1. Общие положения
1.1. Настоящая Политика (далее – «Политика») определяет порядок обработки и меры по обеспечению безопасности персональных данных пользователей Сайта https://grassigrosso.com (далее – «Сайт»).
1.2. Оператор персональных данных: ООО «Грасси», ОГРН 1239100014548, ИНН 9102292969, адрес: Республика Крым, г. Симферополь, ул. Кубанская, д. 25, электронная почта для обращений по вопросам обработки персональных данных: office@grassigrosso.com (далее – «Оператор»).
1.3. Политика разработана с учетом требований законодательства Российской Федерации, включая Федеральный закон от 27.07.2006 № 152‑ФЗ «О персональных данных», а также требований к локализации персональных данных граждан РФ и иных применимых норм.
1.4. Оператор обеспечивает общедоступность Политики и размещает ее в сети Интернет по адресу страницы, на которой опубликован настоящий документ.
1.5. Предоставляя персональные данные через формы на Сайте и/или продолжая использование Сайта в случаях, когда для соответствующей обработки предусмотрено согласие, Пользователь выражает добровольное, информированное и конкретное согласие на обработку персональных данных на условиях настоящей Политики.
1.6. Если Пользователь не согласен с условиями Политики, он должен воздержаться от использования Сайта и не предоставлять персональные данные.
1.7. Политика применяется только к Сайту. Оператор не контролирует и не несет ответственности за сайты третьих лиц, на которые Пользователь может перейти по ссылкам с Сайта.
2. Термины и определения
2.1. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. Обработка персональных данных – любое действие (операция) или совокупность действий с персональными данными с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление/доступ), обезличивание, блокирование, удаление, уничтожение.
2.3. Оператор – лицо, самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных, а также определяющее цели обработки и состав обрабатываемых данных.
2.4. Пользователь – любое лицо, посещающее Сайт и/или использующее его функциональность.
2.5. Персональные данные, разрешенные субъектом для распространения – персональные данные, доступ к которым предоставлен неограниченному кругу лиц субъектом персональных данных путем дачи отдельного согласия в порядке, предусмотренном законодательством РФ.
2.6. Cookie-файлы – небольшие файлы, размещаемые на устройстве Пользователя при посещении Сайта, позволяющие обеспечить корректную работу Сайта, запоминать настройки и собирать статистику.
3. Права и обязанности Оператора
3.1. Оператор вправе:
- получать от Пользователя достоверные сведения, необходимые для достижения целей обработки;
- поручать обработку персональных данных третьим лицам при соблюдении требований законодательства РФ;
- продолжать обработку персональных данных без согласия Пользователя при наличии предусмотренных законом оснований (например, для исполнения договора или исполнения обязанностей по закону);
- самостоятельно определять необходимые и достаточные меры для обеспечения выполнения обязанностей Оператора.
3.2. Оператор обязан:
- обеспечивать обработку персональных данных на законной и справедливой основе;
- обеспечивать неограниченный доступ к Политике;
- принимать правовые, организационные и технические меры для защиты персональных данных;
- рассматривать обращения и запросы субъектов персональных данных в сроки и порядке, установленные законодательством;
- прекращать обработку и уничтожать персональные данные в случаях, предусмотренных законодательством.
4. Права и обязанности субъектов персональных данных
4.1. Пользователь вправе:
- получать информацию, касающуюся обработки его персональных данных;
- требовать уточнения, блокирования или уничтожения данных в случаях, предусмотренных законом;
- отозвать согласие на обработку персональных данных;
- возражать против обработки персональных данных для целей прямого маркетинга;
- обжаловать действия или бездействие Оператора в уполномоченный орган или суд.
4.2. Пользователь обязуется предоставлять достоверные данные и своевременно уведомлять Оператора об их изменении.
5. Принципы обработки персональных данных
5.1. Оператор придерживается следующих принципов обработки персональных данных:
- законность и справедливость;
- обработка только для заранее определенных и законных целей;
- недопустимость обработки, несовместимой с целями сбора;
- недопустимость объединения баз данных с несовместимыми целями;
- обработка только тех данных, которые необходимы для целей обработки (минимизация);
- обеспечение точности и актуальности;
- хранение в форме, позволяющей определить субъекта, не дольше, чем требуется целями обработки;
- уничтожение или обезличивание по достижении целей, если иное не предусмотрено законом.
6. Категории субъектов, категории данных и цели обработки
6.1. Оператор обрабатывает персональные данные в рамках целей, оснований, категорий и сроков, указанных ниже.
| Цель обработки | Субъекты | Персональные данные | Способ | Основание | Срок хранения |
|---|---|---|---|---|---|
| Обработка обращений/заявок (консультации, обратная связь) | посетители / потенциальные клиенты | ФИО, телефон, e-mail, содержание обращения, дата/время обращения | автоматизированная / смешанная | согласие; заключение/исполнение договора по инициативе субъекта | до 3 лет с даты обращения, если иной срок не требуется по закону |
| Регистрация / личный кабинет (при наличии) | пользователи | ФИО, e-mail, телефон, учетные идентификаторы, история действий | автоматизированная | договор (предоставление сервиса); согласие (для доп. целей) | пока аккаунт активен + до 3 лет после удаления / последней активности |
| Оформление и исполнение заказа | клиенты | ФИО, контакты, адрес доставки, данные заказа, переписка | автоматизированная / смешанная | договор; требования закона | до 5 лет (или дольше, если требуется налоговым / бухгалтерским учетом) |
| Онлайн-оплата через платежных провайдеров (в будущем) | клиенты | идентификаторы заказа, сумма/статус, технические идентификаторы транзакции; реквизиты карты Оператор не получает/не хранит | автоматизированная | договор; закон | до 5 лет по требованиям учета / защиты прав |
| Маркетинговые коммуникации (email/SMS/мессенджеры) – только при отдельном согласии | подписчики / клиенты | e-mail, телефон, имя, история взаимодействий | смешанная | отдельное согласие; ФЗ «О рекламе» | до отзыва согласия, но не более 10 лет |
| Таргетированная реклама / лидогенерация – при согласии | посетители | cookie/идентификаторы, IP, события на сайте, город (если указан) | автоматизированная | согласие | до 10 лет либо до отзыва согласия |
| Обеспечение безопасности и работоспособности Сайта | посетители | IP, user-agent, cookie, данные логов, сведения об ошибках | автоматизированная | законный интерес; закон | до 3 лет (или меньше при необходимости) |
| Веб-аналитика и улучшение качества (Яндекс.Метрика и аналоги) | посетители | IP (в т.ч. сокращенный), cookie, параметры сессии, события | автоматизированная | согласие; законный интерес (для строго необходимых метрик) | обычно до 24 месяцев с даты последнего посещения |
| Публикация отзывов / фото / кейсов (ПД для распространения) | клиенты | имя/псевдоним, текст отзыва, фото (если предоставлено) | смешанная | отдельное согласие по ст. 10.1 152‑ФЗ | до отзыва согласия или до удаления материала |
7. Условия обработки, конфиденциальность и передача третьим лицам
7.1. Оператор обеспечивает конфиденциальность персональных данных, за исключением случаев, когда раскрытие необходимо по закону либо осуществляется с согласия субъекта.
7.2. Оператор вправе поручать обработку персональных данных третьим лицам (обработчикам) на основании договора поручения обработки, предусматривающего обязанности по конфиденциальности и безопасности.
7.3. К числу потенциальных категорий третьих лиц могут относиться: хостинг-провайдеры и провайдеры инфраструктуры, подрядчики по разработке и поддержке, сервисы веб-аналитики (в т.ч. Яндекс.Метрика), сервисы рассылок, колл-центры, логистические партнеры, платежные провайдеры (при подключении оплаты), а также госорганы в случаях, предусмотренных законом.
7.4. Оператор не продает персональные данные и не передает их третьим лицам для целей, не совместимых с указанными в Политике.
7.5. В случае реорганизации, отчуждения бизнеса или передачи активов персональные данные могут быть переданы правопреемнику при условии соблюдения им настоящей Политики и требований законодательства РФ.
8. Локализация и трансграничная передача
8.1. При сборе персональных данных граждан РФ Оператор обеспечивает их первичную запись, систематизацию, накопление и хранение с использованием баз данных, находящихся на территории Российской Федерации.
8.2. Трансграничная передача персональных данных допускается при соблюдении требований законодательства РФ и при наличии надлежащих правовых оснований. При необходимости Оператор запрашивает отдельное согласие и/или обеспечивает иные предусмотренные законом условия.
9. Обработка cookie и средств веб-аналитики
9.1. Сайт использует cookie и аналогичные технологии (включая пиксели/теги/SDK, если будут подключены) для обеспечения функционирования, безопасности, статистики и маркетинга.
9.2. Категории cookie:
- строго необходимые (технические) – для корректной работы Сайта;
- функциональные – для запоминания настроек;
- аналитические – для анализа использования Сайта (например, Яндекс.Метрика и аналоги);
- маркетинговые – для персонализации рекламы (при подключении).
9.3. Пользователь может ограничить использование cookie в настройках браузера. При этом отдельные функции Сайта могут работать некорректно.
9.4. Если на Сайте реализован баннер/панель согласий, выбор Пользователя фиксируется и применяется к соответствующим категориям cookie.
10. Автоматизированная обработка и профилирование
10.1. Оператор может использовать автоматизированные средства обработки (включая системы аналитики и сегментации) для повышения качества сервиса.
10.2. Оператор не принимает решения, порождающие юридические последствия для субъекта или иным образом существенно затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки без участия человека, если иное прямо не допускается законом.
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
11.2. Перечень мер может включать (в зависимости от применимых процессов и ИСПДн):
- назначение ответственного за организацию обработки и обеспечение безопасности персональных данных;
- принятие локальных актов и регламентов (в т.ч. порядок доступа, порядок реагирования на инциденты);
- ограничение доступа по принципу необходимости и минимальных привилегий;
- учет и регистрация действий пользователей/администраторов в ИСПДн (где применимо);
- оценка угроз безопасности и актуализация мер защиты;
- антивирусная защита, межсетевое экранирование, резервное копирование;
- использование защищенных протоколов передачи (TLS/HTTPS);
- обучение сотрудников, имеющих доступ к персональным данным;
- заключение соглашений о конфиденциальности с сотрудниками и подрядчиками.
12. Порядок реализации прав субъектов и рассмотрения обращений
12.1. Пользователь может направить запрос, обращение или отзыв согласия по адресу электронной почты: office@grassigrosso.com.
12.2. Для идентификации заявителя Оператор вправе запросить дополнительные сведения, позволяющие подтвердить, что обращение исходит от субъекта персональных данных или его представителя.
12.3. Срок рассмотрения обращений – в пределах сроков, установленных законодательством РФ (как правило, до 30 календарных дней, если иной срок не установлен законом).
12.4. В случае необходимости Оператор вправе продлить срок рассмотрения запроса в порядке и пределах, допустимых законодательством, уведомив заявителя.
13. Актуализация, исправление, блокирование и уничтожение персональных данных
13.1. В случае подтверждения факта неточности персональные данные подлежат актуализации.
13.2. Персональные данные подлежат уничтожению или обезличиванию при достижении целей обработки либо при утрате необходимости в их достижении, если иное не предусмотрено законом.
13.3. Уничтожение осуществляется способом, исключающим возможность восстановления содержания персональных данных и/или с уничтожением материальных носителей (если применимо).
14. Обработка данных несовершеннолетних
14.1. Сайт не предназначен для целенаправленного использования лицами младше 14 лет. Оператор не осуществляет осознанный сбор персональных данных таких лиц без согласия законных представителей.
14.2. Если Оператору станет известно, что персональные данные несовершеннолетнего получены без соответствующего согласия, Оператор примет меры к их удалению (при отсутствии иных законных оснований для обработки).
15. Досудебный порядок урегулирования споров
15.1. До обращения в суд заинтересованная сторона обязана направить претензию на адрес электронной почты office@grassigrosso.com (или по почтовому адресу Оператора при необходимости).
15.2. Срок рассмотрения претензии – 30 календарных дней с даты получения, если иной срок не установлен законом.
16. Заключительные положения
16.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения на Сайте, если иное не предусмотрено новой редакцией.
16.2. Продолжение использования Сайта после вступления в силу новой редакции означает согласие Пользователя с ее условиями.
16.3. К настоящей Политике и отношениям, связанным с обработкой персональных данных, применяется право Российской Федерации.