Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных пользователей сайта «На паркете» по адресу https://naparkete.store (далее — Площадка), а также меры по их защите. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и применяется ко всем персональным данным, которые Оператор получает через Площадку.

1.2. Оператор персональных данных (далее — Оператор):

• Наименование: Рахимов Надежда Алексеевна
• ИНН: 183207422287
• Адрес для корреспонденции: г.Ижевск ул.Карла Маркса, д.126
• Электронная почта: arahimov260297@gmail.com
• Телефон: 8 919 911 49 31
• Лицо, ответственное за организацию обработки персональных данных: Рахимова Надежда Алексеевна
• Сайт: https://naparkete.store

1.3. Политика опубликована в свободном доступе на Площадке. Используя Площадку, пользователь подтверждает, что ознакомился с Политикой. Согласие на обработку персональных данных и согласие на обработку персональных данных, разрешённых для распространения, оформляются отдельными документами: Согласие на обработку персональных данных и Согласие на распространение персональных данных.

1.4. Термины «персональные данные», «обработка», «распространение», «предоставление», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» используются в значениях, определённых статьёй 3 Закона о персональных данных.

2. Чьи данные мы обрабатываем

• зарегистрированные пользователи Площадки — продавцы и покупатели товаров для бальных танцев, в том числе представители танцевальных студий, ателье и магазинов;
• посетители Площадки без регистрации (только технические данные, раздел 4.8);
• лица, обращающиеся к Оператору (запросы субъектов персональных данных, претензии, жалобы).

Площадка предназначена для лиц, достигших 18 лет. Оператор не обрабатывает намеренно персональные данные детей. Загружать на Площадку фото других людей, в том числе детей, без их согласия (согласия законного представителя) запрещено.

3. Правовые основания обработки

• заключение и исполнение договора, стороной которого является пользователь, — Пользовательского соглашения, включая оферту на платные услуги (п. 5 ч. 1 ст. 6 Закона о персональных данных);
• согласие пользователя на обработку персональных данных (п. 1 ч. 1 ст. 6);
• согласие пользователя на обработку персональных данных, разрешённых для распространения (ст. 10.1);
• исполнение обязанностей, возложенных на Оператора законом, — бухгалтерский и налоговый учёт, применение контрольно-кассовой техники, ответы на запросы государственных органов (п. 2 ч. 1 ст. 6);
• законные интересы Оператора и пользователей — защита от мошенничества, спама и несанкционированного доступа, обеспечение работоспособности Площадки (п. 7 ч. 1 ст. 6), при условии, что при этом не нарушаются права и свободы пользователей.

4. Цели обработки, состав данных и сроки

Оператор обрабатывает только те данные, которые нужны для конкретной цели, и не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Фотографии пользователя для виртуальной примерки не используются для установления его личности и поэтому не являются биометрическими персональными данными в смысле статьи 11 Закона о персональных данных.

4.11. Резервные копии базы данных и хранилища хранятся до 14 дней, после чего удаляются автоматически. Удалённые данные могут сохраняться в резервных копиях до истечения этого срока и не используются для иных целей, кроме восстановления после сбоя.

5. Действия с персональными данными

Оператор осуществляет автоматизированную обработку персональных данных: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ, а в случаях, указанных в согласии на распространение, — распространение), обезличивание, блокирование, удаление и уничтожение. Решения, порождающие юридические последствия для пользователя, исключительно на основе автоматизированной обработки не принимаются; блокировка аккаунтов и объявлений выполняется администраторами.

6. Кому передаются данные

6.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам для рекламы. Данные передаются только лицам, которые обрабатывают их по поручению Оператора (ч. 3 ст. 6 Закона о персональных данных) и обязаны соблюдать конфиденциальность и меры защиты:

• хостинг-провайдер, на серверах которого размещены базы данных и файлы Площадки: ООО «ТАЙМВЭБ.КЛАУД», Российская Федерация;
• ООО НКО «ЮМани» (сервис ЮKassa, Российская Федерация) — приём оплаты платных услуг и отправка кассовых чеков;
• FASHN LTD (Великобритания) и привлечённые им подрядчики (США, Европейский союз, Сингапур) — генерация изображений виртуальной примерки: фото пользователя и фото товара;
• Resend, Inc. (США) — доставка служебных писем: адрес электронной почты, имя, текст письма.

6.2. Другим пользователям данные становятся доступны в объёме, указанном в согласии на распространение и в разделе 4: публичный профиль и объявления — всем посетителям; сообщения — только собеседнику; телефон — вошедшим пользователям по запросу, если продавец это разрешил.

6.3. Данные предоставляются государственным органам только в случаях и порядке, установленных законом, по мотивированному запросу.

7. Трансграничная передача и локализация

7.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).

7.2. Трансграничная передача осуществляется только для виртуальной примерки (FASHN LTD и его подрядчики) и доставки служебных писем (Resend, Inc.) — в объёме, необходимом для этих целей. Великобритания является стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных; США и Сингапур не относятся к государствам, обеспечивающим адекватную защиту прав субъектов персональных данных. Передача в эти страны осуществляется с согласия пользователя и для исполнения договора с ним, после уведомления уполномоченного органа по защите прав субъектов персональных данных (ст. 12 Закона о персональных данных). Пользователь, не согласный на трансграничную передачу фото, может не пользоваться виртуальной примеркой.

8. Удаление аккаунта и обезличивание

При удалении аккаунта (раздел «Настройки» → «Удалить аккаунт») Оператор незамедлительно: снимает объявления с публикации; удаляет из хранилища фото и видео объявлений, фото профиля, фото и результаты примерки; стирает имя, адрес электронной почты, телефон, профиль, параметры подбора, избранное, сохранённые поиски, уведомления и заявку владельца места; завершает все сессии. Запись аккаунта сохраняется в обезличенном виде («Удалённый пользователь»), так как на неё ссылаются сообщения, отзывы и сделки других пользователей. Сведения о платежах хранятся в течение срока, указанного в пункте 4.6.

9. Cookie и аналогичные технологии

Площадка использует только технически необходимые cookie: идентификатор сессии (вход в аккаунт), защиту от подделки запросов и адрес возврата после входа. Без них вход и защита аккаунта невозможны. Площадка не использует рекламные и аналитические cookie, счётчики сторонних систем аналитики и не передаёт cookie третьим лицам. Пользователь может удалить cookie в настройках браузера — после этого потребуется войти заново.

10. Права пользователя

Пользователь как субъект персональных данных вправе:

• получить сведения об обработке своих данных (ч. 7 ст. 14 Закона о персональных данных), в том числе самостоятельно — выгрузкой «Скачать мои данные» в разделе «Настройки»;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку и согласие на распространение персональных данных;
• установить запреты и условия распространения своих данных и потребовать прекратить их распространение (ст. 10.1 Закона о персональных данных);
• обжаловать действия или бездействие Оператора в Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в суде.

Большую часть данных пользователь может изменить или удалить сам в личном кабинете. Запрос можно направить на адрес arahimov260297@gmail.com с адреса электронной почты, указанного в аккаунте (для подтверждения личности), или письмом по адресу: г.Ижевск ул.Карла Маркса, д.126. Оператор отвечает в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ст. 14, 20 Закона о персональных данных).

11. Отзыв согласия

Согласие отзывается удалением аккаунта или письменным заявлением на адрес Оператора. Оператор прекращает обработку и уничтожает данные в течение 30 дней с даты получения отзыва, если иное не предусмотрено законом. Оператор вправе продолжить обработку без согласия при наличии иных оснований, указанных в разделе 3, — в частности, хранить сведения о платежах в течение установленного законом срока. Отзыв согласия не влияет на законность обработки, выполненной до его отзыва.

12. Меры защиты

Оператор принимает правовые, организационные и технические меры (ст. 18.1, 19 Закона о персональных данных):

• назначает лицо, ответственное за организацию обработки персональных данных;
• передаёт данные только по защищённому соединению (HTTPS, HSTS); применяет политику безопасности содержимого (CSP) и защиту от подделки межсайтовых запросов;
• хранит пароли только в виде хэшей по алгоритму Argon2id;
• хранит фото для примерки в закрытом хранилище без публичного доступа — их видит только владелец; удаляет метаданные (в том числе геолокацию) из загружаемых изображений и видео;
• ограничивает частоту запросов (вход, регистрация, сообщения, просмотр телефонов) для защиты от подбора паролей, спама и сбора данных; разграничивает доступ администраторов и ведёт журнал их действий;
• создаёт резервные копии и проверяет возможность восстановления;
• при выявлении неправомерной передачи (утечки) персональных данных уведомляет Роскомнадзор в течение 24 часов, а о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона о персональных данных).

13. Изменение Политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на Площадке, если иное не указано в ней. Действующая редакция всегда доступна по адресу https://naparkete.store/privacy. Если изменения требуют нового согласия, Оператор запросит его отдельно.