Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности. Оператором персональных данных является Индивидуальный предприниматель Кротов Олег Валерьевич (далее — «Оператор»).
1.2. Политика разработана и опубликована во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Федеральный закон № 152-ФЗ»).
1.3. Политика применяется ко всем персональным данным, которые Оператор получает через сайт photo-nochnik.ru (далее — «Сайт»), включая разделы Сайта, предназначенные для обработки изображений и для оформления заказов.
1.4. Политика действует в отношении неопределённого круга лиц и распространяется на персональные данные, полученные как до, так и после её утверждения.
1.5. Действующая редакция Политики размещена в постоянном открытом доступе на Сайте в разделе «Политика в отношении обработки персональных данных».
2. Термины и определения
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (субъекту персональных данных).
2.2. Оператор — Индивидуальный предприниматель Кротов Олег Валерьевич, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки, состав персональных данных и совершаемые с ними действия.
2.3. Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.4. Пользователь — лицо, использующее Сайт, в том числе загрузившее изображение для предварительного просмотра, владелец кода доступа, покупатель товара и получатель отправления.
2.5. Код доступа — последовательность символов, размещённая в приобретённом ночнике и предоставляющая доступ к сохранению работ и к схеме изготовления изделия.
2.6. Работа — сохранённый результат обработки изображения: уменьшенная копия изображения, схема изготовления изделия и сведения о ходе его выполнения.
2.7. Иные термины, не определённые настоящей Политикой, используются в значениях, установленных статьёй 3 Федерального закона № 152-ФЗ.
3. Сведения об Операторе
3.1. Наименование: Индивидуальный предприниматель Кротов Олег Валерьевич.
3.2. ИНН: 330105072105.
3.3. ОГРНИП: 323330000011170.
3.4. Адрес: Россия, г. Махачкала, ул. Азиза Алиева, дом 9, кв. 71.
3.5. Адрес электронной почты: support@photo-nochnik.ru.
3.6. Регистрационный номер в реестре операторов, осуществляющих обработку персональных данных: уточняется.
3.7. Лицом, ответственным за организацию обработки персональных данных (статья 22.1 Федерального закона № 152-ФЗ), является ИП Кротов О. В.. Обращения по вопросам обработки персональных данных направляются по адресу электронной почты, указанному в пункте 3.5 настоящей Политики.
4. Принципы обработки персональных данных
4.1. Обработка персональных данных осуществляется на законной и справедливой основе.
4.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.
4.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
4.4. Обработке подлежат только те персональные данные, которые отвечают целям их обработки. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям и не являются избыточными по отношению к ним.
4.5. При обработке обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях — актуальность по отношению к целям обработки.
4.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей.
5. Категории субъектов и состав обрабатываемых персональных данных
5.1. Оператор обрабатывает персональные данные следующих категорий субъектов: пользователи Сайта, не совершавшие покупку; владельцы кодов доступа; покупатели товара; получатели отправлений, указанные покупателями.
5.2. В отношении пользователя, загрузившего изображение для предварительного просмотра, обрабатываются:
5.2.1. изображение, подготовленное в браузере Пользователя;
5.2.2. IP-адрес, дата и время обращения, служебные сведения о запросе.
5.3. Кадрирование изображения выполняется на устройстве Пользователя. Исходный файл фотографии Оператору не передаётся: передаётся только подготовленный в браузере кадр. Изображение, загруженное для предварительного просмотра, не сохраняется: оно не записывается ни в базу данных, ни в файловое хранилище Оператора и удаляется непосредственно после формирования изображения предварительного просмотра.
5.4. В отношении владельца кода доступа обрабатываются:
5.4.1. код доступа — в виде результата криптографического преобразования (HMAC-SHA256); сам код доступа Оператором не хранится;
5.4.2. уменьшенная копия изображения и схема изготовления изделия;
5.4.3. наименование файла исходного изображения и дата создания Работы;
5.4.4. сведения о ходе выполнения Работы;
5.4.5. идентификатор сессии — в виде результата криптографического преобразования, IP-адрес, дата и время обращения.
5.5. В отношении покупателя обрабатываются: имя; номер телефона; адрес электронной почты; населённый пункт, адрес доставки либо выбранный пункт выдачи, почтовый индекс; сведения о заказе (состав, сумма, статус, идентификатор платежа, номер отправления); сведения о факте, дате, времени, IP-адресе и редакции документов при выражении согласий; IP-адрес и служебные сведения о запросе.
5.6. В отношении получателя отправления, если им является не покупатель, обрабатываются: фамилия, имя, отчество; номер телефона; адрес доставки либо выбранный пункт выдачи.
5.7. Указывая персональные данные иного лица, покупатель подтверждает наличие согласия такого лица на передачу его персональных данных Оператору и привлекаемой службе доставки и обязуется по требованию Оператора представить подтверждение получения такого согласия.
6. Персональные данные, не подлежащие обработке
6.1. Оператор не обрабатывает специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, судимости.
6.2. Оператор не обрабатывает биометрические персональные данные. Загружаемое изображение используется исключительно для формирования декоративного точечного рисунка и не используется Оператором для установления личности субъекта персональных данных, в связи с чем не относится к биометрическим персональным данным в значении статьи 11 Федерального закона № 152-ФЗ. Технологии распознавания лиц Оператором не применяются.
6.3. Оператор не получает и не обрабатывает реквизиты банковских карт. Ввод реквизитов осуществляется на стороне платёжного сервиса. Оператору доступны только идентификатор и статус платежа.
6.4. Оператор не осуществляет целенаправленной обработки персональных данных лиц, не достигших восемнадцати лет.
7. Цели обработки и правовые основания
7.1. Предоставление возможности предварительного просмотра изображения в виде точечного рисунка. Обрабатываются данные, указанные в пункте 5.2. Правовое основание — пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ: обработка необходима для совершения действий, осуществляемых по инициативе субъекта персональных данных и направленных на заключение договора розничной купли-продажи ночника. Изображение загружается субъектом персональных данных самостоятельно и не сохраняется (пункт 5.3).
7.2. Предоставление сервиса по коду доступа: сохранение Работ, построение схемы изготовления изделия, синхронизация сведений о ходе выполнения между устройствами Пользователя. Обрабатываются данные, указанные в пункте 5.4. Правовое основание — исполнение договора, стороной которого является субъект персональных данных (пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ): доступ к сервису предоставляется по коду из приобретённого ночника, а сохранение Работы производится по команде самого Пользователя.
7.3. Заключение и исполнение договора розничной купли-продажи: оформление заказа, приём оплаты, передача отправления службе доставки, информирование о статусе заказа. Обрабатываются данные, указанные в пунктах 5.5 и 5.6. Правовые основания — пункты 1 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ.
7.4. Исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации: формирование кассового чека, бухгалтерский и налоговый учёт, ответы на запросы уполномоченных органов. Обрабатываются сведения о заказе и платеже. Правовое основание — пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ, Федеральный закон от 22.05.2003 № 54-ФЗ, Федеральный закон от 06.12.2011 № 402-ФЗ, Налоговый кодекс Российской Федерации.
7.5. Рассмотрение обращений, претензий и требований потребителей. Обрабатываются контактные данные, сведения о заказе и содержание обращения. Правовые основания — пункты 2 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ, Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей».
7.6. Направление сообщений рекламного и информационного характера. Обрабатываются имя и адрес электронной почты. Правовые основания — пункт 1 части 1 статьи 6 Федерального закона № 152-ФЗ и часть 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе». Согласие на такую обработку является отдельным, выражается самостоятельным действием субъекта и может быть отозвано без каких-либо последствий для исполнения договора.
7.7. Обеспечение работоспособности и безопасности Сайта, выявление и пресечение автоматизированных атак, подбора кодов доступа и иных злоупотреблений, расследование инцидентов. Обрабатываются IP-адрес и служебные сведения о запросах. Правовое основание — пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ (законные интересы Оператора).
8. Порядок и условия обработки
8.1. Обработка персональных данных осуществляется смешанным способом — с использованием средств автоматизации и без использования таких средств.
8.2. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных (статья 16 Федерального закона № 152-ФЗ). Профилирование не осуществляется.
8.3. Сбор персональных данных осуществляется непосредственно у субъекта персональных данных путём их внесения в формы Сайта. Персональные данные из иных источников Оператором не получаются.
8.4. Базы данных, содержащие персональные данные граждан Российской Федерации, расположены на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ).
8.5. Согласия субъектов персональных данных выражаются в электронной форме — самостоятельным проставлением отметки в соответствующем поле. Отметки не проставлены заранее. Факт получения согласия фиксируется Оператором с указанием даты, времени, IP-адреса и редакции документов. Тексты согласий размещены на Сайте в разделе «Согласие на обработку персональных данных».
8.6. Обработка, осуществляемая на основаниях, предусмотренных пунктами 2, 5 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ, согласия субъекта персональных данных не требует. К такой обработке относится, в частности, обработка изображения, загружаемого Пользователем (пункты 7.1 и 7.2). Информирование субъекта персональных данных об условиях такой обработки обеспечивается размещением настоящей Политики и указанием на неё на странице, с которой осуществляется загрузка изображения.
9. Передача персональных данных третьим лицам
9.1. Оператор не осуществляет продажу персональных данных и не передаёт их третьим лицам для целей, не связанных с исполнением договора с субъектом персональных данных.
9.2. Обработка персональных данных может быть поручена третьим лицам с согласия субъекта персональных данных на основании заключаемого с такими лицами договора (часть 3 статьи 6 Федерального закона № 152-ФЗ), предусматривающего обязанность соблюдения конфиденциальности и требований к защите обрабатываемых персональных данных.
9.3. Персональные данные передаются следующим лицам в объёме, необходимом для исполнения договора:
9.3.1. платёжному сервису ЮKassa — в целях приёма оплаты и формирования кассового чека; передаются сведения о сумме и составе заказа, адрес электронной почты для направления чека;
9.3.2. агрегатору служб доставки ApiShip — в целях расчёта стоимости доставки и оформления отправления; передаются фамилия, имя, отчество получателя, номер телефона, населённый пункт, адрес доставки либо пункт выдачи;
9.3.3. службе доставки, выбранной покупателем (СДЭК, Ozon Доставка, Яндекс Доставка), — в целях доставки отправления и связи с получателем; передаются сведения, указанные в пункте 9.3.2;
9.3.4. Ozon — в целях проверки возможности выдачи заказа при выборе Ozon Доставки; передаётся номер телефона получателя;
9.3.5. сервису подсказок адресов DaData — в целях автоматического дополнения вводимого адреса; передаётся вводимый фрагмент адреса;
9.3.6. ООО «ЯНДЕКС» — при использовании отображения пунктов выдачи на карте; передаются IP-адрес и технические сведения о браузере;
9.3.7. провайдеру серверной инфраструктуры, размещающему приложение и базу данных на территории Российской Федерации;
9.3.8. оператору связи, обеспечивающему отправку сообщений электронной почты; передаются адрес электронной почты, имя и номер заказа.
9.4. Персональные данные предоставляются уполномоченным государственным органам в случаях, объёме и порядке, установленных законодательством Российской Федерации.
10. Трансграничная передача персональных данных
10.1. Оператор не осуществляет трансграничную передачу персональных данных (статья 12 Федерального закона № 152-ФЗ).
10.2. Все привлекаемые Оператором лица, которым поручена обработка персональных данных, и серверы, на которых осуществляется хранение, находятся на территории Российской Федерации. Загрузка ресурсов с сайтов иностранных организаций при открытии страниц Сайта не производится.
11. Сроки обработки и хранения персональных данных
11.1. Изображение, загруженное для предварительного просмотра, не сохраняется (пункт 5.3 настоящей Политики).
11.2. Работы (уменьшенная копия изображения, схема изготовления изделия, сведения о ходе выполнения) хранятся до их удаления Пользователем, но не более трёх лет с даты создания Работы. По истечении указанного срока Работы удаляются автоматически.
11.3. Результат криптографического преобразования кода доступа и учётная запись хранятся до удаления Пользователем всех данных учётной записи.
11.4. Сведения о сессиях хранятся четырнадцать дней; истёкшие и отозванные сессии удаляются ежедневно.
11.5. Персональные данные, содержащиеся в заказе, и сведения о выражении согласий хранятся пять лет с даты исполнения договора — в течение срока хранения первичных учётных документов (часть 1 статьи 29 Федерального закона от 06.12.2011 № 402-ФЗ, подпункт 8 пункта 1 статьи 23 Налогового кодекса Российской Федерации).
11.6. Адрес электронной почты, включённый в список рассылки, хранится до отзыва согласия. После отзыва обработка прекращается, а данные удаляются в срок, не превышающий тридцати дней.
11.7. Служебные журналы обращений к Сайту хранятся не более девяноста дней.
11.8. По достижении целей обработки, а также в случае отзыва согласия при отсутствии иного правового основания персональные данные подлежат уничтожению или обезличиванию.
12. Права субъекта персональных данных и порядок их реализации
12.1. Субъект персональных данных вправе:
12.1.1. получить подтверждение факта обработки персональных данных, правовые основания и цели обработки, сведения о составе обрабатываемых данных, сроках обработки, а также о лицах, которым персональные данные передаются;
12.1.2. требовать уточнения персональных данных в случае, если они являются неполными, неточными или устаревшими;
12.1.3. требовать блокирования или уничтожения персональных данных, если они обрабатываются незаконно либо не являются необходимыми для заявленной цели обработки;
12.1.4. отозвать согласие на обработку персональных данных;
12.1.5. отказаться от получения сообщений рекламного характера;
12.1.6. обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных или в судебном порядке.
12.2. Удаление отдельной Работы, а также полное удаление всех данных учётной записи (Работ, уменьшенных копий изображений, схем, сведений о ходе выполнения и сессий) осуществляется Пользователем самостоятельно в личном кабинете. Код доступа при этом отвязывается от учётной записи.
12.3. В иных случаях запрос направляется по адресу электронной почты, указанному в пункте 3.5 настоящей Политики. В запросе указываются фамилия, имя, отчество, контактные данные, использованные при обращении к Сайту (номер телефона либо адрес электронной почты, номер заказа), и существо требования. Оператор вправе запросить сведения, позволяющие удостовериться в том, что запрос исходит от субъекта персональных данных или его представителя.
12.4. Сведения об обработке персональных данных предоставляются в течение десяти рабочих дней с даты получения запроса. Указанный срок может быть продлён не более чем на пять рабочих дней с направлением уведомления о причинах продления (части 1 и 2 статьи 20 Федерального закона № 152-ФЗ).
12.5. Уточнение, блокирование или уничтожение персональных данных осуществляется в течение семи рабочих дней со дня представления сведений, подтверждающих соответствующие обстоятельства (часть 3 статьи 20 Федерального закона № 152-ФЗ).
12.6. В случае отзыва согласия обработка персональных данных прекращается, а персональные данные уничтожаются в срок, не превышающий тридцати дней с даты поступления отзыва (часть 5 статьи 21 Федерального закона № 152-ФЗ).
12.7. Отзыв согласия не влечёт уничтожения персональных данных, обязанность хранения которых возложена на Оператора законодательством Российской Федерации, и не влияет на законность обработки, осуществлённой до отзыва.
13. Обработка персональных данных несовершеннолетних
13.1. Сайт не предназначен для самостоятельного использования лицами, не достигшими восемнадцати лет. Оформление заказа осуществляется дееспособным лицом, достигшим восемнадцати лет, либо законным представителем несовершеннолетнего.
13.2. В случае если на загружаемом изображении изображён несовершеннолетний, изображение загружается его родителем либо иным законным представителем.
13.3. При получении Оператором сведений о том, что персональные данные несовершеннолетнего получены без согласия его законного представителя, такие персональные данные подлежат уничтожению.
14. Меры по обеспечению безопасности персональных данных
14.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ, в том числе:
14.1.1. назначено лицо, ответственное за организацию обработки персональных данных;
14.1.2. приняты локальные акты по вопросам обработки и защиты персональных данных, определён перечень лиц, доступ которых к персональным данным необходим для выполнения их обязанностей;
14.1.3. передача данных между браузером Пользователя и сервером осуществляется по защищённому протоколу HTTPS (TLS) с механизмом строгой транспортной безопасности;
14.1.4. коды доступа хранятся исключительно в виде результатов криптографического преобразования с секретным ключом (HMAC-SHA256); ключ хранится отдельно от базы данных;
14.1.5. идентификаторы сессий хранятся в виде результатов криптографического преобразования; сессионный файл cookie помечен признаками HttpOnly, Secure и SameSite=Strict;
14.1.6. применяются политика безопасности содержимого, защита от межсайтовой подделки запросов, ограничение частоты запросов и суточные квоты;
14.1.7. загружаемые файлы проходят техническую проверку формата, разрешения и объёма; проверка содержания изображений (модерация) Оператором не осуществляется, ответственность за содержание загружаемого изображения несёт Пользователь;
14.1.8. доступ к серверу осуществляется исключительно с использованием криптографического ключа; база данных и служебные сервисы не публикуются в сети Интернет;
14.1.9. осуществляется резервное копирование в зашифрованном виде;
14.1.10. ведётся регистрация событий безопасности; коды доступа, токены и содержимое изображений в журналы не записываются;
14.1.11. осуществляется внутренний контроль соответствия обработки персональных данных требованиям законодательства.
14.2. В случае установления факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных о произошедшем инциденте в течение двадцати четырёх часов, а о результатах внутреннего расследования — в течение семидесяти двух часов (часть 3.1 статьи 21 Федерального закона № 152-ФЗ).
15. Файлы cookie
15.1. Перечень используемых файлов cookie и иных технологий локального хранения, цели их использования и порядок управления ими определены Политикой в отношении файлов cookie.
16. Заключительные положения
16.1. Оператор вправе вносить изменения в настоящую Политику. Изменения вступают в силу с даты размещения новой редакции на Сайте, если иное не установлено новой редакцией. Изменения, затрагивающие права субъектов персональных данных, размещаются не позднее чем за три дня до вступления в силу.
16.2. Продолжение использования Сайта после вступления изменений в силу означает согласие с новой редакцией Политики.
16.3. Обращения по вопросам обработки персональных данных направляются по адресу электронной почты support@photo-nochnik.ru либо по адресу Россия, г. Махачкала, ул. Азиза Алиева, дом 9, кв. 71.
16.4. Уполномоченным органом по защите прав субъектов персональных данных является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), rkn.gov.ru.
16.5. К отношениям, не урегулированным настоящей Политикой, применяется законодательство Российской Федерации.