Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Индивидуальным предпринимателем Никитиным Артемом Валерьевичем (далее — Оператор).

1.2. Политика применяется ко всей информации, которую Оператор может получить о посетителях и покупателях сайта https://cvet-lavka.ru (далее — Сайт), в том числе при оформлении заказа, регистрации в личном кабинете, заказе обратного звонка, участии в бонусной программе, а также при обращении по телефону, электронной почте и в мессенджерах (MAX, WhatsApp, Telegram).

1.3. Оператор ставит важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну.

1.4. Действующая редакция Политики находится в свободном неограниченном доступе на Сайте. Продолжая использовать Сайт, пользователь подтверждает, что ознакомлен с Политикой.

1.5. Политика не распространяется на действия и интернет-ресурсы третьих лиц, на которые пользователь может перейти по ссылкам с Сайта.

2. Основные понятия, используемые в Политике

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Оператор — Индивидуальный предприниматель Никитин Артем Валерьевич, самостоятельно или совместно с другими лицами организующий и осуществляющий обработку персональных данных.
• Обработка ПДн — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.
• Пользователь — посетитель Сайта.
• Получатель заказа — лицо, которому по указанию Пользователя доставляется заказ (адресат букета).
• Cookie — небольшой фрагмент данных, отправляемый сервером и хранимый на устройстве Пользователя.
• Блокирование, уничтожение, обезличивание, распространение, предоставление, трансграничная передача ПДн — понимаются в значениях, установленных статьёй 3 Закона.

3. Сведения об Операторе

4. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетителей Сайта, в том числе не совершавших покупку;
• покупателей и заказчиков товаров и услуг Оператора;
• получателей заказов — лиц, чьи данные Пользователь указывает для доставки;
• участников бонусной программы;
• подписчиков информационных и рекламных рассылок;
• лиц, направивших Оператору обращение, отзыв или претензию.

4.1. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные.

4.2. Оператор не осуществляет обработку персональных данных несовершеннолетних. Оформляя заказ, Пользователь подтверждает, что достиг возраста 18 лет.

4.3. Указывая данные получателя заказа, Пользователь подтверждает, что получил согласие этого лица на передачу его данных Оператору, и несёт ответственность за правомерность такой передачи.

5. Состав обрабатываемых персональных данных

5.1. При оформлении заказа и доставке: фамилия, имя, отчество; номер телефона; адрес электронной почты; адрес доставки (город, улица, дом, квартира, этаж, домофон); дата и интервал доставки; текст открытки и пожелания к заказу; фамилия, имя и номер телефона получателя заказа; сведения о составе, стоимости и статусе заказа.

5.2. При заказе обратного звонка: имя, номер телефона, удобное время звонка.

5.3. При регистрации в личном кабинете: имя, номер телефона и (или) адрес электронной почты, пароль в виде хеш-значения, история заказов, сохранённые адреса доставки, значимые даты, указанные Пользователем (например, дни рождения близких, если Пользователь их сообщил).

5.4. При онлайн-оплате: сведения о факте, сумме, дате и статусе платежа. Оператор не получает и не хранит номера банковских карт, срок их действия и коды CVC/CVV — эти данные вводятся на защищённой странице платёжного провайдера и обрабатываются им самостоятельно.

5.5. При участии в бонусной программе: номер телефона как идентификатор участника, баланс бонусных баллов, история начислений и списаний.

5.6. При подписке на рассылки: номер телефона и (или) адрес электронной почты, идентификатор в мессенджере (MAX, WhatsApp, Telegram), статус подписки и факт её отзыва.

5.7. Автоматически при использовании Сайта: IP-адрес, дата и время обращения, тип и версия браузера и операционной системы, тип устройства, разрешение экрана, язык, источник перехода (referer, UTM-метки), просмотренные страницы и действия на них, файлы cookie и иные идентификаторы систем веб-аналитики.

5.8. При обращении в поддержку: содержание обращения и приложенных к нему материалов, контактные данные для ответа, записи телефонных разговоров (если о записи сообщается до начала разговора).

6. Цели обработки персональных данных

6.1. Оператор не обрабатывает персональные данные в целях, несовместимых с указанными выше, и не объединяет базы данных, обработка которых осуществляется в несовместимых между собой целях.

6.2. Оператор не принимает решений, порождающих юридические последствия в отношении Пользователя, исключительно на основании автоматизированной обработки его персональных данных.

7. Правовые основания обработки

• Конституция Российской Федерации; Гражданский кодекс РФ; Налоговый кодекс РФ;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»;
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» — в части рекламных рассылок;
• Федеральный закон от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
• договор купли-продажи (публичная оферта), заключаемый при оформлении заказа, стороной которого является Пользователь;
• согласия субъектов персональных данных на обработку их персональных данных;
• устав, приказы и иные локальные акты Оператора.

7.1. Обработка данных, указанных в пп. 5.1–5.5, осуществляется на основании пункта 5 части 1 статьи 6 Закона (исполнение договора) и не требует отдельного согласия в части, необходимой для исполнения заказа.

7.2. Обработка данных в целях направления рекламных сообщений осуществляется исключительно на основании предварительного согласия, выраженного отдельно от иных согласий (раздел 10).

8. Порядок и условия обработки персональных данных

8.1. Обработка осуществляется с использованием средств автоматизации и без использования таких средств и включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

8.2. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Содержание и объём обрабатываемых данных соответствуют заявленным целям; избыточные по отношению к целям данные не обрабатываются.

8.3. Оператор обеспечивает точность персональных данных, их достаточность и, в необходимых случаях, актуальность. Оператор принимает необходимые меры по удалению или уточнению неполных или неточных данных.

8.4. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона).

8.5. Доступ к персональным данным имеют только работники и подрядчики Оператора, которым он необходим для исполнения трудовых или договорных обязанностей, и в объёме, необходимом для выполнения конкретной задачи.

9. Файлы cookie и сервисы веб-аналитики

9.1. Сайт использует файлы cookie следующих категорий:

• строго необходимые — обеспечивают работу корзины, авторизацию в личном кабинете и безопасность; без них Сайт не функционирует, их использование основано на законном интересе Оператора;
• функциональные — запоминают выбранный город доставки и настройки отображения;
• аналитические — счётчик Яндекс Метрика № 96502997 (cookie вида _ym_*). Устанавливаются только после получения согласия Пользователя в баннере — категория «Аналитические cookie»;
• рекламные — счётчик VK Рекламы (Top.Mail.Ru) № 3745731 (cookie вида tmr_*). Устанавливаются только после получения согласия — категория «Рекламные cookie». Данные счётчика Метрики могут использоваться Оператором для показа рекламы ранее посещавшим Сайт пользователям (ретаргетинг) в Яндекс Директ через связанные с Метрикой рекламные аккаунты. Иные рекламные пиксели на Сайте не размещены;
• cookie виджета связи — на всех страницах Сайта работает виджет кнопок связи yourgood (widget.yourgood.app), через который Пользователь переходит в WhatsApp или Telegram и заказывает звонок. Виджет загружается независимо от выбора в баннере, поскольку обеспечивает заявленный способ связи с Оператором, и устанавливает технические идентификаторы, необходимые для его работы. Для рекламного профилирования виджет не используется.

9.2. Баннер позволяет принять все категории, ограничиться строго необходимыми либо включить аналитические и рекламные cookie по отдельности; изменить выбор можно в любой момент по ссылке «Настройки cookie» в подвале Сайта. Сделанный выбор хранится в файле cookie и в локальном хранилище браузера не более 365 дней. Пользователь может в любой момент отклонить необязательные cookie в баннере на Сайте, а также удалить сохранённые cookie и запретить их установку в настройках браузера. Отключение строго необходимых cookie может привести к неработоспособности отдельных функций Сайта.

9.3. Сведения об обработке данных сервисами веб-аналитики публикуются их владельцами: политика конфиденциальности Яндекса — yandex.ru/legal/confidential, политика VK (Top.Mail.Ru, VK Реклама) — vk.com/privacy.

9.4. Данные веб-аналитики обрабатываются в обезличенном виде и используются для статистики и улучшения Сайта; Оператор не предпринимает попыток идентифицировать Пользователя на их основании.

10. Информационные и рекламные рассылки

10.1. Оператор направляет Пользователю сервисные (транзакционные) сообщения — подтверждение заказа, статус сборки и доставки, уведомление о готовности заказа, ответы на обращения. Такие сообщения являются частью исполнения договора, не относятся к рекламе и направляются без отдельного согласия.

10.2. Рекламные сообщения — акции, скидки, напоминания о праздниках, новинки ассортимента — направляются по SMS, электронной почте, в мессенджерах MAX, WhatsApp и Telegram, а также посредством push-уведомлений только при наличии предварительного согласия Пользователя, выраженного путём проставления отдельной, не отмеченной по умолчанию отметки. Согласие оформляется отдельно от согласия на обработку персональных данных в целях исполнения заказа (часть 1 статьи 18 Федерального закона «О рекламе»).

10.3. Согласие на получение рекламных сообщений может быть отозвано в любой момент и любым из способов:

• по ссылке «Отписаться» в письме;
• ответным сообщением со словом «СТОП» на SMS или на сообщение в мессенджере (в том числе в MAX);
• в настройках личного кабинета;
• письмом на info@cvet-lavka.ru или по телефонам +7 (495) 968-16-68 и +7 (903) 968-16-68.

10.4. Оператор прекращает направление рекламных сообщений незамедлительно, но не позднее 1 (одного) рабочего дня с момента получения отзыва. Отзыв согласия на рекламные рассылки не влечёт прекращения обработки данных, необходимых для исполнения оформленных заказов и исполнения требований закона.

10.5. Отказ от рекламных рассылок не влияет на возможность оформления заказа и не влечёт ухудшения условий обслуживания.

11. Бонусная программа

11.1. Оператор ведёт бонусную программу с начислением кэшбэка в размере до 10% от суммы покупки. Участие в программе добровольно.

11.2. Идентификатором участника является номер мобильного телефона. Для администрирования программы Оператор обрабатывает: номер телефона, имя участника, историю покупок, суммы и даты начисления и списания бонусных баллов, текущий баланс, дату регистрации в программе.

11.3. Правовым основанием обработки является участие Пользователя в программе как в договоре и согласие Пользователя, выражаемое при регистрации в программе.

11.4. Данные участников программы обрабатываются в течение срока участия и 3 (трёх) лет после последней покупки — для разрешения возможных споров о начислении и списании баллов, после чего удаляются или обезличиваются.

11.5. Выход из бонусной программы осуществляется по заявлению на info@cvet-lavka.ru. При выходе неиспользованные бонусные баллы аннулируются, данные об участии удаляются, за исключением сведений, подлежащих хранению по закону.

12. Передача персональных данных третьим лицам

12.1. Оператор не продаёт и не раскрывает персональные данные неограниченному кругу лиц. Передача возможна только в объёме, необходимом для достижения целей раздела 6, и следующим категориям получателей:

12.2. Передача осуществляется на основании договоров, содержащих обязанность контрагента соблюдать конфиденциальность и требования Закона к обеспечению безопасности персональных данных при их обработке.

12.3. Трансграничная передача. Первичный сбор, запись и хранение персональных данных осуществляются на серверах, расположенных на территории Российской Федерации (хостинг предоставляет российский провайдер). Оператор не размещает персональные данные Пользователей в иностранных системах управления клиентами, телефонии и рассылок.

Вместе с тем Оператор использует каналы связи и сервисы, инфраструктура которых может находиться за пределами Российской Федерации, и поэтому не заявляет о полном отсутствии трансграничной передачи:

• мессенджеры WhatsApp и Telegram. Если Пользователь сам выбирает этот канал связи, его имя, абонентский номер и содержание переписки обрабатываются в инфраструктуре соответствующего сервиса на условиях его собственной политики. Пользователь вправе вместо мессенджера использовать телефонный звонок или электронную почту — тогда такой передачи не происходит;
• сервис виджета кнопок связи (домен widget.yourgood.app). Виджет получает техническую информацию о браузере и открытой странице, а при обращении — имя, номер телефона и текст сообщения Пользователя. Виджет подключается только после согласия Пользователя на функциональные cookie; до согласия он не загружается, а связь доступна по обычным ссылкам;
• сервисы веб-аналитики и рекламы (Яндекс Метрика, VK Реклама) подключаются только после согласия Пользователя и обрабатывают данные в соответствии с политиками их владельцев — российских юридических лиц.

Если возникнет необходимость в трансграничной передаче, выходящей за пределы описанного выше, Оператор направит уведомление в Роскомнадзор в порядке статьи 12 Закона и получит отдельное согласие Пользователя до начала передачи.

13. Сроки обработки и порядок хранения

13.1. По достижении целей обработки, а также в случае отзыва согласия и отсутствия иных законных оснований персональные данные подлежат уничтожению или обезличиванию в срок, не превышающий 30 дней, если иной срок не установлен законом или договором.

13.2. Факт уничтожения персональных данных подтверждается актом об уничтожении и (или) выгрузкой из журнала регистрации событий информационной системы.

14. Меры по обеспечению безопасности персональных данных

14.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;
• определение угроз безопасности персональных данных при их обработке в информационных системах;
• применение средств защиты информации, прошедших процедуру оценки соответствия;
• шифрование трафика Сайта по протоколу HTTPS (TLS);
• хранение паролей в виде необратимых хеш-значений;
• разграничение прав доступа и учёт лиц, допущенных к персональным данным;
• регулярное резервное копирование данных;
• регистрация и учёт действий с персональными данными в информационных системах;
• контроль принимаемых мер и уровня защищённости информационных систем;
• внутренний контроль соответствия обработки Закону и принятым локальным актам.

14.2. Пользователь обязуется не передавать третьим лицам пароль от личного кабинета и коды подтверждения из SMS. Оператор не несёт ответственности за последствия разглашения Пользователем своих учётных данных.

15. Права субъекта персональных данных

15.1. Пользователь вправе:

• получать сведения об обработке его персональных данных, предусмотренные частью 7 статьи 14 Закона: подтверждение факта обработки, её правовые основания и цели, применяемые способы, состав обрабатываемых данных, сроки обработки и хранения, сведения о лицах, которым данные передаются;
• требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать ранее данное согласие на обработку персональных данных;
• возражать против направления рекламных сообщений;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

15.2. Запрос направляется на info@cvet-lavka.ru или по адресу Оператора и должен содержать: фамилию, имя, отчество; сведения, подтверждающие участие в отношениях с Оператором (например, номер заказа, номер телефона, указанный при заказе), либо иные сведения, подтверждающие факт обработки данных Оператором; подпись субъекта или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью.

15.3. Оператор рассматривает запрос и направляет ответ в течение 10 (десяти) рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя о причинах продления.

15.4. Оператор вправе отказать в предоставлении сведений в случаях, предусмотренных частью 8 статьи 14 Закона, с мотивированным обоснованием отказа.

16. Отзыв согласия и удаление данных

16.1. Согласие на обработку персональных данных отзывается путём направления заявления в свободной форме на info@cvet-lavka.ru с указанием фамилии, имени, номера телефона или адреса электронной почты, использованных при взаимодействии с Оператором.

16.2. Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, за исключением данных, обработка которых продолжается на иных законных основаниях: исполнение действующего заказа, исполнение требований налогового и бухгалтерского законодательства, защита прав Оператора при наличии спора.

16.3. Отзыв согласия влечёт невозможность оказания услуг, для которых обработка данных является необходимой, включая доставку оформленных заказов и участие в бонусной программе.

16.4. Удаление учётной записи в личном кабинете производится по обращению Пользователя и приводит к аннулированию накопленных бонусных баллов.

17. Действия при инцидентах с персональными данными

17.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор:

• в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах и предполагаемом вреде, о принятых мерах по устранению последствий, а также сообщает сведения о лице, уполномоченном на взаимодействие по данному инциденту;
• в течение 72 часов уведомляет Роскомнадзор о результатах внутреннего расследования и указывает лиц, действия которых стали причиной инцидента (при их выявлении);
• информирует затронутых субъектов персональных данных о характере инцидента и рекомендуемых мерах предосторожности.

17.2. При обнаружении неправомерной обработки, осуществляемой Оператором или лицом, действующим по его поручению, Оператор блокирует такие данные на срок проверки и в срок не более 3 рабочих дней устраняет нарушение либо уничтожает данные.

18. Заключительные положения

18.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией.

18.2. Пользователю рекомендуется периодически знакомиться с актуальной редакцией Политики.

18.3. Все споры, вытекающие из настоящей Политики, разрешаются в соответствии с законодательством Российской Федерации.

18.4. По всем вопросам, связанным с обработкой персональных данных, следует обращаться на info@cvet-lavka.ru или по телефонам +7 (495) 968-16-68 и +7 (903) 968-16-68.

18.5. Надзорный орган: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), rkn.gov.ru.