Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Индивидуальным предпринимателем Демидовым Ильёй Игоревичем (далее — «Оператор»).

1.2. Политика действует в отношении всех персональных данных, которые Оператор обрабатывает с использованием средств автоматизации и без таковых, в том числе при работе интернет-магазина pokebarn.ru, розничных магазинов Оператора и программы лояльности «БАРНКОИНЫ». Политика является общедоступным документом и размещается на сайте Оператора по постоянному адресу.

1.3. Используя сайт Оператора и предоставляя свои персональные данные, субъект подтверждает ознакомление с настоящей Политикой.

2. Основные понятия

2.1. Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка ПД — любое действие (операция) или совокупность действий с ПД, совершаемых с использованием средств автоматизации или без них (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение).

2.3. Оператор — лицо, организующее и (или) осуществляющее обработку ПД, а также определяющее цели и состав обрабатываемых ПД.

2.4. Иные термины применяются в значениях, определённых статьёй 3 152-ФЗ.

3. Правовые основания обработки

3.1. Оператор обрабатывает ПД на следующих правовых основаниях: Конституция РФ; 152-ФЗ; Гражданский кодекс РФ; Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»; Федеральный закон от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники»; иные нормативные правовые акты РФ в области персональных данных.

3.2. Обработка ПД осуществляется на основании: согласия субъекта на обработку его ПД (п. 1 ч. 1 ст. 6 152-ФЗ); необходимости исполнения договора купли-продажи, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ); необходимости исполнения обязанностей, возложенных на Оператора законодательством РФ (п. 2 ч. 1 ст. 6 152-ФЗ).

3.3. Согласие субъекта на обработку ПД оформляется отдельным документом в соответствии со статьёй 9 152-ФЗ.

4. Принципы обработки

4.1. Обработка ПД осуществляется на законной и справедливой основе.

4.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка ПД, несовместимая с целями сбора.

4.3. Обрабатываются только ПД, отвечающие целям обработки; содержание и объём обрабатываемых ПД соответствуют заявленным целям и не являются избыточными (принцип минимизации).

5. Категории субъектов и состав обрабатываемых персональных данных

5.1. Категории субъектов: покупатели и пользователи — физические лица, оформляющие заказы в интернет-магазине pokebarn.ru, приобретающие товары и услуги в розничных магазинах Оператора, участники программы лояльности «БАРНКОИНЫ», а также лица, направившие Оператору обращение.

5.2. Состав обрабатываемых ПД:

• фамилия, имя, отчество (при наличии);
• номер мобильного телефона;
• адрес электронной почты;
• адрес доставки (почтовый индекс, регион, город, улица, дом, помещение) либо выбранный пункт выдачи заказа — при оформлении заказа с доставкой;
• дата рождения — при оформлении электронной карты лояльности, для начисления бонуса ко дню рождения (сообщается субъектом по желанию);
• сведения о заказах и покупках: состав заказа, сумма, дата, способ оплаты и получения, история возвратов;
• сведения об участии в программе лояльности: номер карты, уровень участника, баланс и история начисления и списания бонусов;
• обезличенные технические данные о посещении сайта — в объёме, указанном в пункте 5.4.

5.3. Оператор не обрабатывает специальные категории ПД (о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические персональные данные. Оператор не запрашивает и не хранит реквизиты документов, удостоверяющих личность, и полные реквизиты банковских карт: оплата производится на стороне платёжного сервиса, данные карты Оператору не передаются.

5.4. Файлы cookie и автоматически собираемые технические данные. При посещении сайта Оператора с использованием файлов cookie и аналогичных технологий автоматически собираются обезличенные технические данные о посещении, в том числе: тип и параметры устройства и браузера (User-Agent); IP-адрес; идентификатор браузера (cookie ID); адреса посещённых страниц и адрес перехода (referer); дата, время и тип действия на сайте; экранное разрешение; сведения о содержимом корзины и авторизации. Указанные данные используются для обеспечения работы, безопасности и удобства сайта, а также для сбора обезличенной статистики посещаемости и не используются для установления личности субъекта.

5.5. Сервисы веб-аналитики. Для сбора обезличенной статистики посещаемости сайта Оператор использует сервис веб-аналитики Яндекс Метрика (ООО «ЯНДЕКС», ИНН 7736207543, Российская Федерация). Обработка обезличенных данных таким сервисом осуществляется на условиях его собственных правил; персональные данные, позволяющие идентифицировать субъекта, указанному сервису не передаются. Статистические файлы cookie устанавливаются только после получения согласия посетителя.

5.5.1. Запись действий на странице. В составе указанного сервиса веб-аналитики используется технология записи действий посетителя на странице («Вебвизор»): фиксируются перемещения указателя, прокрутка, нажатия и последовательность переходов, а также могут отражаться сведения, вводимые в поля форм. Записи используются исключительно для анализа удобства сайта и выявления ошибок в его работе. Запись ведётся только после получения согласия посетителя на использование необязательных файлов cookie; при отказе от них запись не ведётся. Отозвать согласие можно в любой момент, изменив выбор по ссылке «Настройки cookie» в нижней части любой страницы сайта.

5.5.1. Виджеты социальных сетей. На страницах сайта размещён виджет сообщества социальной сети «ВКонтакте» (ООО «ВК», ИНН 7743001840, Российская Федерация), позволяющий перейти в сообщество Оператора и направить сообщение. При загрузке виджета его владельцу становятся доступны технические данные о посещении страницы, указанные в пункте 5.4; в отношении этих данных владелец виджета действует как самостоятельный оператор на условиях собственных документов. Виджет загружается только после получения согласия посетителя; при отказе от необязательных файлов cookie виджет не загружается и данные ему не передаются.

5.6. Управление файлами cookie. Посетитель сайта самостоятельно принимает решение об использовании необязательных (статистических) файлов cookie в уведомлении, отображаемом при первом посещении сайта, и вправе изменить это решение в любой момент по ссылке «Настройки cookie» в нижней части страниц сайта. Кроме того, файлами cookie можно управлять через настройки браузера (ограничение, блокирование или удаление). Отключение или удаление файлов cookie может привести к недоступности отдельных функций или разделов сайта. Технические файлы cookie, без которых сайт не работает (авторизация, корзина, защита форм), используются на основании пункта 2 части 1 статьи 6 152-ФЗ и не требуют отдельного согласия.

6. Цели обработки персональных данных

6.1. Оператор обрабатывает персональные данные в следующих целях:

1. оформление, обработка и исполнение заказа, включая доставку товара, приём оплаты, оформление возврата товара и возврата денежных средств;
2. регистрация и ведение личного кабинета покупателя на сайте, предоставление доступа к истории заказов;
3. участие субъекта в программе лояльности «БАРНКОИНЫ»: регистрация участника, выпуск и обслуживание электронной карты, начисление и списание бонусов, информирование о состоянии бонусного счёта;
4. идентификация участника программы лояльности при обслуживании на кассе розничного магазина Оператора;
5. подтверждение принадлежности номера телефона субъекту при регистрации и вступлении в программу лояльности;
6. рассмотрение обращений субъекта и связь с ним по существу обращения;
7. исполнение обязанностей, возложенных на Оператора законодательством РФ (бухгалтерский и налоговый учёт, применение контрольно-кассовой техники, соблюдение прав потребителей);
8. направление информационных и рекламных сообщений о товарах, акциях и мероприятиях Оператора — только при наличии отдельного согласия субъекта, оформляемого самостоятельной отметкой;
9. сбор обезличенной статистики посещаемости сайта.

6.2. Обработка ПД для иных целей без отдельного правового основания не осуществляется.

7. Порядок и условия обработки

7.1. Способ обработки: смешанная обработка — с использованием средств автоматизации и без использования таких средств, без передачи по внутренней сети Оператора с предоставлением доступа неограниченному кругу лиц.

7.2. Локализация баз данных (ч. 5 ст. 18 152-ФЗ): сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации: серверы хостинг-провайдера ООО «Регистратор доменных имён РЕГ.РУ» (ИНН 7733568767), Российская Федерация, г. Москва; информационные системы учёта и программы лояльности размещены на серверах на территории Российской Федерации.

7.3. Передача третьим лицам. Оператор поручает обработку персональных данных следующим лицам (часть 3 статьи 6 152-ФЗ) — в объёме, необходимом для соответствующей цели:

• ООО «РИТЕЙЛДРАЙВЕР» (сервис RetailCRM), ИНН 7724941710, адрес: 115230, г. Москва, Хлебозаводский проезд, д. 7, стр. 9 — ведение единой базы покупателей и программы лояльности;
• ООО «Логнекс» (сервис МойСклад), ИНН 7736570901, адрес: 121205, г. Москва, территория инновационного центра «Сколково», Большой бульвар, д. 42, стр. 1 — товарный учёт, оформление заказов и розничных продаж;
• ООО «КАРДПИАР», ИНН 6686123999, адрес: 620091, г. Екатеринбург, ул. Электриков, д. 21, и ИП Орлов Илья Андреевич, ИНН 660605020110, адрес тот же (сервис CARDPR) — выпуск и обслуживание электронных карт лояльности;
• ООО «Интер» (сервис NotiSend), ИНН 7017351722, адрес: 634050, г. Томск, ул. Алексея Беленца, д. 10, кв. 6 — отправка сообщений субъекту по его номеру телефона;
• ООО «Регистратор доменных имён РЕГ.РУ», ИНН 7733568767, адрес: 125315, г. Москва, Ленинградский проспект, д. 72, к. 3 — размещение сайта и базы данных;
• ИП Боатенг Евгений Самуэлович (бренд «Смарт Рост»), ИНН 774319428786, адрес: г. Москва, ул. Смольная, д. 71 — техническое сопровождение сайта и информационных систем Оператора.

Для подтверждения принадлежности указанного субъектом номера телефона Оператор использует сервис uCaller (ИП Савин Константин Александрович, ИНН 772631738823, г. Москва). Сервису передаётся только номер телефона — без имени, адреса электронной почты и иных сведений о субъекте; сервис действует на основании собственной публичной оферты и определяет цели обработки самостоятельно.

Кроме того, персональные данные передаются следующим лицам, которые определяют цели обработки самостоятельно в силу закона и действуют как самостоятельные операторы:

• АО «АЛЬФА-БАНК», ИНН 7728168971, адрес: 107078, г. Москва, ул. Каланчёвская, д. 27 — приём оплаты заказа и возврат денежных средств;
• ООО «СДЭК-ГЛОБАЛ», ИНН 7722327689, адрес: 630007, г. Новосибирск, ул. Кривощековская, зд. 15, к. 1 — доставка заказа;
• ООО «Боксберри Софт» (сервис Boxberry, входит в Яндекс Доставку), ИНН 6685157931, г. Екатеринбург — доставка заказа.

Передача (поручение обработки) осуществляется на основании договора, содержащего обязанность соблюдать конфиденциальность персональных данных и требования 152-ФЗ. Адреса указаны по данным ЕГРЮЛ и ЕГРИП; для индивидуальных предпринимателей адрес регистрации не является общедоступным и указывается в договоре (поручении) с соответствующим лицом. Иным лицам персональные данные не передаются, кроме случаев, предусмотренных законодательством РФ.

7.4. Трансграничная передача: трансграничная передача персональных данных не осуществляется. Все лица, указанные в пункте 7.3, находятся на территории Российской Федерации, серверы обработки расположены в Российской Федерации.

7.5. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, на основании исключительно автоматизированной обработки его ПД.

8. Сроки обработки и хранения

8.1. Срок обработки ПД:

• персональные данные покупателя — 3 (три) года с даты последнего заказа или обращения субъекта;
• персональные данные участника программы лояльности — в течение срока участия в программе и 3 (три) года с даты последней операции по бонусному счёту;
• данные, содержащиеся в документах, срок хранения которых установлен законодательством РФ (бухгалтерские, кассовые документы), — в течение установленного законом срока;
• сведения о факте предоставления согласия (дата, время, сетевой адрес, указанные субъектом контактные данные) — 3 (три) года с даты предоставления согласия либо с даты его отзыва, в зависимости от того, какое событие наступит позднее. Указанные сведения хранятся отдельно и используются исключительно для подтверждения факта получения согласия.

Условие прекращения обработки: отзыв согласия субъектом либо достижение целей обработки, а также истечение указанных выше сроков.

8.2. По истечении срока обработки, достижении целей или отзыве согласия ПД подлежат уничтожению, если иное не предусмотрено законодательством РФ.

9. Актуализация, блокирование и уничтожение персональных данных (ст. 21 152-ФЗ)

9.1. При выявлении неточных ПД или неправомерной обработки (в том числе по обращению субъекта или запросу уполномоченного органа) Оператор уточняет либо блокирует соответствующие ПД на период проверки.

9.2. При подтверждении факта неточности Оператор уточняет ПД в течение 7 рабочих дней и снимает блокирование. При выявлении неправомерной обработки, которую невозможно устранить, Оператор в срок не более 10 рабочих дней прекращает обработку и уничтожает ПД, уведомляя об этом субъекта.

9.3. По достижении целей обработки или отзыве согласия Оператор прекращает обработку и уничтожает ПД в сроки, установленные 152-ФЗ.

10. Меры по обеспечению безопасности персональных данных (ст. 18.1, 19 152-ФЗ)

10.1. Оператор принимает правовые, организационные и технические меры для защиты ПД от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, в том числе:

• правовые — издание локальных актов по вопросам обработки и защиты персональных данных; заключение с лицами, которым поручена обработка, договоров, содержащих обязанность соблюдения конфиденциальности и требований 152-ФЗ;
• организационные — ограничение и разграничение доступа к персональным данным, персональные учётные записи работников, доступ только в объёме, необходимом для выполнения трудовых обязанностей; ознакомление работников с требованиями законодательства о персональных данных;
• технические — передача данных по защищённому каналу (HTTPS/TLS); доступ к информационным системам по паролю; регулярное резервное копирование; размещение базы данных на защищённом сервере на территории Российской Федерации; фиксация факта, даты, времени и редакции текста согласия при его получении через сайт.

10.2. Функции лица, ответственного за организацию обработки персональных данных, осуществляет сам Оператор (индивидуальный предприниматель). Контакты для обращений: info@pokebarn.ru.

10.3. В случае выявления инцидента (неправомерной или случайной передачи ПД, повлёкшей нарушение прав субъектов) Оператор уведомляет Роскомнадзор в порядке и сроки, установленные ч. 3.1 ст. 21 152-ФЗ (в течение 24 часов — о факте инцидента, в течение 72 часов — о результатах внутреннего расследования).

11. Права субъекта персональных данных

11.1. Субъект имеет право: получать информацию, касающуюся обработки его ПД; требовать уточнения, блокирования или уничтожения ПД в случае их неполноты, неточности или неправомерной обработки; отозвать ранее данное согласие; обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

11.2. Обращения субъектов направляются Оператору по контактам, указанным в начале Политики.

12. Обязанности Оператора

Оператор обязан:

• обрабатывать персональные данные законно и справедливо, только в заявленных целях и в минимально необходимом объёме;
• предоставлять субъекту по его запросу сведения об обработке его персональных данных;
• по требованию субъекта уточнять, блокировать или уничтожать данные, если они неполны, устарели, неточны, получены незаконно либо не нужны для заявленной цели;
• прекратить обработку и уничтожить данные при отзыве согласия, достижении цели или истечении срока;
• принимать меры для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения;
• обеспечивать запись, систематизацию, накопление, хранение и извлечение персональных данных граждан Российской Федерации в базах данных на территории Российской Федерации;
• уведомлять уполномоченный орган об обработке персональных данных и об изменении ранее поданных сведений;
• уведомлять уполномоченный орган и субъектов о фактах неправомерной передачи или неправомерного доступа к персональным данным в сроки, установленные законом.

13. Порядок рассмотрения обращений субъектов

13.1. Обращение (запрос) субъекта должно содержать сведения, позволяющие идентифицировать субъекта (в объёме, предусмотренном ч. 3 ст. 14 152-ФЗ), и направляется по контактам Оператора.

13.2. Оператор рассматривает обращение и направляет ответ в срок, не превышающий 10 рабочих дней со дня его получения (с возможностью продления не более чем на 5 рабочих дней с уведомлением субъекта). Сведения об обработке ПД предоставляются субъекту в доступной форме безвозмездно.

14. Заключительные положения

14.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается по адресу опубликования Политики и вступает в силу с момента размещения.

14.2. Уведомление об обработке персональных данных направляется Оператором в Роскомнадзор в порядке статьи 22 152-ФЗ.