Политика обработки персональных данных

Политика определяет порядок обработки и меры защиты персональных данных пользователей сайта koreankot.ru магазина KOT 꽃 (далее — Сайт) и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Оператор персональных данных — Продавец, ИНН 745115580760 (далее — Оператор). Политика опубликована в открытом доступе (ч. 2 ст. 18.1 Закона).

1. Термины

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту).
• Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Пользователь — лицо, посещающее Сайт, зарегистрированный покупатель, гость, оформивший заказ без регистрации, подписчик рассылки или лицо, написавшее Оператору в мессенджер или на e-mail.

2. Цели, данные и сроки

Оператор обрабатывает только те данные, которые нужны для конкретной цели:

1. Регистрация и личный кабинет. Имя, фамилия, e-mail, хэш пароля, телефон, дата рождения (день и месяц, по желанию), сохранённые контакты и адрес доставки, корзина, избранное, подписки на артистов и на поступление товаров. Основание — договор (п. 5 ч. 1 ст. 6 Закона) и согласие. Срок — до удаления аккаунта.
2. Оформление, оплата и доставка заказов, возвраты. ФИО получателя, телефон, e-mail, город, адрес или пункт выдачи, состав и сумма заказа, сведения об оплате (без реквизитов карты — их получает только платёжный провайдер). Основание — договор купли-продажи. Срок — 5 лет после окончания года исполнения заказа (ст. 29 Федерального закона «О бухгалтерском учёте»), при наличии спора — до его разрешения.
3. Уведомления о заказах, предзаказах и поступлении товаров. E-mail, идентификатор и имя пользователя Telegram (если подключён бот), подписка браузера на push-уведомления. Основание — договор и согласие. Срок — до отключения уведомлений или удаления аккаунта.
4. Бонусная программа KOT Club, отзывы. История начислений и списаний баллов, дата рождения, текст и фотографии отзывов с указанием имени. Основание — договор (Пользовательское соглашение). Срок — до удаления аккаунта; опубликованные отзывы обезличиваются.
5. Ответы на обращения. Имя, контакт и содержание переписки по e-mail, в Telegram и в сообщениях сообщества ВКонтакте. Основание — согласие, выраженное обращением, а по вопросам заказов — договор. Срок — 3 года с последнего сообщения.
6. Рассылка новостей и акций. E-mail, имя, а для напоминания о товарах, оставленных в корзине, — состав корзины. Основание — отдельное согласие (ст. 18 Федерального закона «О рекламе»). Срок — до отписки.
7. Безопасность и работа Сайта. IP-адрес, данные cookie, тип браузера и устройства, дата и время запросов, технические сведения об ошибках. Основание — законный интерес Оператора в защите Сайта (п. 7 ч. 1 ст. 6 Закона). Срок — до 6 месяцев.

Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические данные и не принимает решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки.

3. Условия и способы обработки

1. Обработка ведётся с использованием средств автоматизации и без них, в объёме, необходимом для достижения целей.
2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).
3. Оператор не проверяет достоверность данных, которые сообщает Пользователь, и исходит из того, что они достоверны. Пользователь, указавший данные другого лица (например, получателя заказа), подтверждает, что получил его согласие на их передачу.
4. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных рекламных целей.

4. Передача третьим лицам

Данные передаются только в объёме, необходимом для конкретной цели, лицам, обязанным соблюдать конфиденциальность:

• службам доставки (СДЭК, АО «Почта России») — ФИО, телефон, адрес или пункт выдачи получателя;
• банку или платёжному провайдеру — сумма и номер заказа, e-mail для чека; данные карты вводятся на стороне провайдера;
• оператору фискальных данных — e-mail или телефон для направления кассового чека (54-ФЗ);
• ООО «Дадата» — вводимый адрес для подсказок при оформлении заказа;
• поставщику услуги отправки e-mail и хостинг-провайдеру, на серверах которого в РФ размещён Сайт;
• ООО «ВКонтакте» — при переписке с сообществом магазина ВКонтакте;
• государственным органам — по законному запросу.

5. Трансграничная передача

Если Пользователь подключает уведомления в Telegram или пишет магазину в Telegram, его идентификатор, имя пользователя и текст сообщений передаются компании Telegram (ОАЭ / Великобритания) через сеть доставки Cloudflare (США). Если Пользователь разрешает push-уведомления в браузере, текст уведомления передаётся через сервис push-уведомлений производителя браузера (Google, Apple, Mozilla). Такая передача происходит только по инициативе Пользователя и только в объёме, необходимом для доставки сообщения. Оператор уведомляет Роскомнадзор о трансграничной передаче в порядке ст. 12 Закона. От передачи можно отказаться, не подключая эти каналы, — все уведомления о заказе дублируются по e-mail.

6. Защита данных

1. Передача данных между браузером и Сайтом защищена протоколом HTTPS.
2. Пароли хранятся только в виде криптографического хэша (scrypt); восстановить пароль из хэша невозможно.
3. Доступ к данным покупателей есть только у сотрудников, которым он нужен для работы; у каждого — отдельная учётная запись, действия сотрудников записываются в журнал.
4. Ссылки для подтверждения e-mail, сброса пароля и просмотра гостевого заказа подписаны и имеют ограниченный срок действия.
5. Регулярно создаются резервные копии базы данных; число попыток входа ограничено.
6. Об утечке персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).

7. Права пользователя

Пользователь вправе:

• получить сведения об обработке своих данных: какие данные, зачем, кому передаются и как долго хранятся;
• потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные или обрабатываются незаконно;
• отозвать согласие на обработку и отказаться от рассылки;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

Отозвать согласие и удалить данные можно в профиле (кнопка «Удалить аккаунт и отозвать согласие») или направив запрос на e-mail Оператора. В запросе укажите e-mail, привязанный к аккаунту или заказу. Оператор отвечает в течение 10 рабочих дней с возможностью продления ещё на 5 рабочих дней с уведомлением о причинах (ст. 14, 20 Закона).

После отзыва согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней, кроме данных, которые он обязан хранить по закону (сведения о заказах для бухгалтерского и налогового учёта), — они хранятся без использования в иных целях до истечения установленного срока.

8. Cookie

• Необходимые — поддерживают вход в аккаунт, корзину и выбор согласия на cookie. Без них Сайт не работает, поэтому согласия не требуют.
• Аналитические и рекламные cookie не используются.

Cookie можно удалить или запретить в настройках браузера, но тогда вход и корзина перестанут работать.

9. Заключительные положения

1. Политика действует бессрочно до замены новой редакцией. Новая редакция вступает в силу с момента публикации на Сайте; дата редакции указана в начале документа.
2. Согласие на обработку персональных данных оформляется отдельным документом. Вопросы по Политике направляйте на e-mail Оператора.