Политика обработки персональных данных

Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных (далее — ПДн) физических лиц (далее — Субъекты) и разработана во исполнение пункта 2 части 1 статьи 18¹ Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

1. Общие положения

Политика составлена в соответствии с Конституцией Российской Федерации (ст. 23, 24), 152-ФЗ, Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», постановлениями Правительства РФ от 01.11.2012 № 1119 и от 15.09.2008 № 687, приказом ФСТЭК России от 18.02.2013 № 21 и иными нормативными актами РФ. Политика распространяется на ПДн, обрабатываемые на сайте hmelileteli.com и в мобильных приложениях Оператора. Использование сайта, приложения и оформление заказа означают ознакомление Субъекта с настоящей Политикой. Настоящая Политика является информационным документом и не заменяет согласие субъекта на обработку персональных данных: согласие, когда оно требуется, предоставляется отдельно (см. Согласие на обработку персональных данных), а обработка, необходимая для заключения и исполнения договора, осуществляется на основании пункта 5 части 1 статьи 6 152-ФЗ без отдельного согласия.

2. Оператор персональных данных

Наименование: Индивидуальный предприниматель Полунин Сергей Александрович
ОГРНИП: 322310000013593
ИНН: 526003175020
Адрес: 283023, Донецкая Народная Республика, г. Донецк, ул. Дарницкая, д. 17А
Телефон: +7 949 0 999 344
Электронная почта: hmelileteliyippee@yandex.ru
Сайт: hmelileteli.com

Оператор до начала обработки персональных данных направляет в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) уведомление о намерении осуществлять обработку персональных данных в порядке статьи 22 152-ФЗ. Лицо, ответственное за организацию обработки персональных данных, — Полунин Сергей Александрович; обращения направляются на адрес hmelileteliyippee@yandex.ru.

3. Основные понятия

Термины используются в значениях, определённых статьёй 3 152-ФЗ: «персональные данные», «обработка», «оператор», «автоматизированная обработка», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание», «информационная система персональных данных», «трансграничная передача», «согласие субъекта».

4. Категории субъектов и обрабатываемых ПДн

Оператор обрабатывает ПДн покупателей, пользователей сайта и мобильных приложений, лиц, обратившихся за обратной связью. Обрабатываются следующие категории ПДн:

имя (фамилия, имя — при указании);
контактный телефон;
адрес электронной почты;
адрес доставки (город, улица, дом, подъезд, этаж, квартира, домофон, комментарий);
идентификатор в мессенджерах Telegram / MAX (при указании);
данные учётной записи: логин, пароль (в виде необратимого хеша), история заказов, бонусный баланс, дата рождения (при добровольном указании для участия в акциях);
сведения о заказах (состав, сумма, способ и время получения, способ оплаты);
технические данные: IP-адрес, сведения об устройстве и браузере (User-Agent), файлы cookie, данные систем веб-аналитики.

Оператор не обрабатывает специальные категории ПДн (о расовой, национальной принадлежности, политических, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические ПДн.

5. Несовершеннолетние

Сервис не предназначен для самостоятельного использования лицами младше 18 лет в части, касающейся алкогольной продукции. ПДн несовершеннолетних обрабатываются исключительно с согласия их законных представителей. Реализация алкогольной продукции осуществляется только в торговых объектах Оператора лицам, достигшим 18 лет, при предъявлении документа, удостоверяющего личность.

6. Цели обработки

заключение и исполнение договора розничной купли-продажи, доставка и самовывоз заказа;
регистрация и ведение учётной записи, программа лояльности (бонусы);
информирование о статусе заказа, обратная связь и поддержка;
исполнение обязанностей, возложенных на Оператора законодательством (формирование кассовых чеков — 54-ФЗ, бухгалтерский и налоговый учёт);
обеспечение безопасности, предотвращение мошенничества и злоупотреблений;
направление рекламных и информационных сообщений — только при наличии отдельного согласия (ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»);
улучшение работы сайта и приложений на основе обезличенной статистики.

7. Правовые основания обработки

Согласие Субъекта (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ); исполнение договора, стороной которого является Субъект (п. 5 ч. 1 ст. 6 152-ФЗ); исполнение обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6 152-ФЗ); для рекламных рассылок — согласие в соответствии со ст. 18 38-ФЗ.

8. Порядок и условия обработки

Обработка осуществляется с использованием средств автоматизации и без таковой и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение ПДн.

9. Хранение данных на территории Российской Федерации

Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Все данные хранятся исключительно на серверах, расположенных в Российской Федерации.

10. Сроки обработки и хранения

ПДн обрабатываются до достижения целей обработки либо до отзыва согласия. Данные учётной записи хранятся до её удаления Субъектом. Сведения, отражённые в первичных учётных документах, хранятся не менее 5 лет (Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте», Налоговый кодекс РФ). По достижении целей или истечении сроков ПДн уничтожаются либо обезличиваются.

11. Передача данных третьим лицам

Оператор поручает обработку ПДн третьим лицам на основании договора, содержащего условия о соблюдении конфиденциальности и требований к защите ПДн, в минимально необходимом объёме (ч. 3 ст. 6 152-ФЗ). По поручению Оператора действуют:

службы доставки и курьеры — имя, телефон, адрес, состав заказа;
рестораны-партнёры и системы автоматизации общественного питания — для приготовления и комплектации заказа;
оператор фискальных данных (ОФД) — для формирования кассового чека (54-ФЗ);
хостинг-провайдер (серверы в РФ), сервисы уведомлений и веб-аналитики.

При выборе онлайн-оплаты ПДн (сумма, номер заказа и контактные данные для чека) передаются банкам-эквайерам и платёжным сервисам (ЮKassa, ПСБ), которые выступают самостоятельными операторами и обрабатывают данные в целях проведения платежа на основании ч. 1 ст. 6 152-ФЗ и применимого законодательства о национальной платёжной системе. Предоставление ПДн государственным органам осуществляется по основаниям и в порядке, установленным законодательством РФ.

12. Трансграничная передача

Оператор не осуществляет трансграничную передачу ПДн. Все системы обработки и хранения, а также привлекаемые Оператором лица, действующие по его поручению, расположены на территории Российской Федерации. В случае возникновения необходимости трансграничной передачи Оператор предварительно направляет в Роскомнадзор уведомление в порядке статьи 12 152-ФЗ.

13. Файлы cookie и аналитика

Сайт использует следующие категории файлов cookie: необходимые — обеспечивают работоспособность сайта, хранят выбранный регион, состояние корзины и идентификатор сессии (обрабатываются без согласия как необходимые для оказания услуги); функциональные — сохраняют тему оформления, язык и предпочтения отображения; аналитические — помогают оценивать посещаемость разделов в обезличенном виде; маркетинговые — используются для показа релевантных предложений и оценки эффективности рекламных кампаний. Функциональные, аналитические и маркетинговые cookie, а также иные cookie, позволяющие идентифицировать пользователя, обрабатываются только при наличии согласия пользователя (п. 1 ч. 1 ст. 6, ч. 1 ст. 9 152-ФЗ), которое предоставляется через баннер согласия при первом посещении с возможностью выбора отдельных категорий. Пользователь вправе в любой момент изменить или отозвать согласие с помощью ссылки «Настройки cookie» в нижней части сайта, а также очистить cookie в настройках браузера; при отказе от необязательных cookie отдельные функции сайта могут быть недоступны.

14. Права субъекта персональных данных

Субъект вправе (ст. 14, 17, 21, ч. 2 ст. 9 152-ФЗ): получать сведения об обработке своих ПДн; требовать уточнения, блокирования или уничтожения ПДн в случае их неполноты, неактуальности, неточности либо неправомерной обработки; отозвать согласие; обжаловать действия Оператора в уполномоченный орган (Роскомнадзор) или в судебном порядке.

15. Порядок реализации прав и направления запросов

Запрос направляется на адрес hmelileteliyippee@yandex.ru или по почтовому адресу Оператора и должен содержать сведения, позволяющие идентифицировать Субъекта, и контактные данные для ответа. Сроки: ответ на запрос о факте и характере обработки — не более 10 рабочих дней с возможным продлением не более чем на 5 рабочих дней (ч. 1 ст. 20 152-ФЗ); уточнение, блокирование или уничтожение неправомерно обрабатываемых ПДн — в сроки, установленные статьёй 21 152-ФЗ; прекращение обработки при отзыве согласия — не более 30 дней (ч. 5 ст. 21 152-ФЗ).

16. Меры защиты персональных данных

Оператор принимает правовые, организационные и технические меры по защите ПДн от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения (ст. 18¹, ст. 19 152-ФЗ): определён уровень защищённости ПДн (ПП РФ № 1119); утверждены локальные акты; назначено лицо, ответственное за организацию обработки ПДн; применяются разграничение доступа, шифрование канала связи (TLS), необратимое хеширование паролей (Argon2id), журналирование действий, защита от несанкционированного доступа, автоматического перебора и инъекций, резервное копирование и регулярный аудит безопасности.

17. Действия при инцидентах

При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлёкшей нарушение прав Субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о факте инцидента и в течение 72 часов — о результатах внутреннего расследования (ч. 3¹ ст. 21 152-ФЗ). В случаях, установленных законодательством Российской Федерации, Оператор обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

18. Мобильные приложения

В мобильных приложениях Оператора («Хмели Летели» в Google Play и RuStore, «Проект Х» в App Store) обрабатываются те же категории ПДн в указанных целях. Пользователь может самостоятельно удалить учётную запись и связанные с ней ПДн в приложении: вкладка «Профиль» → раздел «Контактная информация» → пункт «Удалить учётную запись».

19. Изменение Политики

Оператор вправе вносить изменения в Политику. Актуальная редакция размещается на сайте по настоящему адресу. Продолжение использования сервиса после публикации изменений означает согласие с новой редакцией.

20. Контакт по вопросам безопасности

Сообщения о возможных уязвимостях или утечках направляются на hmelileteliyippee@yandex.ru либо в соответствии с /.well-known/security.txt (RFC 9116). Жалоба на действия Оператора может быть подана в Роскомнадзор (rkn.gov.ru).