Политика обработки персональных данных

1.1. Политика составлена по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и иным актам Российской Федерации об обработке и защите персональных данных.

1.2. Оператор — Верёвкина Екатерина Валерьевна, плательщик налога на профессиональный доход (самозанятая), ИНН 027300674038 (далее — Оператор). Контакт по вопросам обработки данных: info@brummi.ru.

1.3. Политика описывает, как Оператор обрабатывает и защищает персональные данные пользователей сайта https://brummi.ru (далее — Сайт). Она определяет:

• принципы обработки персональных данных;
• цели, правовые основания и способы обработки;
• перечень субъектов персональных данных и состав данных;
• сроки обработки;
• порядок и условия обработки, получателей данных;
• права субъектов и обязанности Оператора;
• конфиденциальность и безопасность данных.

1.4. Политика размещена на Сайте в свободном доступе, ссылка — в подвале каждой страницы.

1.5. Оператор самостоятельно, без работников, организует обработку данных и отвечает за их безопасность.

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Оператор — лицо, которое самостоятельно или совместно с другими организует и осуществляет обработку персональных данных и определяет цели обработки, состав данных и действия с ними.

Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Предоставление персональных данных — действия, направленные на раскрытие данных определённому лицу или кругу лиц.

Распространение персональных данных — действия, направленные на раскрытие данных неопределённому кругу лиц.

Блокирование — временное прекращение обработки (кроме случаев, когда она нужна для уточнения данных).

Уничтожение — действия, после которых нельзя восстановить содержание данных в информационной системе или уничтожаются их материальные носители.

Трансграничная передача — передача данных на территорию иностранного государства иностранному органу власти, лицу или организации.

Cookie — небольшие фрагменты данных, которые сайт сохраняет в браузере пользователя; подробнее — в Политике использования cookie-файлов.

3.1. Оператор соблюдает принципы, установленные законом:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей;
• не допускается обработка, несовместимая с целями сбора данных;
• не допускается объединение баз данных, обрабатываемых в несовместимых целях;
• обрабатываются только данные, которые отвечают целям обработки; их содержание и объём не избыточны;
• обеспечиваются точность, достаточность и при необходимости актуальность данных; неполные и неточные данные удаляются или уточняются;
• данные хранятся не дольше, чем этого требуют цели обработки, если срок не установлен законом или договором;
• данные уничтожаются по достижении целей обработки или при утрате необходимости в них, если иное не предусмотрено законом.

4.1. Оператор обрабатывает данные в заранее определённых целях. Обработка включает действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) получателям из раздела 6, блокирование, удаление, уничтожение.

4.2. Способы обработки — автоматизированный (с использованием компьютера) и без средств автоматизации. Данные передаются по сети «Интернет».

4.3. Правовые основания обработки:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей»;
• Налоговый кодекс Российской Федерации и Федеральный закон от 27.11.2018 № 422-ФЗ «О проведении эксперимента по установлению специального налогового режима «Налог на профессиональный доход»;
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»;
• согласие субъекта на обработку его данных;
• договор, стороной которого является субъект (в том числе заключаемый по его инициативе), — оформление, оплата и доставка заказа.

4.4. Специальные категории данных (здоровье, убеждения и т. п.) и биометрические данные Оператор не обрабатывает.

4.5. Персональные данные уничтожаются:

• при достижении целей обработки или максимальных сроков хранения — в течение 30 дней;
• при утрате необходимости в достижении целей — в течение 30 дней;
• если субъект подтвердил, что данные получены незаконно или не нужны для заявленной цели, — в течение 7 рабочих дней;
• если нельзя обеспечить правомерность обработки — в течение 10 рабочих дней;
• при отзыве согласия, если хранение данных больше не требуется, — в течение 30 дней;
• по требованию субъекта о прекращении обработки — в течение 10 рабочих дней, если закон или договор не требуют хранить данные.

4.6. Цели обработки и состав данных:

4.6.1. Оформление и исполнение заказа: договор розничной купли-продажи, подарочные сертификаты, связь с покупателем по заказу.

• Категории: иные персональные данные.
• Состав: фамилия, имя, отчество; номер телефона; адрес электронной почты; состав и сумма заказа; комментарий к заказу.
• Основание: договор, стороной которого является субъект, или договор, который заключается по его инициативе.
• Субъекты: покупатели, получатели заказов.
• Срок хранения: 3 года после выполнения заказа.

4.6.2. Доставка заказа через СДЭК или самовывоз.

• Категории: иные персональные данные.
• Состав: фамилия, имя, отчество; номер телефона; адрес доставки или пункт выдачи СДЭК.
• Основание: договор, стороной которого является субъект.
• Субъекты: покупатели, получатели заказов.
• Срок хранения: 3 года после выполнения заказа.

4.6.3. Приём оплаты и выдача чека: перевод через ПАО Сбербанк, чек в приложении «Мой налог».

• Категории: иные персональные данные.
• Состав: фамилия, имя, отчество; адрес электронной почты; сумма и дата платежа. Реквизиты банковской карты или счёта Оператор не получает.
• Основание: договор; требование закона (Федеральный закон № 422-ФЗ, Налоговый кодекс).
• Субъекты: покупатели.
• Срок хранения: 3 года после выполнения заказа.

4.6.4. Ответ на заявку на изготовление «под заказ» и согласование изделия.

• Категории: иные персональные данные.
• Состав: имя; номер телефона или адрес электронной почты; текст заявки, сведения об изделии, которые сообщил субъект.
• Основание: согласие субъекта; договор, который заключается по его инициативе.
• Субъекты: лица, оставившие заявку.
• Срок хранения: до ответа на заявку, но не более 1 года; если заключён договор — по сроку п. 4.6.1.

4.6.5. Рассмотрение обращений, вопросов и претензий, поддержка покупателей.

• Категории: иные персональные данные.
• Состав: фамилия, имя; адрес электронной почты; номер телефона (если указан); содержание обращения и данные, нужные для его рассмотрения.
• Основание: согласие субъекта; договор; требования закона о рассмотрении претензий потребителей.
• Субъекты: посетители Сайта, покупатели, лица, направившие обращение.
• Срок хранения: до рассмотрения обращения, но не более 1 года; если обращение связано с заказом — по сроку п. 4.6.1.

4.6.6. Направление информационных и рекламных рассылок по e-mail о новых изделиях, акциях и промокодах.

• Категории: иные персональные данные.
• Состав: имя; адрес электронной почты.
• Основание: согласие субъекта (отдельное, необязательное для покупки) — согласие на получение рассылок.
• Субъекты: подписчики рассылки.
• Срок хранения: до отзыва согласия или отписки.

4.6.7. Работа Сайта: корзина, формы, технические файлы.

• Категории: иные персональные данные.
• Состав: технические данные, без которых не работает корзина (сохранённый состав корзины в браузере); технические сведения о запросах, которые обрабатывает платформа Тильда при показе страниц. Аналитических и рекламных cookie Оператор не использует.
• Основание: исполнение договора и законный интерес Оператора в работе Сайта; для необязательных cookie — согласие (сейчас они не применяются).
• Субъекты: посетители Сайта.
• Срок хранения: на время работы корзины в браузере, затем данные удаляются пользователем или браузером.

5.1. Обработка прекращается при достижении целей обработки, истечении срока согласия, отзыве согласия или выявлении неправомерной обработки.

5.2. Сроки хранения:

• данные заказа — 3 года после его выполнения;
• данные заявки без заказа и обращения без заказа — до ответа, но не более 1 года;
• данные для рассылки — до отзыва согласия или отписки.

5.3. При отзыве согласия Оператор вправе продолжить обработку без согласия, если она предусмотрена договором, нужна для исполнения требований закона (в том числе налогового учёта) или допускается ст. 6 Закона № 152-ФЗ. Остальные данные уничтожаются в сроки, указанные в п. 4.5.

6.1. Обработка осуществляется с согласия субъекта, а также без него, если она нужна для исполнения договора, заключения договора по инициативе субъекта или исполнения требований закона.

6.2. Оператор вправе поручить обработку третьим лицам на основании договора или условий сервиса, в которых определены цели, перечень действий и требования к защите данных. Оператор отвечает перед субъектом за действия таких лиц.

6.3. Данные передаются только для целей из раздела 4:

• службе доставки СДЭК — фамилия, имя, отчество, телефон и адрес получателя;
• ПАО Сбербанк (ИНН 7707083893) — для приёма оплаты. Реквизиты карты или банковского счёта покупатель вводит на стороне банка, Оператор их не получает;
• ФНС России через приложение «Мой налог» — для чека;
• сервису Тильда (платформа Сайта) и сервису SmartApe (почта) — по поручению Оператора, для работы Сайта и почты;
• сервису e-mail-рассылок — по поручению Оператора, только адрес электронной почты и имя подписчика;
• государственным органам — в случаях и порядке, предусмотренных законом.

6.4. Оператор не распространяет персональные данные, то есть не раскрывает их неопределённому кругу лиц.

6.5. Данные хранятся в базах данных на территории Российской Федерации.

6.6. Если данные оказались неточными или обрабатываются неправомерно, Оператор уточняет их или прекращает обработку.

7.1. Оператор не осуществляет трансграничную передачу персональных данных.

7.2. Если такая передача станет нужна, Оператор осуществит её только с согласия субъекта и после выполнения требований закона, в том числе уведомления Роскомнадзора, и изменит Политику.

8.1. Субъект персональных данных вправе:

• свободно, своей волей и в своём интересе давать согласие на обработку данных;
• получать информацию об обработке своих данных, в том числе повторно, в порядке и сроки, установленные законом;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• требовать прекратить обработку данных и отозвать согласие, в том числе отписаться от рассылки по ссылке в письме;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

8.2. Оператор обязан:

• предоставлять субъекту по его запросу информацию об обработке данных либо мотивированно отказать;
• уточнять, блокировать или удалять данные по требованию субъекта в случаях, предусмотренных законом;
• вести учёт обращений субъектов;
• не раскрывать и не распространять данные без согласия субъекта, если иное не предусмотрено законом;
• разъяснять субъекту последствия отказа предоставить данные или дать согласие, если их предоставление обязательно по закону;
• прекращать обработку и уничтожать данные в случаях, предусмотренных законом;
• принимать правовые, организационные и технические меры защиты данных;
• уведомлять Роскомнадзор об утечках и иных нарушениях в порядке и сроки, установленные законом.

8.3. Оператор вправе обрабатывать данные без согласия в случаях, предусмотренных законом, поручать обработку третьим лицам, передавать данные государственным органам, отказать субъекту в предоставлении сведений в случаях, предусмотренных законом, и самостоятельно определять состав мер защиты.

8.4. Запрос направляется на info@brummi.ru и должен позволять установить субъекта и его отношения с Оператором (например, указать имя, адрес электронной почты из заказа и номер заказа). Оператор отвечает в течение 10 рабочих дней.

9.1. Доступ к данным есть только у Оператора. Третьи лица получают данные только в объёме и в целях раздела 6.

9.2. Оператор не раскрывает данные третьим лицам и не распространяет их без согласия субъекта, если иное не предусмотрено законом.

9.3. Лица, которым Оператор поручает обработку, обязаны соблюдать конфиденциальность и безопасность данных на условиях своих договоров и пользовательских соглашений.

10.1. Ответственность за организацию обработки и безопасность данных несёт Оператор.

10.2. Оператор принимает следующие меры:

• доступ к устройствам и сервисам с данными защищён паролями;
• на устройствах используются антивирус и своевременно устанавливаются обновления программ;
• доступ к данным имеет только Оператор;
• данные хранятся в сервисах, расположенных на территории Российской Федерации;
• реквизиты оплаты Оператор не хранит;
• о выявленных инцидентах Оператор принимает меры и сообщает о них в порядке, установленном законом.

11.1. Политика общедоступна и размещена на Сайте.

11.2. Оператор пересматривает Политику при изменении закона, целей, состава данных или схемы обработки, а также не реже одного раза в год. Изменения вступают в силу с момента публикации новой редакции. Политика действует бессрочно, до замены новой редакцией.

11.3. Субъекты данных могут получить разъяснения и реализовать свои права, направив обращение на info@brummi.ru. Обращение должно содержать сведения, позволяющие идентифицировать субъекта (имя, адрес электронной почты или номер заказа) и установить его отношения с Оператором, и суть требования.

11.4. Лица, виновные в нарушении требований законодательства о персональных данных, несут ответственность, предусмотренную законом.