1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «ФЗ-152»), Федерального закона от 21.07.2014 № 242-ФЗ (требование о локализации баз персональных данных граждан РФ на территории Российской Федерации), Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также подзаконных актов уполномоченных органов (Роскомнадзор, ФСБ России, ФСТЭК России).
1.2. Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, принимаемые Оператором, с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Политика действует в отношении персональных данных, которые Оператор получает о посетителях сайтов econcar.ru и эконкар.рф (далее — «Сайты»), о покупателях, лицах, направивших обращение, и иных субъектах персональных данных.
1.4. Просмотр Сайтов сам по себе не является согласием на обработку персональных данных. Согласие даётся отдельным действием: отметкой в форме обращения или заказа либо выбором «Принять все» или включением аналитики в баннере cookie. Отказ от аналитики не закрывает доступ к Сайтам. Условия, которые закон не позволяет изменить согласием, применяются в силу закона.
2. Термины и определения
- Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
- Оператор — общество с ограниченной ответственностью «Автобан», ОГРН 1257700071243, ИНН 9714070514, самостоятельно организующее и осуществляющее обработку ПДн.
- Обработка ПДн — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без таковых, с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение ПДн.
- Автоматизированная обработка — обработка ПДн с помощью средств вычислительной техники.
- Распространение ПДн — действия, направленные на раскрытие ПДн неопределённому кругу лиц.
- Предоставление ПДн — действия, направленные на раскрытие ПДн определённому лицу или определённому кругу лиц.
- Блокирование ПДн — временное прекращение обработки ПДн (кроме случаев, когда обработка необходима для уточнения ПДн).
- Уничтожение ПДн — действия, в результате которых становится невозможным восстановить содержание ПДн и (или) в результате которых уничтожаются материальные носители ПДн.
- Обезличивание ПДн — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту.
- Информационная система ПДн (ИСПДн) — совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
- Трансграничная передача ПДн — передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.
- Субъект ПДн — физическое лицо, к которому относятся соответствующие ПДн.
3. Сведения об Операторе
Оператор осуществляет обработку ПДн с использованием и без использования средств автоматизации. Базы данных информации, содержащие ПДн граждан Российской Федерации, находятся на территории Российской Федерации (ч. 5 ст. 18 ФЗ-152).
4. Состав обрабатываемых персональных данных
4.1. Оператор обрабатывает следующие категории ПДн:
- фамилия, имя, отчество;
- номер контактного телефона;
- адрес электронной почты;
- адрес доставки (почтовый адрес);
- сведения, содержащиеся в обращении субъекта ПДн;
- технические сведения, без которых Сайты не открываются стабильно: IP-адрес и данные браузера в журнале сервера, выбор в баннере cookie (хранится в браузере), содержимое корзины в браузере, файл cookie ecr_ab_home_hero — только буква варианта главной страницы, на 30 дней, без передачи третьим лицам и без рекламы;
- после отдельного согласия на аналитику — идентификатор Яндекс Метрики, сведения о просмотренных страницах и действиях на Сайтах. До этого согласия счётчик не загружается;
- сведения, необходимые для выставления платёжных документов юридическим лицам и ИП (наименование, ИНН, КПП, ОГРН/ОГРНИП, банковские реквизиты) — при оплате по безналичному расчёту.
4.2. Оператор не обрабатывает специальные категории ПДн (расовая, национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные.
5. Цели обработки персональных данных
- заключение, исполнение и прекращение договоров розничной купли-продажи;
- оформление, доставка и выдача заказов;
- информирование пользователей о статусе заказов, акциях и новых продуктах (при наличии отдельного согласия на рекламные рассылки);
- обеспечение работы Сайта, поддержка пользователей, ответы на обращения;
- выставление и оплата счетов, ведение бухгалтерского и налогового учёта;
- исполнение обязанностей, возложенных на Оператора законодательством РФ;
- аналитика работы Сайта и улучшение пользовательского опыта (на основании согласия, данного через баннер cookie).
6. Правовые основания обработки
Правовыми основаниями обработки ПДн являются (ст. 6 ФЗ-152):
- согласие субъекта ПДн (п. 1 ч. 1 ст. 6 и ст. 9 ФЗ-152), которое даётся отдельно от иных документов: отметкой в форме с указанием цели и состава данных либо отдельным разрешением аналитических cookie. Согласие на ответ по обращению, на исполнение заказа и на аналитику не смешиваются;
- необходимость исполнения договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 ФЗ-152);
- исполнение обязанностей, установленных законодательством РФ, в том числе налоговым и бухгалтерским (п. 2 ч. 1 ст. 6 ФЗ-152);
- осуществление прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6 ФЗ-152).
Нормативные правовые акты, на основании которых осуществляется обработка: Конституция РФ, Гражданский кодекс РФ, Налоговый кодекс РФ, Закон РФ «О защите прав потребителей», ФЗ-152, ФЗ-149 и Федеральный закон от 21.07.2014 № 242-ФЗ о локализации баз персональных данных.
7. Порядок и условия обработки
7.1. Обработка ПДн осуществляется с соблюдением принципов и условий, предусмотренных ст. 5 ФЗ-152: на законной и справедливой основе, в определённых, заранее известных и законных целях, в объёме, необходимом и достаточном для достижения заявленных целей.
7.2. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку ПДн.
7.3. ПДн хранятся в информационных системах и на материальных носителях, размещённых на территории Российской Федерации. Доступ к ПДн имеют только уполномоченные работники Оператора и обработчики, связанные обязательством о конфиденциальности.
7.4. Оператор уведомляет Роскомнадзор о намерении осуществлять обработку ПДн в порядке, установленном ст. 22 ФЗ-152, если такое уведомление является обязательным.
8. Сроки обработки и хранения
8.1. ПДн обрабатываются не дольше, чем этого требуют цели их обработки, если иной срок не установлен федеральным законом или договором.
- ПДн, связанные с оформлением и исполнением договора — в течение срока действия договора и 5 (пяти) лет после его исполнения (в целях соблюдения норм налогового и бухгалтерского учёта, ст. 23 НК РФ, ст. 29 ФЗ «О бухгалтерском учёте»);
- ПДн, обрабатываемые на основании согласия, — до момента отзыва согласия или до достижения целей обработки;
- cookie и аналитические идентификаторы — в соответствии с настройками пользователя и сроками, указанными в разделе 11.
8.2. По достижении целей обработки или в случае отзыва согласия ПДн подлежат уничтожению (либо обезличиванию) в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством. Факт уничтожения оформляется актом.
9. Передача персональных данных третьим лицам
9.1. Оператор не продаёт персональные данные и не передаёт их для чужой рекламы. Передача допускается для исполнения договора, по отдельному согласию либо в силу закона.
9.2. Получатели, которым данные могут быть переданы:
- служба доставки СДЭК — фамилия, имя, телефон и адрес доставки, чтобы вручить заказ. Основание — исполнение договора;
- ООО «ЯНДЕКС» (ИНН 7736207543) — только если субъект разрешил аналитические cookie. Передаются сведения, которые собирает счётчик Яндекс Метрики. До согласия счётчик на страницу не ставится;
- государственные органы Российской Федерации — когда закон прямо обязывает передать данные.
9.3. Если человек сам пишет Оператору в мессенджере, сообщение принимает сервис, который человек выбрал. Оператор обрабатывает текст, который до него дошёл. Правила этого сервиса на Оператора не перекладываются.
9.4. Лица, которые обрабатывают данные по поручению Оператора, обязуются соблюдать конфиденциальность в объёме части 3 статьи 6 ФЗ-152.
10. Трансграничная передача
10.1. Базы персональных данных граждан Российской Федерации Оператор размещает и обрабатывает на территории Российской Федерации. Самостоятельной передачи этих баз за границу Оператор не ведёт. Яндекс Метрика и СДЭК привлекаются как российские организации. Если трансграничная передача со стороны Оператора всё же потребуется, она начнётся только после уведомления Роскомнадзора по статье 12 ФЗ-152 и при наличии основания, которое требует закон.
11. Файлы cookie и аналитика
11.1. Сайт использует файлы cookie — небольшие текстовые файлы, сохраняемые браузером на устройстве пользователя. Cookie разделяются на:
- Технические — нужны, чтобы Сайты открывались, корзина сохранялась в браузере, запоминался выбор в баннере и не менялся вариант главной страницы. Эти сведения не отдаются рекламным сетям. Отключение технических cookie в браузере может сломать корзину и запоминание выбора.
- Аналитические — Яндекс Метрика ООО «ЯНДЕКС». По умолчанию выключены. Счётчик загружается только после отдельного согласия («Принять все» или включённый переключатель аналитики). Счётчик может фиксировать IP-адрес, идентификатор в cookie, просмотренные страницы и действия на них. Это не обезличенный набор: пока согласие не дано, такие данные Метрике не передаются.
11.2. Пользователь может в любой момент изменить настройки cookie: отключить аналитические cookie через соответствующий баннер на Сайте либо самостоятельно удалить cookie в настройках браузера. Отключение технических cookie может привести к неработоспособности отдельных функций Сайта.
11.3. Политика Яндекс Метрики доступна по адресу: yandex.ru/legal/metrica_termsofuse.
12. Права субъекта персональных данных
Субъект ПДн имеет право (ст. 14 ФЗ-152):
- получать сведения, касающиеся обработки его ПДн, в объёме, предусмотренном ст. 14 ФЗ-152;
- требовать уточнения, блокирования или уничтожения ПДн в случае, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленных целей;
- отозвать согласие на обработку ПДн (ч. 2 ст. 9 ФЗ-152). Отзыв согласия оформляется в простой письменной форме и направляется Оператору одним из способов, указанных в разделе 16;
- возражать против обработки ПДн в целях продвижения товаров, работ и услуг;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде;
- на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда (ст. 17 ФЗ-152).
13. Меры по обеспечению безопасности
13.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий (ст. 18.1, 19 ФЗ-152).
К числу принимаемых мер относятся:
- назначение лица, ответственного за организацию обработки ПДн;
- издание локальных актов, регламентирующих обработку ПДн;
- доступ к заказам и обращениям только у работников, которым он нужен для ответа, доставки и учёта;
- передача сайта по защищённому соединению и размещение баз с данными граждан Российской Федерации на территории Российской Федерации;
- ограничение доступа к ПДн и недопущение их использования для посторонней рекламы;
- контроль за принимаемыми мерами, внутренний аудит;
- ознакомление работников с требованиями законодательства и обучение;
- резервное копирование и восстановление данных;
- определение угроз безопасности ПДн и уровня защищённости ИСПДн.
14. Порядок обращения субъекта ПДн
14.1. Отзыв согласия направляется на info@econcar.ru или по адресу Оператора. В отзыве достаточно имени и телефона либо адреса электронной почты, по которым Оператор может найти обращение или заказ. Паспорт для отзыва согласия не требуется. Отзыв не прекращает обработку, которую закон обязывает продолжить, в том числе хранение учётных документов.
14.2. Запрос о том, какие данные обрабатываются, и требование их уточнить, заблокировать или уничтожить направляются тем же способом. Если по запросу нельзя понять, чьи данные просят, Оператор может попросить сведения, без которых запрос нельзя исполнить, в объёме статьи 14 ФЗ-152.
14.3. Оператор рассматривает обращение и даёт мотивированный ответ в течение 10 (десяти) рабочих дней с момента получения обращения. Срок может быть продлён, но не более чем на 5 рабочих дней, с уведомлением субъекта о продлении и причинах (ч. 1 ст. 20 ФЗ-152).
15. Изменения Политики
15.1. Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией.
15.2. Действующая редакция Политики постоянно доступна по адресу: https://econcar.ru/privacy и https://эконкар.рф/privacy.
16. Контакты Оператора
По вопросам, связанным с обработкой ПДн, можно обратиться в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор: rkn.gov.ru.