи.

15.4.     На Сайте встроен виджет Яндекс.Карты для наглядного отображения местоположения Оператора. При загрузке страницы с этим виджетом браузер Пользователя автоматически запрашивает данные с серверов Яндекса. В рамках этого технического процесса Яндекс может получить IP-адрес, сведения из cookie и данные о браузере и устройстве (User-Agent). Загрузка виджета происходит без предварительного запроса согласия, так как необходима для информирования посетителей и функционирования Сайта. Обработка полученных технических данных осуществляется Яндексом как самостоятельным оператором в соответствии с его Политикой конфиденциальности.

16.   УВЕДОМЛЕНИЕ РОСКОМНАДЗОРА

16.1.     Оператор до начала обработки ПДн направляет в Роскомнадзор уведомление о намерении осуществлять обработку ПДн в порядке, установленном ст. 22 ФЗ-152. При изменении сведений, содержащихся в уведомлении, Оператор направляет соответствующее уведомление об изменении в течение срока, установленного законодательством.

17.   ОТВЕТСТВЕННОСТЬ СТОРОН

17.1.     Оператор несет ответственность за нарушение требований законодательства РФ в области ПДн в соответствии с действующим законодательством (ст. 13.11 КоАП РФ, ст. 24 ФЗ-152).

17.2.     Оператор не несет ответственность за утрату или разглашение конфиденциальной информации, если данная информация:

·      стала публичным достоянием до ее утраты или разглашения;

·      была получена от третьей стороны до момента ее получения Оператором;

·      была разглашена с согласия Субъекта.

18.   ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

18.1.     Субъект может получить любые разъяснения по вопросам обработки его ПДн, обратившись к Оператору по электронному адресу ooo.sae-info@yandex.ru.

18.2.     Настоящая Политика является общедоступным документом и подлежит размещению на Сайте.

18.3.     Оператор вправе вносить изменения в Политику в одностороннем порядке. Изменения вступают в силу с момента опубликования на Сайте, если иной срок не указан в новой редакции. Пользователь обязуется самостоятельно отслеживать актуальную редакцию.

18.4.     Политика действует бессрочно до замены ее новой версией.

18.5.     Настоящая Политика вступает в силу с момента ее опубликования на Сайте и распространяется на все отношения в области обработки ПДн, возникшие после ее опубликования.

19.   РЕКВИЗИТЫ ОПЕРАТОРА

Общество с ограниченной ответственностью «САЭ» (ООО «САЭ»)
Юридический адрес: 115419, г. Москва, вн. тер. г. муниципальный округ Донской, ул. Орджоникидзе, д. 9, к. 2, помещ. 40А
ИНН: 7724223318
КПП: 772501001
ОГРН: 1027700421803
Телефон: +7 495 249 29 02
Электронная почта для запросов субъектов ПДн: ooo.sae-info@yandex.ru