Политика обработки персональных данных

ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

[НАИМЕНОВАНИЕ]

Редакция от [ДАТА РЕДАКЦИИ]

1. Общие положения

1.1. Настоящая Политика определяет цели, правовые основания, состав, порядок и сроки обработки персональных данных, права субъектов персональных данных и меры по защите персональных данных, которые применяет [НАИМЕНОВАНИЕ], ИНН [ИНН], ОГРН (ОГРНИП) [ОГРН/ОГРНИП], адрес: [АДРЕС] (далее «Оператор»).

1.2. Политика действует в отношении персональных данных, которые Оператор получает через сайт [АДРЕС САЙТА] (далее «Сайт»), мобильное приложение [НАЗВАНИЕ ПРИЛОЖЕНИЯ] (далее «Приложение»), по телефону и электронной почте, при оформлении, оплате, передаче и возврате заказов.

1.3. Политика опубликована на странице [АДРЕС САЙТА]/privacy и доступна из Приложения. Ссылка на Политику размещена на страницах Сайта и экранах Приложения, на которых собираются персональные данные (ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее «Закон о персональных данных»).

1.4. Понятия «персональные данные», «оператор», «обработка персональных данных», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание» и «трансграничная передача» используются в значениях, установленных ст. 3 Закона о персональных данных. Субъект персональных данных в Политике: физическое лицо, к которому относятся персональные данные (покупатель, получатель заказа, посетитель Сайта, пользователь Приложения, лицо, направившее обращение).

1.5. [вариант А: Ответственным за организацию обработки персональных данных назначен [ОТВЕТСТВЕННЫЙ] | вариант Б: Оператор организует обработку персональных данных лично].

1.6. [Оператор внесен в реестр операторов, осуществляющих обработку персональных данных, регистрационный номер [НОМЕР В РЕЕСТРЕ ОПЕРАТОРОВ].]

2. Правовые основания обработки

2.1. Оператор обрабатывает персональные данные при наличии хотя бы одного из оснований, предусмотренных ч. 1 ст. 6 Закона о персональных данных:

1. обработка необходима для заключения по инициативе субъекта и исполнения договора, стороной которого является субъект (п. 5 ч. 1 ст. 6): договора розничной купли-продажи на условиях публичной оферты, размещенной на странице [АДРЕС САЙТА]/oferta;

2. обработка необходима для выполнения обязанностей, возложенных на Оператора законодательством РФ (п. 2 ч. 1 ст. 6): Гражданским кодексом РФ, Законом РФ «О защите прав потребителей», Федеральным законом «О применении контрольно-кассовой техники при осуществлении расчетов в Российской Федерации», Налоговым кодексом РФ, Федеральным законом «О бухгалтерском учете», Правилами продажи товаров по договору розничной купли-продажи, утвержденными постановлением Правительства РФ от 30.05.2026 № 657 (далее «Правила продажи»);

3. согласие субъекта на обработку его персональных данных (п. 1 ч. 1 ст. 6) для целей, по которым иного основания нет. Согласие оформляется отдельно от иных информации и документов (ч. 1 ст. 9);

4. [обработка необходима для осуществления прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6): защита учетных записей от подбора кода и обеспечение безопасности Сайта и Приложения.]

2.2. Предоставление персональных данных, которые не требуются по закону и непосредственно не связаны с исполнением договора, не является условием покупки (п. 4 ст. 16 Закона РФ «О защите прав потребителей»).

3. Цели, состав данных, основания и сроки

3.1. Оператор обрабатывает персональные данные только для целей, перечисленных в этом разделе. Для каждой цели указаны категории субъектов, перечень данных, правовое основание и сроки обработки и хранения (п. 2 ч. 1 ст. 18.1, ч. 3.1 ст. 22 Закона о персональных данных), а также получатели данных. Данные, собранные для одной цели, не обрабатываются для несовместимой с ней цели (ч. 2 ст. 5).

3.2. Для всех целей, если не указано иное:

• действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам из раздела 5, блокирование, удаление, уничтожение;
• способ обработки: [вариант А: автоматизированная обработка | вариант Б: смешанная обработка, с использованием средств автоматизации и без них].

Цель 1. Вход на Сайт и в Приложение по номеру телефона

• Субъекты: покупатели и иные лица, которые входят на Сайт или в Приложение.
• Данные: номер мобильного телефона; сведения о запросах кода и входах: дата и время, результат проверки кода, [IP-адрес], [сведения о браузере или устройстве].
• Основание: [вариант А: п. 5 ч. 1 ст. 6 Закона о персональных данных, вход нужен для заключения и исполнения договора | вариант Б: согласие субъекта, п. 1 ч. 1 ст. 6].
• Получатели: [ПРОВАЙДЕР СМС] получает номер телефона и текст сообщения с кодом.
• Сроки: номер телефона хранится до удаления учетной записи [или [СРОК ХРАНЕНИЯ НЕАКТИВНОЙ УЧЕТНОЙ ЗАПИСИ] после последнего входа]; сведения о входах хранятся [СРОК ХРАНЕНИЯ ЖУРНАЛОВ ВХОДА]; код подтверждения действует [СРОК ДЕЙСТВИЯ КОДА] и после проверки повторно не используется.

Цель 2. Оформление, оплата и исполнение заказа

• Субъекты: покупатели; получатели заказа, указанные покупателем.
• Данные: имя; номер телефона; адрес доставки (при курьерской доставке); адрес электронной почты, если покупатель указал его при оформлении; номер, состав, сумма и статус заказа; способ получения; сведения об оплате, которые передает банк: идентификатор и статус платежа [; комментарий к заказу].
• Основание: п. 5 ч. 1 ст. 6 Закона о персональных данных, договор розничной купли-продажи.
• Получатели: [БАНК-ЭКВАЙЕР] (номер и сумма заказа для приема оплаты); [СЛУЖБА ДОСТАВКИ] (имя, телефон, адрес, номер заказа); [ПРОВАЙДЕР СМС] и [СЛУЖБА УВЕДОМЛЕНИЙ] (номер телефона или push-токен, текст сообщения о заказе); [ПОЧТОВЫЙ СЕРВИС] (адрес электронной почты, текст письма о заказе).
• Данные банковской карты вводятся на платежной странице банка. Оператор их не получает и не хранит.
• Сроки: в течение исполнения договора и [СРОК ХРАНЕНИЯ ЗАКАЗОВ] после передачи товара.

Цель 3. Расчеты и кассовые чеки

• Субъекты: покупатели.
• Данные: номер телефона [или адрес электронной почты], на который направляется кассовый чек; сумма и состав расчета.
• Основание: п. 2 ч. 1 ст. 6 Закона о персональных данных, обязанность направить кассовый чек в электронной форме на абонентский номер или адрес электронной почты покупателя (п. 5 ст. 1.2 Федерального закона от 22.05.2003 № 54-ФЗ).
• Получатели: [ОНЛАЙН-КАССА], [ОПЕРАТОР ФИСКАЛЬНЫХ ДАННЫХ] и налоговые органы в порядке, установленном 54-ФЗ.
• Сроки: [СРОК ХРАНЕНИЯ ДАННЫХ О РАСЧЕТАХ].

Цель 4. Обращения, претензии, возврат товара и денег

• Субъекты: покупатели и иные лица, направившие обращение.
• Данные: фамилия, имя, отчество (если указаны); номер телефона; адрес электронной почты; почтовый адрес; номер заказа; содержание обращения и приложенные материалы; реквизиты банковского счета или данные иного электронного средства платежа, если они нужны для возврата денег (абз. 3 п. 24 Правил продажи).
• Основание: п. 2 ч. 1 ст. 6 Закона о персональных данных (обязанности по Закону РФ «О защите прав потребителей» и Правилам продажи) и п. 5 ч. 1 ст. 6 (договор).
• Получатели: [БАНК-ЭКВАЙЕР] для возврата денег; [СЕРВИСНЫЙ ЦЕНТР] при проверке качества и ремонте.
• Сроки: [СРОК ХРАНЕНИЯ ОБРАЩЕНИЙ].

Цель 5. Статистика посещений Сайта и Приложения

• Субъекты: посетители Сайта, пользователи Приложения.
• Данные: файлы cookie и идентификаторы браузера или устройства; сведения о просмотренных страницах и действиях; источник перехода; сведения об устройстве, операционной системе и ее версии; [IP-адрес]; [сведения о сбоях Приложения].
• Основание: [вариант А: согласие посетителя, данное в баннере на Сайте или на экране Приложения, п. 1 ч. 1 ст. 6 | вариант Б: иное основание по решению юриста].
• Получатели: ООО «ЯНДЕКС» (г. Москва, ул. Льва Толстого, д. 16), сервисы Яндекс Метрика и AppMetrica, по поручению Оператора.
• Действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Сроки: [СРОК ХРАНЕНИЯ ДАННЫХ СТАТИСТИКИ] или до отзыва согласия.

Рекламные рассылки

3.3. Оператор не направляет рекламные сообщения и не обрабатывает персональные данные в целях продвижения товаров путем прямых контактов с помощью средств связи.

4. Порядок и условия обработки

4.1. Оператор обрабатывает только те персональные данные, которые отвечают целям раздела 3. Содержание и объем данных соответствуют заявленным целям и не являются избыточными (ч. 4, 5 ст. 5 Закона о персональных данных).

4.2. Оператор обеспечивает точность персональных данных и принимает меры по удалению или уточнению неполных или неточных данных (ч. 6 ст. 5).

4.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18). База данных Сайта и Приложения размещена на сервере [ХОСТИНГ-ПРОВАЙДЕР] в [ГОРОД ДАТА-ЦЕНТРА].

4.4. Оператор и иные лица, получившие доступ к персональным данным, не раскрывают их третьим лицам и не распространяют без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7).

4.5. Оператор поручает обработку персональных данных лицам, указанным в разделе 5 как обработчики по поручению, на основании договора. В поручении определены перечень персональных данных, перечень действий с ними и цели обработки, установлены обязанности обработчика по ч. 3 ст. 6. Ответственность перед субъектом за действия обработчика несет Оператор (ч. 5 ст. 6).

4.6. [вариант А: Оператор не осуществляет трансграничную передачу персональных данных. | вариант Б: Оператор осуществляет трансграничную передачу [ПЕРЕЧЕНЬ ДАННЫХ] в [СТРАНА] получателю [ПОЛУЧАТЕЛЬ] для [ЦЕЛЬ] после уведомления Роскомнадзора по ст. 12 Закона о персональных данных.]

4.7. Оператор не распространяет персональные данные, то есть не раскрывает их неопределенному кругу лиц.

4.8. Оператор не принимает на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права и законные интересы (ст. 16).

4.9. Оператор предоставляет персональные данные государственным органам по их запросам в случаях и порядке, предусмотренных федеральными законами.

5. Лица, которым передаются персональные данные

6. Файлы cookie и Яндекс Метрика

6.1. Файлы cookie: небольшие фрагменты данных, которые Сайт сохраняет в браузере посетителя и получает при следующих обращениях.

6.2. Сайт использует:

• необходимые файлы cookie: вход в учетную запись, корзина, защита форм от подделки запросов. Без них Сайт не работает;
• аналитические файлы cookie Яндекс Метрики, которые позволяют различать посетителей и считать посещения. [вариант А: Они устанавливаются после согласия посетителя в баннере | вариант Б: основание по решению юриста].

6.3. Яндекс Метрика собирает сведения о посещениях Сайта и передает их ООО «ЯНДЕКС», которое обрабатывает их по поручению Оператора. Запись визитов (Вебвизор) [вариант А: не используется | вариант Б: используется, запись данных, вводимых в поля форм, отключена].

6.4. Посетитель может отказаться от аналитических файлов cookie:

• [отозвать согласие в разделе «Настройки cookie» в подвале Сайта];
• удалить файлы cookie или запретить их сохранение в настройках браузера;
• установить расширение для браузера «Блокировщик Яндекс.Метрики».

Отказ от аналитических файлов cookie не ограничивает возможность покупать на Сайте.

7. Мобильное приложение

7.1. Помимо данных раздела 3, Приложение обрабатывает:

• push-токен: идентификатор, по которому служба уведомлений доставляет сообщения на устройство (цель 2);
• идентификаторы и сведения об устройстве (модель, версия операционной системы и Приложения) и сведения о сбоях, через AppMetrica (цель 5);
• [рекламный идентификатор устройства: вариант А: не собирается | вариант Б: собирается для [ЦЕЛЬ]].

7.2. Уведомления о статусе заказа приходят, если пользователь разрешил уведомления в настройках устройства. Разрешение отзывается там же. Отказ от уведомлений не мешает оформлять заказы. Рекламные уведомления Приложение не направляет.

7.3. Приложение запрашивает доступ только к [ПЕРЕЧЕНЬ РАЗРЕШЕНИЙ]. Отказ в доступе не блокирует функции, которым этот доступ не нужен.

7.4. [Статистика AppMetrica собирается после согласия пользователя на экране Приложения.]

7.5. Учетную запись можно удалить в Приложении: [«Профиль», «Удалить учетную запись»], а также по запросу на [ПОЧТА]. Порядок и сроки: раздел 10.

8. Права субъекта персональных данных

8.1. Субъект персональных данных вправе:

1. получить сведения об обработке своих персональных данных: подтверждение факта обработки; правовые основания и цели обработки; применяемые способы обработки; наименование и место нахождения Оператора; сведения о лицах, которые имеют доступ к данным или которым данные могут быть раскрыты; обрабатываемые данные и источник их получения; сроки обработки и хранения; порядок осуществления прав; сведения о трансграничной передаче; наименование и адрес лица, обрабатывающего данные по поручению Оператора; сведения о способах исполнения Оператором обязанностей по ст. 18.1 (ч. 7 ст. 14 Закона о персональных данных);

2. требовать уточнения, блокирования или уничтожения своих данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (ч. 1 ст. 14);

3. отозвать согласие на обработку персональных данных (ч. 2 ст. 9);

4. требовать прекращения обработки персональных данных (ч. 5.1 ст. 21);

5. обжаловать действия или бездействие Оператора в Роскомнадзор или в суд, требовать в судебном порядке возмещения убытков и компенсации морального вреда (ст. 17).

8.2. Право субъекта на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами (ч. 8 ст. 14).

9. Как направить запрос и сроки ответа

9.1. Запрос или требование направляется:

• по электронной почте [ПОЧТА];
• почтовым отправлением по адресу [АДРЕС];
• [через раздел «[НАЗВАНИЕ РАЗДЕЛА ОБРАЩЕНИЙ]» учетной записи].

9.2. Запрос содержит: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи этого документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер заказа, номер телефона учетной записи), либо сведения, иным образом подтверждающие факт обработки его данных Оператором; подпись субъекта или его представителя. Запрос в форме электронного документа подписывается электронной подписью (ч. 3 ст. 14).

9.3. Сроки ответа и исполнения:

9.4. Ответ направляется в той форме, в которой поступили обращение или запрос, если в них не указано иное (ч. 3 ст. 14).

9.5. После отзыва согласия Оператор вправе продолжить обработку персональных данных при наличии оснований, указанных в пп. 2-11 ч. 1 ст. 6 Закона о персональных данных (ч. 2 ст. 9), например для исполнения договора и обязанностей по закону.

10. Сроки хранения, удаление учетной записи и уничтожение данных

10.1. Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной которого является субъект (ч. 7 ст. 5 Закона о персональных данных). Сроки по каждой цели указаны в разделе 3.

10.2. При достижении цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты достижения цели, если иное не предусмотрено договором, стороной которого является субъект, иным соглашением с ним или законом (ч. 4 ст. 21). Если уничтожить данные в этот срок невозможно, Оператор блокирует их и уничтожает в срок не более шести месяцев, если иной срок не установлен федеральными законами (ч. 6 ст. 21).

10.3. Уничтожение персональных данных подтверждается в соответствии с требованиями, установленными Роскомнадзором (ч. 7 ст. 21).

10.4. По запросу пользователя Оператор удаляет учетную запись [в течение [СРОК УДАЛЕНИЯ УЧЕТНОЙ ЗАПИСИ]]: номер телефона как данные для входа [, push-токены, настройки]. Сведения о заказах, расчетах и претензиях хранятся в сроки раздела 3, если они нужны для исполнения договора, в том числе гарантийных обязательств, или обязанностей по закону, после чего уничтожаются.

11. Меры по обеспечению безопасности персональных данных

11.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для выполнения обязанностей по Закону о персональных данных (ст. 18.1, 19), в том числе:

• [назначен ответственный за организацию обработки персональных данных];
• изданы Политика и локальные акты по вопросам обработки персональных данных [перечень];
• работники, допущенные к персональным данным, ознакомлены с требованиями законодательства и локальными актами;
• определены угрозы безопасности персональных данных при их обработке в информационной системе [и установлен уровень защищенности];
• доступ к персональным данным разграничен по ролям, действия с данными регистрируются;
• передача данных между браузером или Приложением и сервером защищена шифрованием [HTTPS];
• [выполняется резервное копирование и восстановление данных];
• проводится внутренний контроль соответствия обработки закону и Политике;
• проведена оценка вреда, который может быть причинен субъектам в случае нарушения закона.

11.2. О неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов, о результатах внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21).

12. Заключительные положения

12.1. Оператор вправе изменить Политику. Новая редакция вступает в силу со дня ее опубликования на Сайте, если в ней не указано иное. [Предыдущие редакции предоставляются по запросу.]

12.2. Контакты по вопросам обработки персональных данных: [ПОЧТА], [ТЕЛЕФОН], [АДРЕС].