个人数据处理政策

1. 总则

1.1. 本《个人数据处理政策》（以下简称“本政策”）规定了 ZHATVA 有限责任公司（纳税人识别号（INN）6900017801，国家注册号（OGRN）1256900001016，地址：邮编 170016，特维尔州特维尔市 Burashevskoye 公路 47 号；以下简称“运营者”）处理个人数据的程序和条件以及保障其安全的措施。

1.2. 本政策依据2006年7月27日第152-FZ号联邦法律《个人数据法》（以下简称“该法”）制定，并为履行该法第18.1条第2款的规定，在 https://zhatvarussia.ru/policy 公开发布。

1.3. 本政策适用于运营者从网站 https://zhatvarussia.ru（以下简称“本网站”）用户处获得的全部个人数据，包括在提交订单、使用个人中心、参加忠诚度计划、购买礼品卡、提交申请时，以及通过电子邮件、短信和即时通讯软件交流信息时获得的数据。

1.4. 运营者已列入个人数据处理运营者登记册，登记号为 69-25-021279。

1.5. 用户使用本网站并向运营者提供其个人数据，即确认已阅读本政策。

2. 术语

个人数据：直接或间接涉及已识别或可识别自然人（个人数据主体）的任何信息。

用户：使用本网站的自然人，包括：访客、买方、个人中心持有人、提交申请的人，以及由买方提供其信息的订单或礼品卡收件人。

个人数据处理：使用或不使用自动化手段对个人数据实施的任何行为：收集、记录、系统化、积累、存储、更正、提取、使用、传输（提供、访问）、去标识化、封锁、删除、销毁。

受托处理者：根据合同受运营者委托处理个人数据的人（该法第6条第3款）。

个人中心：本网站的一个版块，用户凭电话号码和短信一次性验证码登录。

订单、买方、卖方：含义以公开要约（https://zhatvarussia.ru/oferta）中的定义为准。

3. 所处理个人数据的范围

3.1. 运营者仅处理第4条所列目的所必需的个人数据。运营者不收集、不处理特殊类别的个人数据（涉及健康、种族和民族归属、政治和宗教观点）以及生物识别个人数据。用户在咨询内容中提及的本人健康状况信息，仅用于答复该咨询，不保存在用户账户中。

3.2. 用户提供的数据：

提交订单时——姓氏、名字、电话号码、电子邮箱地址、收货地址或所选自提点、订单内容和金额、所选支付和配送方式、所使用的优惠码、积分和礼品卡；

使用个人中心时——电话号码、姓名、电子邮箱地址、收货地址、订单记录、积分余额和忠诚度计划等级、已保存的购物车和收藏；

支付订单时——所选支付系统的信息，以及用户选择保存银行卡时的卡号最后四位数字。完整的银行卡信息不会传输给运营者：由 Robokassa 支付服务在其一侧处理；

购买礼品卡时——买方的电话号码和电子邮箱地址、收卡人的姓名和电话号码、赠送人姓名、祝福语、礼品卡面值和设计；

提交咨询或回电申请时——姓名、电话号码、电子邮箱地址、所选联系方式、咨询内容、产品组合选配问题的答案。

3.3. 使用本网站时自动获取的数据：IP 地址、设备、操作系统和浏览器信息、访问日期和时间、所请求页面的地址、技术性 cookie 数据（第9条）。

3.4. 用户对所提供数据的真实性和时效性负责。运营者无义务核实用户所提供数据的真实性，并以其真实为前提。

3.5. 用户提供他人（订单或礼品卡收件人）的信息，即保证已取得该人同意，将其数据传输给运营者并为履行合同之目的进行处理，并就未经其同意提供数据所产生的后果对该人承担责任。

4. 处理的目的、法律依据和期限

4.1. 订立和履行零售买卖合同：订单的提交、支付、配货、配送和交付，发送有关订单进度的服务消息，处理索赔和退货。数据：第3.2条（订单、支付）。法律依据：该法第6条第1款第5项——处理为履行用户作为一方当事人的合同所必需；无需同意。期限：自合同履行之时起 5 年——即2019年12月20日俄罗斯联邦档案署（Rosarkhiv）第236号令和《俄罗斯联邦税法典》第23条规定的与客户所订合同及原始会计凭证的保存期限。

4.2. 维护个人中心及参加“丰收”忠诚度计划：订单记录、积分的累积和使用、等级确定、购物车和地址的保存。数据：第3.2条（个人中心）。依据：该法第6条第1款第5项——合同（《忠诚度计划规则》，https://zhatvarussia.ru/loyalty）。期限：个人中心存续的全部期间，以及应用户请求删除个人中心后 5 年——仅限于法律规定了保存期限的订单信息。

4.3. 礼品卡的发行和交付，以及在支付订单时使用礼品卡。数据：第3.2条（礼品卡）。依据：该法第6条第1款第5项——与买方订立的合同；对于收卡人——以收卡人为受益人的合同。期限：至礼品卡全部使用完毕，此后与销售凭证一同保存 5 年。

4.4. 发送服务消息：个人中心登录验证码，关于付款、发货、到达、订单取消和退款的通知，收银小票。依据：该法第6条第1款第5项——合同；2003年5月22日第54-FZ号联邦法律。此类消息不属于广告，除非解除合同，否则不能退订。期限：与订单数据相同。

4.5. 处理申请和咨询：通过用户选择的渠道答复有关产品、订单或合作的问题。数据：第3.2条（申请）。依据：用户的同意（该法第6条第1款第1项），通过在本网站表单中勾选方框表示。期限：在同意有效期内——直至用户撤回同意，但自咨询之日起不超过 5 年。

4.6. 推广运营者的商品：通过电子邮件、短信和即时通讯软件发送有关新品、促销、折扣和个性化优惠的广告及信息消息。数据：姓名、电话号码、电子邮箱地址、订单记录、忠诚度计划等级。依据：用户另行作出的事先同意（该法第15条第1款，2006年3月13日第38-FZ号联邦法律《广告法》第18条第1款），通过在订单表单或个人中心中勾选方框表示；该方框默认不勾选。期限：至撤回同意时止。运营者保存取得同意的日期和方式作为证明。

4.7. 保障本网站的运行和安全：防范欺诈、自动化订单、登录验证码猜测，分析技术故障。数据：第3.3条。依据：该法第6条第1款第7项——运营者的合法利益。期限：不超过 6 个月。

4.8. 履行法律赋予运营者的义务：会计和税务核算、使用收银设备、答复有权国家机关的问询。依据：该法第6条第1款第2项。期限：按相关法律规定。

4.9. 运营者不会仅基于对用户个人数据的自动化处理，作出对用户产生法律后果的决定。

5. 向第三方传输个人数据

5.1. 运营者不出售个人数据，也不为第4条未规定的目的向第三方传输个人数据。个人数据仅传输给本条所列的人，且仅限于相应目的所必需的范围。

5.2. 独立运营者——依据法律或与用户订立的合同、为自身目的处理个人数据的人：

配送服务——CDEK、Yandex 配送以及买方在提交订单时选择的其他承运人：姓氏、名字、电话号码、收货地址或自提点、包裹重量和尺寸；

Robokassa 支付服务：订单金额和编号、收银小票内容、用于发送小票的电子邮箱地址；银行卡信息由用户在支付服务一侧输入；

有权国家机关——在法律规定的情形下应其要求提供。

5.3. 受托处理者——根据合同受运营者委托行事的人，该合同要求其保守机密并遵守该法第19条的要求：

SigmaSMS 短信网关——发送登录验证码、礼品卡链接和服务短信：电话号码、消息内容；

电子邮件服务——发送有关订单、礼品卡和申请的电子邮件：电子邮箱地址、姓名、邮件内容；

DaData 地址提示服务——用户输入的收货地址，用于生成提示；

Telegram 即时通讯软件——向运营者员工通知新申请：姓名、电话号码、联系方式、咨询内容；

Beget 托管服务商——托管本网站及数据库。

5.4. 运营者所使用的服务发生变化时，个人数据接收方清单将相应更新，并注明本政策新版本的日期。

6. 个人数据安全保障措施

6.1. 运营者采取必要的法律、组织和技术措施，保护个人数据免遭非法或意外的访问、销毁、更改、封锁、复制、提供、传播及其他非法行为，包括：

指定个人数据处理组织工作负责人；

制定有关个人数据处理和保护的内部规章，并组织员工学习；

访问权限划分：仅向履行职责需要的员工通过个人账户提供个人数据访问权限；

用户与本网站之间的数据仅通过安全的 HTTPS 协议传输；

凭有效期有限的一次性验证码登录个人中心，并限制输入尝试次数；验证码本身仅以哈希形式存储；

运营者不处理银行卡信息：银行卡信息由通过 PCI DSS 标准认证的支付服务处理；

在确保个人数据安全的条件下对其进行登记和存储。

6.2. 如发生非法或意外传输个人数据并导致数据主体权利受到侵犯，运营者将在 24 小时内通知授权机关，并在 72 小时内通报内部调查结果（该法第21条第3.1款）。

7. 个人数据主体的权利及请求处理程序

7.1. 用户有权：

获取该法第14条第7款规定的有关其个人数据处理的信息；

在个人数据不完整、过时、不准确、以非法方式获得或对所述处理目的并非必要时，要求更正、封锁或销毁该等数据；

在处理以同意为依据的情况下（第4.5条、第4.6条），撤回对个人数据处理的同意；

要求停止处理个人数据；

就运营者的作为或不作为向个人数据主体权利保护授权机关（Roskomnadzor）申诉或向法院提起诉讼。

7.2. 请求应发送至电子邮箱 zhatva.russia@mail.ru，或邮寄至运营者地址。请求须包含可识别用户身份的信息：个人中心、订单或申请中填写的电话号码或电子邮箱地址。对于从其他地址发送或不含此类信息的请求，运营者有权在申请人身份得到确认前不予执行。

7.3. 请求处理期限：

提供有关处理的信息——自收到请求之日起 10 个工作日；在发送说明理由的通知后，期限可延长不超过 5 个工作日；

更正、封锁或销毁不完整、不准确、以非法方式获得的数据——自提供证明材料之日起 7 个工作日；

撤回同意——自收到撤回通知之日起 30 日内停止处理并销毁数据，但该等数据须依据其他依据继续处理的除外；

撤回接收广告推送的同意——立即生效；也可通过邮件中的链接、在个人中心或回复短信“Стоп”（“停止”）退订。

7.4. 撤回同意和要求停止处理不适用于依据合同或法律处理的数据（第4.1–4.4条、第4.8条）：此类数据在规定期限内继续处理，期满后予以销毁或去标识化。

8. 个人数据的存储和销毁

8.1. 个人数据以可识别数据主体的形式存储，存储时间不超过处理目的所需，存储期限见第4条。

8.2. 在处理目的已实现、保存期限届满或同意被撤回（就以同意为依据处理的数据而言）时，个人数据予以销毁或去标识化。在信息系统中处理的数据以删除方式销毁；销毁事实通过文书或系统日志导出记录予以记载（2022年10月28日 Roskomnadzor 第179号令）。

8.3. 本网站的数据库托管于托管服务商；只有运营者的授权员工才能访问。

9. Cookie 文件

9.1. 本网站使用其运行所必需的技术性 cookie 和浏览器本地存储：保存购物车和收藏内容、维持个人中心会话、记住已阅读 cookie 通知。没有它们本网站无法实现其功能，因此使用它们无需另行取得同意。

9.2. 本网站未安装网络分析计数器和广告像素。如接入网络分析服务（Yandex Metrica），运营者将在开始收集数据前通过 cookie 通知征求用户同意，并补充本条内容。

9.3. 用户可在浏览器设置中禁用 cookie；此时购物车和个人中心登录将无法使用。

10. 最后条款

10.1. 运营者有权修改本政策。新版本自在本网站发布之时起生效，并注明版本日期。新版本发布后继续使用本网站，即表示用户确认已阅读新版本。

10.2. 有关个人数据处理的问题，请通过 zhatva.russia@mail.ru 或电话 +7 929 099 40 44（周一至周五 9:00–18:00，莫斯科时间）联系个人数据处理组织工作负责人。

10.3. 运营者信息：ZHATVA 有限责任公司，纳税人识别号（INN）6900017801，国家注册号（OGRN）1256900001016，邮编 170016，特维尔州特维尔市 Burashevskoye 公路 47 号。