Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных Обществом с ограниченной ответственностью «ЖАТВА» (ИНН 6900017801, ОГРН 1256900001016, адрес: 170016, Тверская область, г. Тверь, ш. Бурашевское, д. 47; далее — Оператор) и меры по обеспечению их безопасности.

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована в свободном доступе по адресу https://zhatvarussia.ru/policy во исполнение ч. 2 ст. 18.1 Закона.

1.3. Политика действует в отношении всех персональных данных, которые Оператор получает от Пользователей сайта https://zhatvarussia.ru (далее — Сайт), в том числе при оформлении Заказов, использовании Личного кабинета, участии в программе лояльности, покупке подарочных сертификатов, направлении заявок, а также при обмене сообщениями по электронной почте, СМС и в мессенджерах.

1.4. Оператор включён в реестр операторов, осуществляющих обработку персональных данных, под регистрационным номером 69-25-021279.

1.5. Используя Сайт и предоставляя Оператору свои персональные данные, Пользователь подтверждает, что ознакомлен с Политикой.

2. Термины

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

Пользователь — физическое лицо, использующее Сайт: посетитель, Покупатель, владелец Личного кабинета, лицо, направившее заявку, а также получатель Заказа или подарочного сертификата, данные которого указал Покупатель.

Обработка персональных данных — любое действие с персональными данными, совершаемое с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Обработчик — лицо, осуществляющее обработку персональных данных по поручению Оператора на основании договора (ч. 3 ст. 6 Закона).

Личный кабинет — раздел Сайта, доступ к которому Пользователь получает по номеру телефона и одноразовому коду из СМС.

Заказ, Покупатель, Продавец — в значениях, определённых Публичной офертой (https://zhatvarussia.ru/oferta).

3. Состав обрабатываемых персональных данных

3.1. Оператор обрабатывает только те персональные данные, которые необходимы для целей, перечисленных в разделе 4. Специальные категории персональных данных (о здоровье, расовой и национальной принадлежности, политических и религиозных взглядах) и биометрические персональные данные Оператор не собирает и не обрабатывает. Сведения, сообщённые Пользователем о состоянии своего здоровья в тексте обращения, используются исключительно для ответа на это обращение и не сохраняются в учётной записи Пользователя.

3.2. Данные, предоставляемые Пользователем:

при оформлении Заказа — фамилия, имя, номер телефона, адрес электронной почты, адрес доставки или выбранный пункт выдачи, состав и стоимость Заказа, выбранные способы оплаты и доставки, применённые промокод, баллы и сертификат;

при использовании Личного кабинета — номер телефона, имя, адрес электронной почты, адрес доставки, история Заказов, баланс баллов и уровень в программе лояльности, сохранённые корзина и избранное;

при оплате Заказа — сведения о выбранной платёжной системе и последние четыре цифры номера банковской карты, если Пользователь выбрал сохранение карты. Полные реквизиты банковской карты Оператору не передаются: их обработку осуществляет платёжный сервис Робокасса на своей стороне;

при покупке подарочного сертификата — номер телефона и адрес электронной почты Покупателя, имя и номер телефона получателя, имя отправителя, текст поздравления, номинал и дизайн сертификата;

при направлении заявки на консультацию или обратный звонок — имя, номер телефона, адрес электронной почты, выбранный способ связи, текст обращения, ответы на вопросы подбора комплекса.

3.3. Данные, получаемые автоматически при использовании Сайта: IP-адрес, сведения об устройстве, операционной системе и браузере, дата и время обращения, адреса запрашиваемых страниц, данные технических файлов cookie (раздел 9).

3.4. Пользователь несёт ответственность за достоверность и актуальность предоставленных данных. Оператор не обязан проверять достоверность данных, предоставленных Пользователем, и исходит из того, что они достоверны.

3.5. Указывая данные другого лица (получателя Заказа или подарочного сертификата), Пользователь гарантирует, что получил от этого лица согласие на передачу его данных Оператору и их обработку в целях исполнения договора, и несёт ответственность перед таким лицом за последствия сообщения данных без его согласия.

4. Цели, правовые основания и сроки обработки

4.1. Заключение и исполнение договора розничной купли-продажи: оформление, оплата, комплектация, доставка и выдача Заказа, направление служебных сообщений о его ходе, рассмотрение претензий и возвратов. Данные: п. 3.2 (Заказ, оплата). Правовое основание: п. 5 ч. 1 ст. 6 Закона — обработка необходима для исполнения договора, стороной которого является Пользователь; согласие не требуется. Срок: 5 лет с момента исполнения договора — срок хранения договоров с покупателями и первичных учётных документов, установленный приказом Росархива от 20.12.2019 № 236 и ст. 23 Налогового кодекса РФ.

4.2. Ведение Личного кабинета и участие в программе лояльности «Урожай»: учёт Заказов, начисление и списание баллов, определение уровня, хранение корзины и адреса. Данные: п. 3.2 (Личный кабинет). Основание: п. 5 ч. 1 ст. 6 Закона — договор (Правила программы лояльности, https://zhatvarussia.ru/loyalty). Срок: в течение всего времени существования Личного кабинета и 5 лет после его удаления по запросу Пользователя — в части сведений о Заказах, срок хранения которых установлен законом.

4.3. Выпуск и доставка подарочного сертификата, его применение при оплате Заказа. Данные: п. 3.2 (сертификат). Основание: п. 5 ч. 1 ст. 6 Закона — договор с Покупателем; в отношении получателя — договор, выгодоприобретателем по которому является получатель. Срок: до полного использования сертификата и далее 5 лет вместе с документами о продаже.

4.4. Направление служебных сообщений: код для входа в Личный кабинет, уведомления об оплате, отправке, прибытии, отмене Заказа и возврате денежных средств, кассовый чек. Основание: п. 5 ч. 1 ст. 6 Закона — договор; Федеральный закон от 22.05.2003 № 54-ФЗ. Такие сообщения не являются рекламой, отказ от них невозможен без отказа от договора. Срок: вместе с данными Заказа.

4.5. Рассмотрение заявок и обращений: ответ на вопрос о продукции, Заказе или сотрудничестве по выбранному Пользователем каналу. Данные: п. 3.2 (заявка). Основание: согласие Пользователя (п. 1 ч. 1 ст. 6 Закона), выраженное отметкой в форме на Сайте. Срок: в течение срока действия согласия — до его отзыва Пользователем, но не более 5 лет с даты обращения.

4.6. Продвижение товаров Оператора: направление рекламных и информационных сообщений о новинках, акциях, скидках и персональных предложениях по электронной почте, СМС и в мессенджерах. Данные: имя, номер телефона, адрес электронной почты, история Заказов, уровень в программе лояльности. Основание: отдельное предварительное согласие Пользователя (ч. 1 ст. 15 Закона, ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»), выраженное отметкой в форме Заказа или в Личном кабинете; отметка не устанавливается по умолчанию. Срок: до отзыва согласия. Оператор хранит дату и способ получения согласия в качестве подтверждения.

4.7. Обеспечение работы и безопасности Сайта: защита от мошенничества, автоматических Заказов, подбора кодов входа, разбор технических сбоев. Данные: п. 3.3. Основание: п. 7 ч. 1 ст. 6 Закона — законные интересы Оператора. Срок: не более 6 месяцев.

4.8. Исполнение обязанностей, возложенных на Оператора законодательством: ведение бухгалтерского и налогового учёта, применение контрольно-кассовой техники, ответы на запросы уполномоченных государственных органов. Основание: п. 2 ч. 1 ст. 6 Закона. Срок: установленный соответствующим законом.

4.9. Оператор не принимает решений, порождающих юридические последствия для Пользователя, на основании исключительно автоматизированной обработки его персональных данных.

5. Передача персональных данных третьим лицам

5.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам для целей, не указанных в разделе 4. Персональные данные передаются только лицам, указанным в настоящем разделе, и только в объёме, необходимом для соответствующей цели.

5.2. Самостоятельные операторы — лица, обрабатывающие персональные данные для собственных целей на основании закона или договора с Пользователем:

службы доставки — СДЭК, Яндекс Доставка и иные перевозчики, выбранные Покупателем при оформлении Заказа: фамилия, имя, номер телефона, адрес доставки или пункт выдачи, вес и габариты отправления;

платёжный сервис Робокасса: сумма и номер Заказа, состав кассового чека, адрес электронной почты для направления чека; реквизиты банковской карты вводятся Пользователем на стороне платёжного сервиса;

уполномоченные государственные органы — по их запросу в случаях, установленных законодательством.

5.3. Обработчики — лица, действующие по поручению Оператора на основании договора, обязывающего их соблюдать конфиденциальность и требования ст. 19 Закона:

СМС-шлюз SigmaSMS — доставка кодов входа, ссылок на сертификаты и служебных СМС: номер телефона, текст сообщения;

почтовый сервис — доставка электронных писем о Заказах, сертификатах и заявках: адрес электронной почты, имя, содержимое письма;

сервис подсказок адресов DaData — вводимый Пользователем адрес доставки для формирования подсказок;

мессенджер Telegram — уведомление сотрудника Оператора о новой заявке: имя, номер телефона, способ связи, текст обращения;

хостинг-провайдер Beget — размещение Сайта и базы данных.

5.4. Перечень получателей персональных данных актуализируется при изменении состава сервисов, используемых Оператором, с указанием даты новой редакции Политики.

6. Меры по обеспечению безопасности персональных данных

6.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий, в том числе:

назначение ответственного за организацию обработки персональных данных;

издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;

разграничение доступа: доступ к персональным данным предоставляется только работникам, которым он необходим для исполнения обязанностей, по индивидуальным учётным записям;

передача данных между Пользователем и Сайтом только по защищённому протоколу HTTPS;

вход в Личный кабинет по одноразовому коду, срок действия которого ограничен, с ограничением числа попыток ввода; сам код хранится только в виде хэша;

исключение обработки Оператором реквизитов банковских карт: их обработку осуществляет платёжный сервис, сертифицированный по стандарту PCI DSS;

учёт и хранение персональных данных в условиях, обеспечивающих их сохранность.

6.2. В случае неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет уполномоченный орган в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).

7. Права субъекта персональных данных и порядок рассмотрения запросов

7.1. Пользователь вправе:

получать сведения об обработке его персональных данных, предусмотренные ч. 7 ст. 14 Закона;

требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

отозвать согласие на обработку персональных данных в случаях, когда обработка осуществляется на основании согласия (п. 4.5, 4.6);

требовать прекращения обработки персональных данных;

обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

7.2. Запросы направляются на адрес электронной почты zhatva.russia@mail.ru либо почтой на адрес Оператора. Запрос должен содержать сведения, позволяющие идентифицировать Пользователя: номер телефона или адрес электронной почты, указанные в Личном кабинете, Заказе или заявке. Запрос, направленный с иного адреса или без таких сведений, Оператор вправе оставить без исполнения до подтверждения личности заявителя.

7.3. Сроки рассмотрения запросов:

предоставление сведений об обработке — 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления;

уточнение, блокирование или уничтожение неполных, неточных, незаконно полученных данных — 7 рабочих дней с даты предоставления подтверждающих сведений;

отзыв согласия — прекращение обработки и уничтожение данных в срок до 30 дней с даты поступления отзыва, если данные не подлежат дальнейшей обработке на ином основании;

отзыв согласия на рекламные рассылки — незамедлительно; отказ также возможен по ссылке в письме, в Личном кабинете или ответом «Стоп» на СМС.

7.4. Отзыв согласия и требование о прекращении обработки не распространяются на данные, обработка которых осуществляется на основании договора или закона (п. 4.1–4.4, 4.8): такие данные продолжают обрабатываться в течение установленных сроков, после чего уничтожаются или обезличиваются.

8. Хранение и уничтожение персональных данных

8.1. Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, в течение сроков, указанных в разделе 4.

8.2. По достижении целей обработки, истечении срока хранения, отзыве согласия (в части данных, обрабатываемых на основании согласия) персональные данные уничтожаются либо обезличиваются. Уничтожение данных, обрабатываемых в информационных системах, производится путём их удаления; факт уничтожения фиксируется актом или выгрузкой из журнала системы (приказ Роскомнадзора от 28.10.2022 № 179).

8.3. База данных Сайта размещена у хостинг-провайдера; доступ к ней имеют только уполномоченные работники Оператора.

9. Файлы cookie

9.1. Сайт использует технические файлы cookie и локальное хранилище браузера, необходимые для его работы: хранение содержимого корзины и избранного, поддержание сессии Личного кабинета, запоминание факта ознакомления с уведомлением о cookie. Без них Сайт не может выполнять свои функции, поэтому их использование не требует отдельного согласия.

9.2. Счётчики веб-аналитики и рекламные пиксели на Сайте не установлены. При подключении сервиса веб-аналитики (Яндекс Метрика) Оператор запросит согласие Пользователя в уведомлении о cookie до начала сбора данных и дополнит настоящий раздел.

9.3. Пользователь может отключить cookie в настройках браузера; в этом случае корзина и вход в Личный кабинет будут недоступны.

10. Заключительные положения

10.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на Сайте с указанием даты редакции. Продолжая пользоваться Сайтом после размещения новой редакции, Пользователь подтверждает ознакомление с ней.

10.2. Вопросы, связанные с обработкой персональных данных, направляются ответственному за организацию обработки персональных данных по адресу zhatva.russia@mail.ru или по телефону +7 929 099 40 44 (пн–пт, 9:00–18:00 МСК).

10.3. Реквизиты Оператора: ООО «ЖАТВА», ИНН 6900017801, ОГРН 1256900001016, 170016, Тверская область, г. Тверь, ш. Бурашевское, д. 47.