Политика обработки персональных данных

1 Общие положения

1.1. Настоящая Политика определяет цели, основания и порядок обработки персональных данных при использовании сайта «Точка сна» https://tochkasna.ru/ (далее — Сайт), рассмотрении обращений и заявок, продаже и доставке товаров, рассмотрении претензий. Политика предназначена для посетителей Сайта, заявителей, покупателей и получателей товаров. Порядок перехода по ссылкам на отзывы, размещённые на Авито, описан в разделе 6.

1.2. Оператор персональных данных — индивидуальный предприниматель Григорьева Дарья Сергеевна, ИНН 332134981204, ОГРНИП 319332800046586 (далее — Оператор). Оператор выступает продавцом товаров, приобретаемых у поставщиков, и самостоятельно определяет цели обработки и состав необходимых персональных данных.

1.3. Сайт содержит каталог матрасов и сопутствующих товаров и форму заявки. Посетитель выбирает товары и направляет заявку для консультации и согласования условий. Менеджер уточняет состав заказа, наличие, итоговую цену, способ оплаты и условия получения. Онлайн-оплата на Сайте отсутствует; до согласования условий платежи через Сайт не требуются. Настоящая Политика не определяет момент заключения договора и не ограничивает права покупателя, предусмотренные законодательством о защите прав потребителей.

1.4. Политика разработана с учётом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), Гражданского и Налогового кодексов Российской Федерации, Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», иных применимых нормативных правовых актов. Требования к защите данных определяются, в частности, статьёй 19 Закона № 152-ФЗ и постановлениями Правительства РФ от 01.11.2012 № 1119 и от 15.09.2008 № 687.

1.5. Политика размещается в открытом доступе на Сайте, в том числе должна быть доступна со страниц сбора персональных данных. Ознакомление с Политикой, посещение Сайта или продолжение его использования сами по себе не являются согласием на обработку данных. Когда основанием обработки служит согласие, оно оформляется отдельно от иных подтверждаемых пользователем сведений и документов, конкретно для соответствующей цели.

1.6. Обработка должна быть законной, соразмерной заявленным целям и ограниченной необходимым объёмом данных. Оператор не объединяет базы, предназначенные для несовместимых целей, поддерживает актуальность данных и прекращает обработку после утраты её законного основания. Уведомление об обработке персональных данных подано Оператором в Роскомнадзор; сведения в уведомлении подлежат актуализации в установленном законом порядке.

2 Состав данных и цели обработки

2.1. Рассмотрение заявки и консультация по товарам. Обрабатываются имя, номер телефона и регион, указанные в форме, а также адрес электронной почты и комментарий, если пользователь их предоставил. С заявкой связываются выбранные товары, размеры, количество, комплектация, номер и дата заявки, история её рассмотрения и необходимая переписка. Цель — ответить на обращение, подобрать товар, рассчитать стоимость и согласовать условия покупки. Основание — пункт 5 части 1 статьи 6 Закона № 152-ФЗ, когда действия направлены на заключение договора по инициативе пользователя; для обращения, не связанного с заключением или исполнением договора, — отдельное согласие по пункту 1 части 1 статьи 6 этого Закона.

2.2. Заключение и исполнение договора, доставка и обслуживание. Дополнительно обрабатываются фамилия и отчество при необходимости оформления документов, контактные данные получателя, адрес и условия доставки, сведения о заказе, оплате, возврате и гарантийном обращении. Обрабатываются только данные, необходимые для соответствующей операции. Основания — пункты 2 и 5 части 1 статьи 6 Закона № 152-ФЗ, договор с покупателем и применимые требования законодательства.

2.3. Выполнение обязанностей по учёту и защита прав. Обрабатываются данные покупателя и представителя, содержащиеся в договорах, расчётных и учётных документах, претензиях и ответах на них, а также необходимые доказательства взаимодействия. Цели — налоговый учёт, исполнение законных запросов, рассмотрение требований и защита прав в споре. Основания — пункты 2 и 7 части 1 статьи 6 Закона № 152-ФЗ. Законный интерес Оператора не может служить основанием для нарушения прав и свобод субъекта.

2.4. Работа и безопасность Сайта. В необходимом объёме обрабатываются IP-адрес, дата и время обращения, запрашиваемая страница, сведения о браузере и устройстве, технические идентификаторы и записи об ошибках. Для сохранения выбранных товаров и пользовательских настроек могут использоваться локальное и сессионное хранилища браузера. Цели — предоставить запрошенные функции, предотвратить злоупотребления и устранить сбои. Основания определяются характером операции: пункт 5 или пункт 7 части 1 статьи 6 Закона № 152-ФЗ; если подходящего основания нет, требуется согласие.

2.5. Анализ посещаемости и удобства Сайта. При наличии отдельного согласия обрабатываются технические идентификаторы, IP-адрес, сведения об устройстве, браузере и операционной системе, посещённых страницах, источнике перехода, времени визита и действиях на страницах. Для этой цели используется Яндекс Метрика, включая функцию Вебвизор. Основание — пункт 1 части 1 статьи 6 Закона № 152-ФЗ. Порядок использования аналитики установлен разделом 4.

2.6. Ссылки на отзывы. На Сайте размещаются ссылки для перехода к отзывам на Авито. Форма добавления отзывов на Сайте отсутствует; самостоятельный сбор отзывов и размещение копий текстов, имён, фотографий и иных сведений об авторах этой моделью работы не предусмотрены. При переходе на Авито обработка данных посетителя осуществляется соответствующим сервисом по его правилам.

2.7. Оператор не использует контактные данные для рекламных рассылок. Звонки и сообщения по заявке, доставке, оплате, возврату или претензии носят информационный характер и направляются в связи с конкретным обращением или договором. Получение заявки не предоставляет права направлять рекламу.

2.8. Сайт не предназначен для сбора паспортов, СНИЛС, сведений о здоровье и иных специальных категорий данных. Биометрические данные для установления личности не обрабатываются. В комментариях не следует указывать диагнозы, медицинские документы, банковские пароли и коды подтверждения. Само предложение матрасов с определёнными свойствами не требует сбора сведений о здоровье покупателя.

2.9. Номера банковских карт, срок их действия и коды безопасности через Сайт не собираются. При расчётах вне Сайта Оператор может получать сведения о плательщике, сумме и назначении платежа, а при возврате — необходимые реквизиты для перечисления денег. Такие сведения обрабатываются исключительно для расчётов, учёта и исполнения требований покупателя.

3 Порядок обработки и передачи данных

3.1. Данные поступают непосредственно от субъекта через форму заявки, электронную почту, телефон и WhatsApp, используемый менеджерами для общения с покупателями. Технические данные формируются при использовании Сайта в пределах установленных оснований. Сведения о получателе товара могут быть сообщены покупателем; Оператор обязан обеспечить законность их получения и информирование получателя в случаях, предусмотренных статьёй 18 Закона № 152-ФЗ.

3.2. Обработка осуществляется с использованием средств автоматизации и без них и может включать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление и доступ, блокирование, удаление и уничтожение. Публичное размещение персональных данных покупателей и заявителей в рамках описанных процессов не осуществляется. Распространение допускается только при наличии самостоятельного основания, предусмотренного законодательством Российской Федерации.

3.3. Доступ предоставляется Оператору и уполномоченным лицам только в объёме, необходимом для выполнения их обязанностей. Для исполнения заказов Оператор передаёт поставщикам и изготовителям параметры заказа, а также ФИО, телефон и адрес покупателя или получателя в той мере, в которой это необходимо для согласования исполнения, непосредственной доставки, обслуживания или рассмотрения претензии. Если изготовление или комплектация товара не требуют контакта с покупателем, поставщику предоставляются номер заказа и технические параметры без контактных данных. Основание передачи определяется конкретной операцией по Закону № 152-ФЗ; необходимые согласия получаются до передачи.

3.4. Для доставки Оператор передаёт данные получателей службе доставки СДЭК, в том числе ООО «СДЭК-Глобал» (ИНН 7722327689, ОГРН 1157746448463), а также иным перевозчикам и курьерским службам, привлечённым для исполнения согласованного заказа. Передаются ФИО получателя, контактный телефон, адрес доставки или выбранный пункт выдачи, номер и необходимые сведения о заказе, условиях и стоимости отправления. Конкретный исполнитель и способ доставки сообщаются покупателю при согласовании заказа. Передача ограничивается необходимым для доставки и обработки связанных с ней обращений объёмом. Политика СДЭК опубликована по адресу: https://www.cdek.ru/ru/privacy_policy/.

3.5. Хостинг Сайта предоставляет АО «ТаймВэб» (Timeweb), ИНН 7810353960, ОГРН 1247800127112, адрес: 196006, г. Санкт-Петербург, ул. Заставская, д. 22, корп. 2, литера А. Сайт и база заявок размещаются на территории Российской Федерации. Отдельная CRM-система не используется. Обработка данных с привлечением хостинг-провайдера связана с размещением и работой Сайта, хранением данных заявок и техническим обслуживанием в пределах договора и необходимого доступа.

3.5.1. При поручении обработки хостинг-провайдеру или иному исполнителю договор должен содержать условия части 3 статьи 6 Закона № 152-ФЗ: состав данных, операции, цели, конфиденциальность, безопасность, подтверждение принятых мер и уведомление об инцидентах. Согласие на поручение получается в случаях, предусмотренных законом. Доступ к сведениям допускается только в необходимых пределах; Оператор отвечает перед субъектом за действия привлечённого обработчика в установленных законом пределах.

3.6. Для аналитики данные предоставляются ООО «ЯНДЕКС» — поставщику сервиса Яндекс Метрика, действующему в соответствующей части по поручению Оператора. Условия сервиса: https://yandex.ru/legal/metrica_termsofuse/ru/. Политика Яндекса: https://yandex.ru/legal/confidential/ru/. Состав и цель передаваемых данных ограничиваются разделами 2 и 4 настоящей Политики.

3.7. Банки и иные участники расчётов обрабатывают сведения, необходимые для платежей вне Сайта, на предусмотренных законом основаниях. Суду и уполномоченным государственным органам данные предоставляются при наличии законного требования и в необходимом объёме. Само упоминание получателя в Политике не заменяет правовое основание передачи.

3.8. Сведения о конкретных лицах, обрабатывающих данные по поручению Оператора, и иной предусмотренной статьёй 14 Закона № 152-ФЗ информации предоставляются субъекту по запросу. Оператор не принимает решений, порождающих юридические последствия для человека, исключительно на основании автоматизированной обработки его данных.

4 Файлы cookie и анализ посещаемости

4.1. Сайт использует технологии браузера для работы списка выбранных товаров, сохранения настроек, обеспечения безопасности и аналитики. Необходимость согласия определяется целью и правовым основанием конкретной обработки; техническое название файла само по себе не освобождает Оператора от соблюдения Закона № 152-ФЗ.

4.2. Подключение аналитических средств Яндекс Метрики и Вебвизора допускается только после отдельного информированного согласия пользователя. Отказ от аналитики не должен препятствовать просмотру каталога и направлению заявки. Оператор обеспечивает фиксацию выбора и возможность его изменения. Продолжение просмотра страницы, заранее проставленная отметка или отсутствие действий не рассматриваются как согласие на аналитику.

4.3. Вебвизор предназначен для анализа взаимодействия со страницами. Оператор обязан исключить запись содержания полей с именем, телефоном, электронной почтой, адресом и свободным комментарием, а также передачу этих сведений в адресах страниц, параметрах событий и иных аналитических данных. До обеспечения такого исключения запись соответствующих форм не допускается.

4.4. Метрика может устанавливать, в частности, идентификаторы _ym_uid и _ym_d со сроком действия до одного года, _ym_isad — до 20 часов, _ym_visorc_* — до 30 минут, _ym_metrika_enabled — до 60 минут. Состав зависит от используемых функций. Описание поставщика: https://yandex.ru/support/metrica/ru/general/cookie-usage. Срок существования cookie в браузере не равен сроку хранения всей информации в сервисе аналитики.

4.5. Пользователь может ограничить cookie и очистить локальные данные в настройках браузера, а также воспользоваться расширением «Блокировщик Яндекс Метрики». Для отзыва согласия и требований об удалении данных можно обратиться к Оператору по электронной почте. Удаление файлов на устройстве не удаляет автоматически ранее переданные сведения и не освобождает Оператора от рассмотрения такого обращения.

4.6. Сохранённый на устройстве список товаров используется для продолжения работы с заявкой. Пользователь может удалить его средствами Сайта или очистить хранилище браузера. Ограничение технических средств может потребовать повторного выбора товаров; консультацию можно получить по телефону или электронной почте.

5 Локализация и трансграничная передача

5.1. Сбор данных через Сайт и обработка базы заявок осуществляются с использованием инфраструктуры Timeweb, расположенной в России. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает соблюдение части 5 статьи 18 Закона № 152-ФЗ: запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами Российской Федерации не допускаются, кроме прямо установленных законом исключений. Размещение основной базы в России не отменяет отдельной оценки передачи данных через внешние сервисы и мессенджеры.

5.2. Трансграничная передача персональных данных допускается только с соблюдением статьи 12 Закона № 152-ФЗ. До её начала Оператор обязан получить предусмотренные законом сведения об иностранных получателях, направить отдельное уведомление в Роскомнадзор и соблюсти установленный порядок начала передачи, ограничения и запреты. Уведомление об обработке персональных данных, указанное в пункте 1.6, само по себе не подтверждает выполнение требований к трансграничной передаче.

5.3. Менеджеры используют WhatsApp для согласования заявок и заказов, доставки и рассмотрения обращений. В переписке обрабатываются номер телефона, отображаемое имя пользователя и необходимые сведения, содержащиеся в сообщениях. В отношении пользователей из России поставщиком сервиса является WhatsApp LLC (США); условия обработки и использования международной инфраструктуры определяются политикой сервиса: https://www.whatsapp.com/legal/privacy-policy. Передача через данный канал должна соответствовать пункту 5.2. Пользователь вправе выбрать телефон или электронную почту вместо WhatsApp. Выбор мессенджера не считается согласием на неограниченную обработку и не освобождает Оператора от его обязанностей по закону.

6 Ссылки на отзывы и внешние ресурсы

6.1. Ознакомление с отзывами организовано посредством ссылок на Авито. При нажатии на ссылку пользователь переходит на внешний ресурс. Сайт не предоставляет форму для оставления отзыва и не размещает копии отзывов вместе с персональными данными их авторов. Для ссылки используется нейтральное обозначение, например «Отзывы на Авито».

6.2. Размещение обычной ссылки на отзывы не предполагает загрузку на Сайт имён, фотографий, профилей и текстов отзывов. Если Оператор изменит эту модель и будет копировать материалы, встраивать виджет с данными авторов либо отдельно публиковать сведения о них, до такого изменения он определяет правовое основание, выполняет применимые требования статьи 10.1 Закона № 152-ФЗ и учитывает права на текст и изображения. Само наличие отзыва в открытом доступе не заменяет необходимого основания.

6.3. После перехода на Авито, карту или иной внешний ресурс данные обрабатываются владельцем соответствующего сервиса согласно его условиям. Оператор отвечает за собственные действия с данными и не вправе исключить установленную законом ответственность общей ссылкой на правила другого лица. Если внешний сервис встраивается непосредственно в Сайт и получает технические данные при загрузке страницы, законность такой передачи обеспечивается до его подключения.

7 Сроки хранения и прекращение обработки

7.1. Данные по заявке обрабатываются до завершения консультации, отказа от дальнейшего согласования либо перехода к исполнению договора. Если согласование не продолжается, заявка закрывается не позднее 90 календарных дней после последнего содержательного взаимодействия. После достижения цели данные удаляются в пределах 30 календарных дней, если отдельные сведения не требуется сохранить на ином законном основании.

7.2. Данные по договору сохраняются на период исполнения и необходимого гарантийного обслуживания. После этого ограниченный набор документов может храниться для защиты прав в течение применимого срока исковой давности, по общему правилу трёх лет, исчисляемого по правилам гражданского законодательства. При возникшем споре необходимые доказательства сохраняются до его окончательного разрешения и исполнения соответствующего решения. Наличие срока исковой давности не оправдывает хранение всех собранных данных без оценки их необходимости.

7.3. Данные в документах, необходимых для исчисления и уплаты налогов, сохраняются в сроки статьи 23 Налогового кодекса РФ — по общему правилу пять лет, с учётом порядка исчисления сроков и применимых специальных требований. Для иных документов применяются установленные законом сроки, включая требования архивного законодательства. Отзыв согласия не отменяет обязательные сроки хранения.

7.4. Технические журналы безопасности сохраняются не более 30 календарных дней, если более длительное хранение конкретной записи не требуется для расследования инцидента или защиты прав. Сведения, необходимые для подтверждения законности обработки и содержания согласия, сохраняются на период соответствующей обработки и последующей защиты прав в необходимом объёме.

7.5. Индивидуализированные аналитические данные используются до достижения цели анализа или отзыва согласия, но не более 12 месяцев с даты сбора. После этого Оператор обеспечивает удаление таких данных либо необратимое обезличивание в пределах применимых сроков. Отчёты, которые не позволяют определить физическое лицо, могут сохраняться для сравнения общей статистики. Техническая доступность сведений в сервисе сама по себе не продлевает законный срок обработки.

7.6. При достижении цели либо отзыве согласия данные уничтожаются в срок не более 30 дней, если отсутствует иное законное основание продолжения обработки и не применяются предусмотренные статьёй 21 Закона № 152-ФЗ исключения. Если субъект требует прекратить обработку, требование рассматривается и исполняется в пределах 10 рабочих дней с учётом законных исключений; допускается продление не более чем на 5 рабочих дней с мотивированным уведомлением.

7.7. При выявлении неправомерной обработки Оператор прекращает её не позднее 3 рабочих дней с даты выявления. Если обеспечить правомерность невозможно, данные уничтожаются не позднее 10 рабочих дней с той же даты. Подтверждённые неточные сведения уточняются в пределах 7 рабочих дней после получения необходимых подтверждений. На период проверки данные блокируются в случаях, установленных законом.

7.8. При невозможности уничтожения в сроки, предусмотренные частями 3–5.1 статьи 21 Закона № 152-ФЗ, данные блокируются и уничтожаются не позднее 6 месяцев, если иной срок не установлен федеральным законом. Это правило применяется и при организации удаления из резервных копий; восстановление ранее удалённых данных для обычной работы не допускается. Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

8 Защита персональных данных

8.1. Оператор принимает соразмерные рискам правовые, организационные и технические меры: разграничивает доступ, устанавливает обязанности по конфиденциальности, защищает учётные записи, поддерживает актуальность программного обеспечения, контролирует действия с данными и организует восстановление после сбоев. Конкретный состав мер определяется применимыми требованиями и угрозами безопасности.

8.2. Для передачи данных через Сайт используется защищённое соединение HTTPS. Доступ к электронным и бумажным документам ограничивается. Оператор контролирует безопасность привлечённых обработчиков и не вправе исключить свою установленную законом ответственность общей ссылкой на действия третьих лиц.

8.3. При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к данным, повлекших нарушение прав субъектов, Оператор уведомляет Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов с момента выявления в порядке части 3.1 статьи 21 Закона № 152-ФЗ. Одновременно принимаются меры к прекращению нарушения и устранению последствий.

9 Обязанности Оператора

9.1. Оператор обеспечивает наличие правового основания для каждой цели, необходимый объём данных, доступность Политики, выполнение требований к поручению обработки, локализации, безопасности и срокам хранения. При изменении процессов сведения в Политике и уведомлении Роскомнадзора приводятся в соответствие с фактической обработкой.

9.2. До запуска новой цели или существенного расширения состава данных Оператор оценивает правовое основание, информирует субъектов и получает новое согласие, если оно требуется. Использование общедоступного источника не освобождает от доказывания законности последующей обработки. Персональные данные не продаются и не предоставляются для самостоятельных рекламных рассылок третьих лиц.

10 Права субъектов и обращения

10.1. Субъект вправе получать предусмотренные законом сведения об обработке, знакомиться со своими данными, требовать их уточнения, блокирования, прекращения обработки или уничтожения при наличии оснований, отзывать согласие, прекращать распространение и обжаловать действия Оператора в Роскомнадзоре или суде. Реализация прав осуществляется бесплатно в установленном законом порядке.

10.2. Обращения направляются на DASHENY_Y@MAIL.RU либо по почтовому адресу Оператора, указанному в разделе 11. Желательно указать имя, контакт для ответа, номер заявки или иные сведения о взаимодействии и содержание требования. Не следует направлять копию паспорта по обычной электронной почте без отдельной обоснованной необходимости.

10.3. Для формального запроса о доступе к данным по части 3 статьи 14 Закона № 152-ФЗ применяются установленные этой нормой требования к сведениям о документе, удостоверяющем личность, подтверждению отношений с Оператором и подписи. При электронном направлении такого запроса используется электронная подпись в соответствии с законодательством. Для иных обращений идентификация проводится соразмерно требованию; Оператор не запрашивает избыточные сведения.

10.4. Информация об обработке и возможность ознакомления предоставляются в пределах 10 рабочих дней со дня обращения или получения запроса. В предусмотренных законом случаях срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением. Отказ допускается только на законном основании и должен быть мотивирован. Специальные сроки уточнения, прекращения обработки и уничтожения установлены разделом 7 и Законом № 152-ФЗ.

10.5. Отзыв согласия не влияет на законность предшествующей обработки и не исключает дальнейшую обработку, необходимую по договору или закону. Если для рассмотрения обращения или исполнения заказа объективно необходимы определённые сведения, Оператор разъясняет последствия их непредоставления. Общая обязанность соглашаться на любую обработку для использования Сайта не устанавливается.

11 Реквизиты и действие Политики

11.1. Оператор: индивидуальный предприниматель Григорьева Дарья Сергеевна. ИНН 332134981204. ОГРНИП 319332800046586. Адрес для почтовых обращений: 601143, Владимирская область, г. Петушки, ул. Строителей, д. 26, кв. 37. Электронная почта: DASHENY_Y@MAIL.RU. Телефон, опубликованный на Сайте: +7 (915) 771-76-89. Сайт: https://tochkasna.ru/.

11.2. Адреса производственных площадок, связанных с поставками товаров: Краснодарский край, г. Краснодар, ул. Демуса, д. 6А; Московская область, г. Балашиха, ул. Промышленная, д. 37; Владимирская область, д. Липна, д. 131Г. Указание площадки не означает, что Оператор является её собственником или изготовителем всех товаров, а также что по этому адресу размещена база персональных данных. Для юридически значимых обращений используется адрес из пункта 11.1.

11.3. Политика действует с момента её утверждения Оператором и размещения на Сайте. Новая редакция публикуется с указанием даты. Изменение Политики не заменяет нового согласия, если для изменившейся обработки оно необходимо, и не придаёт законность ранее совершённым действиям.

11.4. Политика регулирует обработку персональных данных и не заменяет договор, сведения о продавце, условия продажи и иные обязательные документы. Условия Политики применяются в соответствии с законодательством Российской Федерации и не могут ограничивать установленные законом права субъекта или потребителя.