Политика обработки персональных данных

1. Общие положения

1.1. Настоящая политика обработки персональных данных (далее - Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - ФЗ-152), а также иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

1.2. Оператором персональных данных является:

Наименование	ИП Блинников Артем Алексеевич
ИНН	132608695707
ОГРНИП	313132626600021
Юридический адрес	430032, Республика Мордовия, г. Саранск, ул. Попова, д.61, кв. 41
Телефон	+7 (917) 993-82-66
Email	office@teplicy-p.ru
Сайт	https://teplicy-p.ru/

1.3. Ответственным за организацию обработки персональных данных у Оператора является Блинников Артем Алексеевич, контактный email: artemblinnikov@mail.ru, телефон: +7 987 690-13-17.

1.4. Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Оператором на сайте https://teplicy-p.ru/ (интернет-каталог товаров, далее - Сайт).

1.5. Политика действует в отношении всех персональных данных, которые Оператор получает от посетителей и покупателей Сайта, в том числе через каталог товаров, корзину заказа и формы обратной связи.

2. Основные понятия

В настоящей Политике используются следующие основные понятия (ст. 3 ФЗ-152).

2.1. Персональные данные - любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение персональных данных.

2.3. Оператор - ИП (Индивидуальный предприниматель) ИП Блинников Артем Алексеевич, самостоятельно организующий и осуществляющий обработку персональных данных на Сайте.

2.4. Субъект персональных данных - физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных, в том числе покупатель или посетитель Сайта.

2.5. Пользователь - любое физическое лицо, посетившее Сайт, оставившее заявку через форму обратной связи либо оформившее заказ через корзину.

2.6. Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.

2.7. Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

2.8. Специальные категории персональных данных - данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 ФЗ-152).

2.9. Биометрические персональные данные - сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (ст. 11 ФЗ-152).

2.10. Согласие на обработку персональных данных - конкретное, информированное, сознательное и добровольное выражение субъектом персональных данных волеизъявления на обработку его персональных данных (ст. 9 ФЗ-152).

3. Цели обработки персональных данных

3.1. Оператор обрабатывает персональные данные Пользователей в следующих целях:

• оформление и исполнение заказов товаров, оформленных через корзину Сайта;
• обработка обращений, оставленных через формы обратной связи Сайта;
• связь с Пользователем для подтверждения заказа, уточнения условий доставки и оплаты;
• исполнение обязательств Оператора по договору купли-продажи;
• предоставление консультаций по товарам, представленным в каталоге;
• ведение статистики посещаемости Сайта и анализ поведения пользователей с использованием сервиса Яндекс.Метрика;
• защита форм Сайта от автоматических рассылок и спам-обращений (антиспам-проверка).

3.2. Оператор не осуществляет обработку персональных данных, несовместимую с целями их сбора, указанными в п. 3.1.

3.3. Обработка специальных категорий персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь) Оператором не осуществляется.

3.4. Обработка биометрических персональных данных Оператором не осуществляется.

4. Правовые основания обработки персональных данных

4.1. Оператор осуществляет обработку персональных данных при наличии хотя бы одного из оснований, предусмотренных ч. 1 ст. 6 ФЗ-152:

1. обработка осуществляется с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 ФЗ-152);
2. обработка необходима для исполнения договора, стороной которого является субъект персональных данных, в том числе для доставки заказанного товара (п. 5 ч. 1 ст. 6 ФЗ-152);
3. обработка необходима для осуществления прав и законных интересов Оператора (п. 7 ч. 1 ст. 6 ФЗ-152).

4.2. Иные нормативные правовые акты, на основании которых Оператор осуществляет обработку персональных данных:

• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Приказ Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных...»;
• Гражданский кодекс Российской Федерации;
• Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»;
• Постановление Правительства РФ от 31.12.2020 № 2463 «Об утверждении Правил продажи товаров по договору розничной купли-продажи...».

4.3. Ответственность за нарушение законодательства о персональных данных установлена ст. 13.11 КоАП РФ, а также ст. 137 и 272 УК РФ.

5. Объём и категории обрабатываемых персональных данных

5.1. Оператор обрабатывает следующие персональные данные Пользователей:

• фамилия, имя, отчество;
• номер телефона;
• адрес электронной почты;
• адрес доставки товара (при оформлении заказа);
• IP-адрес и данные cookie-файлов;
• сведения об устройстве и браузере (технические логи).

5.2. Оператор не запрашивает и не обрабатывает данные банковских карт, поскольку оплата товаров на Сайте производится без применения онлайн-эквайринга - наличными средствами или безналичным переводом по счёту.

5.3. Категории субъектов персональных данных: покупатели, оформляющие заказ через корзину, и посетители Сайта, обратившиеся через формы обратной связи.

5.4. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными.

6. Порядок и условия обработки персональных данных

6.1. Обработка персональных данных осуществляется Оператором с использованием средств автоматизации (информационная система Сайта на CMS MODX) и без использования таких средств (при обработке письменных обращений).

6.2. Оператор обеспечивает сохранность персональных данных и принимает меры, исключающие доступ к ним неуполномоченных лиц.

6.3. Персональные данные Пользователя передаются третьим лицам только в случаях, указанных в разделе 9 настоящей Политики, либо на основании отдельного согласия субъекта.

6.4. Пользователь может актуализировать свои персональные данные, направив уведомление на адрес электронной почты artemblinnikov@mail.ru с пометкой «Актуализация персональных данных».

6.5. Срок обработки персональных данных определяется достижением целей, для которых они были собраны, с учётом сроков хранения, указанных в разделе 14 настоящей Политики.

7. Обработка персональных данных с использованием средств автоматизации

7.1. При автоматизированной обработке персональных данных Оператор применяет следующие меры защиты:

• принудительное шифрование канала связи по протоколу HTTPS (SSL/TLS) при передаче данных через формы Сайта;
• изменение стандартного пути к административной панели MODX (/manager/) на нестандартный;
• изменение стандартного префикса таблиц базы данных;
• разграничение доступа к административной панели Сайта;
• антиспам-защита форм обратной связи (проверка honeypot-поля и случайного токена при отправке форм FormIt/FetchIt);
• регулярное резервное копирование базы данных (не реже одного раза в неделю);
• регулярное обновление CMS MODX и используемых компонентов (FormIt, FetchIt, MiniShop2) до актуальных версий.

8. Обработка персональных данных без использования средств автоматизации

8.1. Персональные данные, полученные Оператором в письменной форме (например, при отзыве согласия почтовым письмом), обособляются от иной информации и хранятся с исключением несанкционированного доступа третьих лиц.

9. Передача персональных данных третьим лицам

9.1. Оператор вправе передавать персональные данные третьим лицам в следующих случаях:

• субъект персональных данных выразил согласие на такую передачу;
• передача необходима для исполнения заказа (доставка товара курьерской службой или транспортной компанией);
• передача предусмотрена законодательством Российской Федерации.

9.2. Персональные данные могут передаваться следующим категориям третьих лиц:

• хостинг-провайдер, обеспечивающий физическое хранение данных Сайта на территории Российской Федерации;
• сервис веб-аналитики Яндекс.Метрика (ООО «Яндекс», ИНН 7736207543) - в объёме обезличенной статистики посещений;
• транспортные и курьерские компании - исключительно в объёме, необходимом для доставки заказа.

9.3. Оператор не передаёт персональные данные Пользователей рекламным сетям и не осуществляет продажу персональных данных третьим лицам.

10. Трансграничная передача персональных данных

10.1. Трансграничная передача персональных данных Оператором не осуществляется. Хранение и обработка персональных данных производятся на серверах, расположенных на территории Российской Федерации.

11. Обработка персональных данных с помощью файлов cookie

11.1. Файлы cookie - небольшие текстовые файлы, сохраняемые на устройстве Пользователя при посещении Сайта.

11.2. Оператор использует cookie-файлы в целях обеспечения корректной работы Сайта, сбора статистики посещаемости и анализа поведения пользователей.

11.3. На Сайте используется сервис веб-аналитики Яндекс.Метрика, устанавливающий собственные cookie-файлы.

11.4. Подробный перечень используемых cookie-файлов и порядок управления ими приведён в отдельном документе - Политике использования файлов cookie.

12. Права субъектов персональных данных

12.1. Субъект персональных данных имеет следующие права (ст. 14-17 ФЗ-152):

• право на получение информации - получать от Оператора сведения об обработке своих персональных данных, включая подтверждение факта обработки, цели, способы и сроки обработки;
• право на уточнение, блокирование или уничтожение - требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные или незаконно полученные;
• право на отзыв согласия - отозвать согласие на обработку персональных данных в любое время (порядок отзыва описан на отдельной странице отзыва согласия);
• право на обжалование - обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;
• право на возмещение убытков - требовать возмещения убытков и компенсации морального вреда в судебном порядке.

12.2. Для реализации указанных прав субъект персональных данных направляет запрос на адрес электронной почты artemblinnikov@mail.ru или по почтовому адресу 430032, Республика Мордовия, г. Саранск, ул. Попова, д.61, кв. 41, указав ФИО, контактные данные и суть обращения.

12.3. Оператор рассматривает обращение субъекта в течение 10 рабочих дней с момента его получения (ч. 4 ст. 14 ФЗ-152) и предоставляет мотивированный ответ.

13. Меры по обеспечению безопасности персональных данных

13.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.

13.2. Организационные меры:

• назначение ответственного за организацию обработки персональных данных - Блинников Артем Алексеевич;
• утверждение внутренних локальных актов по вопросам обработки персональных данных;
• ограничение круга лиц, допущенных к обработке персональных данных.

13.3. Технические меры:

• принудительный HTTPS с редиректом со всех незащищённых запросов;
• нестандартный путь к панели администратора и изменённый префикс таблиц базы данных;
• регулярное обновление CMS и её компонентов;
• регулярное резервное копирование базы данных силами хостинг-провайдера;
• антиспам-проверка форм обратной связи.

14. Сроки хранения и порядок уничтожения персональных данных

14.1. Персональные данные хранятся не дольше, чем это необходимо для целей обработки, указанных в разделе 3 настоящей Политики.

14.2. Срок хранения персональных данных покупателей - 3 (три) года с момента последнего обращения или заказа, если иной срок не установлен законодательством Российской Федерации (в частности, требованиями налогового и бухгалтерского учёта).

14.3. Персональные данные подлежат уничтожению в случаях достижения целей обработки, отзыва согласия субъектом, либо выявления неправомерной обработки.

14.4. Уничтожение персональных данных производится в срок, не превышающий 30 (тридцати) дней с даты возникновения основания для уничтожения (ч. 5 ст. 21 ФЗ-152).

15. Уровень защищённости персональных данных

15.1. Оператор обрабатывает персональные данные покупателей и посетителей Сайта, не являющихся сотрудниками Оператора, в объёме, не превышающем 100 000 субъектов, без обработки специальных категорий и биометрических данных.

15.2. С учётом характера обрабатываемых данных и актуальных угроз, определённых Оператором самостоятельно, информационной системе персональных данных Сайта установлен 4-й уровень защищённости (УЗ-4) в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119.

16. Реагирование на инциденты информационной безопасности

16.1. При выявлении инцидента, связанного с неправомерным доступом, распространением или утратой персональных данных, Оператор:

• фиксирует факт инцидента в момент его обнаружения;
• направляет первичное уведомление в Роскомнадзор не позднее 24 часов с момента выявления инцидента (ч. 3.1 ст. 21 ФЗ-152);
• направляет подробное уведомление с результатами внутреннего расследования не позднее 72 часов;
• уведомляет затронутых субъектов персональных данных при необходимости;
• принимает меры по устранению причин инцидента.

16.2. Ответственным за реагирование на инциденты является Блинников Артем Алексеевич, контактный email для уведомлений: artemblinnikov@mail.ru.

17. Порядок сбора и отзыва согласий на обработку персональных данных

17.1. Согласие на обработку персональных данных предоставляется субъектом путём проставления отметки в форме на Сайте либо путём подписания отдельного документа - Согласия на обработку персональных данных.

17.2. Согласие является конкретным, предметным, информированным и однозначным (ч. 1 ст. 9 ФЗ-152).

17.3. Порядок и сроки отзыва согласия приведены на отдельной странице отзыва согласия.

18. Ответственность оператора

18.1. Оператор несёт ответственность за нарушение требований законодательства Российской Федерации в области персональных данных в соответствии с действующим законодательством.

18.2. В случае утраты или разглашения персональных данных Оператор уведомляет субъекта персональных данных и Роскомнадзор в сроки, установленные ФЗ-152.

19. Заключительные положения

19.1. Настоящая Политика является общедоступным документом и размещается на Сайте https://teplicy-p.ru/.

19.2. Оператор вправе вносить изменения в настоящую Политику. Дата последней редакции указывается в подвале документа.

19.3. Новая редакция Политики вступает в силу с момента её публикации на Сайте, если иное не предусмотрено новой редакцией.

19.4. Все споры между субъектом персональных данных и Оператором разрешаются путём переговоров, а при недостижении согласия - в суде по месту нахождения Оператора в соответствии с законодательством Российской Федерации.