Политика обработки персональных данных

1. Общие положения

1.1. Политика Акционерного общества «Кладовая групп», юридического лица, учрежденного и осуществляющего свою деятельность в соответствии с законодательством Российской Федерации, ОГРН 1261600011793, ИНН 1673009802, зарегистрированного по адресу: Российская Федерация, 422542, Республика Татарстан, г. Зеленодольск, ул. Ленина, д. 63 (далее — Политика), разработана и утверждена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, защиту чести и доброго имени.

1.2. Политика определяет порядок обработки и защиты персональных данных различных категорий субъектов, за исключением работников, уволенных работников и родственников работников Оператора.

1.3. Политика может быть изменена Оператором. Новая редакция вступает в силу с момента её размещения в публичном доступе.

1.4. Политика является частью Пользовательского соглашения — принимая его (совершая акцепт оферты), Пользователь выражает согласие с условиями Политики.

1.5. Регистрируясь или находясь на сайте kladovaya.ru и/или в мобильном приложении «Кладовая», Пользователь выражает безоговорочное согласие с настоящей Политикой и условиями обработки его персональных данных, указанными в ней.

Настоящая Политика применима к веб-сайтам Оператора, которые получают данные от Пользователей и имеют ссылку на настоящую Политику. Она не применяется к сайтам Оператора без ссылки на неё либо с собственной политикой обработки данных.

1.6. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после её утверждения.

1.7. Настоящая Политика публикуется в свободном доступе в сети интернет на сайте Оператора и является общедоступным документом.

Основные понятия

2. Цели сбора персональных данных

2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Обработка данных, несовместимая с целями их сбора, не допускается.

2.2. Обработке подлежат только данные, которые отвечают целям их обработки. Оператор обрабатывает персональные данные для целей, указанных в Приложении 1 к настоящей Политике.

2.3. Персональные данные могут обрабатываться Оператором также в иных целях, установленных утверждённым Перечнем персональных данных, обрабатываемых Оператором.

2.4. В Перечне персональных данных для каждой цели обработки определены: категории субъектов, перечень категорий обрабатываемых данных, правовые основания обработки, способы обработки, сроки обработки (хранения) и порядок уничтожения данных.

2.5. Перечень персональных данных пересматривается ответственным лицом не реже одного раза в год и по мере необходимости при изменении процессов обработки, с целью обеспечения точности, достоверности и актуальности данных.

2.6. Оператор вправе в указанных целях вносить персональные данные в информационные системы, хранить и обрабатывать их любыми не противоречащими законодательству способами. По достижении целей обработки данные подлежат уничтожению, если иное не предусмотрено законодательством. Дополнительные данные, предоставленные субъектом по своей инициативе и не требуемые для цели обработки, будут незамедлительно уничтожены или заблокированы после рассмотрения обращения.

2.7. Оператор осуществляет сбор персональных данных Пользователей на сайте при регистрации и в дальнейшем — при внесении Пользователем дополнительных сведений о себе с помощью инструментов сайта, а также может получать данные Пользователей от третьих лиц.

3. Правовые основания обработки персональных данных

3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, в соответствии с которыми Оператор осуществляет обработку, в том числе:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
• Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

3.2. Правовым основанием обработки персональных данных также являются:

• договоры, заключаемые между Оператором и субъектами персональных данных, в том числе Пользовательское соглашение;
• согласие субъектов персональных данных на обработку их данных;
• осуществление прав и законных интересов Оператора или третьих лиц либо достижение общественно значимых целей при условии, что не нарушаются права и свободы субъекта.

3.3. Для целей выполнения соглашений с субъектом персональных данных, в случаях, когда он является прямо или косвенно выгодоприобретателем либо поручителем, обработка может производиться без согласия субъекта по тем данным, которые были получены от него или предоставлены Покупателем (Продавцом) добровольно с уведомлением субъекта, в том числе по Пользовательскому соглашению.

4. Инструменты анализа пользовательской активности сайта

4.1. Оператор может использовать на сайте Cookies. Cookies позволяют веб-серверу передавать данные на компьютер для хранения и других целей. Мы используем Cookies и другие технологии для обеспечения более высокого уровня обслуживания и предоставления полной информации. Отказаться от использования Cookies можно стандартными средствами браузера.

4.2. Оператор использует следующие виды средств веб-аналитики:

4.2.1. Технические и функциональные cookie-файлы — используются для обеспечения бесперебойной работы сайта и запоминания выбранных пользователем настроек.

4.2.2. Маркетинговые и аналитические cookie-файлы и пиксели — для сбора и статистического анализа данных используется сервис Яндекс.Метрика. Собираемые данные могут получать и обрабатывать третьи лица-провайдеры таких систем (в частности, ООО «Яндекс»). Также могут использоваться пиксели дополнительных сервисов.

4.3. Оператор может привлекать сторонние рекламные агентства к работе с информационными блоками на сайте и в мобильном приложении. Такие агентства могут использовать сведения о посещениях сайта для размещения релевантных блоков о продуктах и услугах.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.

5.2. Оператор осуществляет автоматизированную, неавтоматизированную и смешанную обработку персональных данных.

5.3. В зависимости от цели обработки Оператор может совершать следующие действия с персональными данными: запись, сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (в том числе трансграничную), получение, блокирование, удаление, уничтожение.

5.4. Оператор не принимает на основании исключительно автоматизированной обработки решения, порождающие юридические последствия в отношении субъекта или иным образом затрагивающие его права и законные интересы.

5.5. Оператор не размещает персональные данные на сайте, в мобильном приложении и иных общедоступных источниках без согласия субъекта или соответствующих требований законодательства. Оператор не несёт ответственности за возможный вред, причинённый Пользователю третьими лицами вследствие использования персональных данных, опубликованных самим Пользователем.

5.6. Оператор может осуществлять записи телефонных переговоров с Покупателем и иными лицами, обращающимися в колл-центр, обязуясь предотвращать несанкционированный доступ к такой информации в соответствии с п. 4 ст. 16 ФЗ «Об информации, информационных технологиях и о защите информации».

5.7. Оператор не осуществляет обработку биометрических персональных данных и специальных категорий данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) в целях предоставления сайта и приложения, за исключением случаев, предусмотренных законодательством РФ.

5.8. При сборе персональных данных, в том числе через сеть Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе о персональных данных.

5.9. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит такая обработка.

Обработка осуществляется путём:

• получения персональных данных в устной и письменной форме непосредственно от субъектов;
• получения данных из общедоступных источников;
• внесения данных в журналы, реестры и информационные системы Оператора;
• получения данных в электронном виде через сайт и мобильное приложение;
• использования иных способов обработки персональных данных.

Принципы обработки персональных данных

• законность и справедливость целей и способов обработки;
• добросовестность;
• соответствие целей обработки заранее определённым и заявленным при сборе данных, а также полномочиям Оператора;
• соответствие объёма и характера обрабатываемых данных способам и целям обработки;
• недопустимость объединения баз данных, созданных для несовместимых между собой целей;
• недопущение избыточности обрабатываемых данных по отношению к заявленным целям;
• обеспечение точности, достаточности и актуальности данных, устранение неполных или неточных данных;
• хранение данных не дольше, чем того требуют цели обработки, если иной срок не установлен законом, согласием или договором;
• уничтожение данных по достижении целей обработки или утрате необходимости в них;
• недопущение использования обработки для причинения вреда субъектам или затруднения реализации их прав.

6. Передача персональных данных

6.1. Обработка информации осуществляется Оператором, а также иными третьими лицами, привлекаемыми Оператором к обработке или получающими данные в соответствии с законодательством РФ. К числу таких лиц могут относиться:

• аффилированные бизнесы группы, включая дочерние — для внутригруппового взаимодействия и корпоративного управления;
• продавцы сайта;
• организации, осуществляющие проведение расчётов между Покупателем и сайтом;
• курьерские службы и курьеры, осуществляющие доставку и выдачу товаров;
• контрагенты Оператора, оказывающие услуги поддержки информационных систем, хостинга, юридические, аудиторские и иные услуги;
• государственные/муниципальные органы власти в случаях, установленных законодательством.

6.2. Оператор вправе привлекать третьих лиц к обработке полученных данных и/или передавать им данные, а также получать от них данные без дополнительного согласия субъекта, при условии обеспечения такими лицами конфиденциальности и безопасности данных. Обработка третьими лицами возможна только на основании договора, определяющего перечень действий, цели обработки и меры безопасности данных, включая требования не раскрывать и не распространять данные без согласия субъекта.

6.3. Оператор вправе поручить обработку персональных данных обработчикам на основании заключаемых договоров. Обработчики обязуются соблюдать принципы и правила обработки, предусмотренные Законом о персональных данных (включая ст. 18.1 и ч. 5 ст. 18). Обработчик не обязан получать согласие субъекта — если такое согласие необходимо, его получает непосредственно Оператор.

6.4. Оператор может осуществлять трансграничную передачу персональных данных, в том числе в страны, не обеспечивающие адекватную защиту прав субъектов, для исполнения договора, на основании согласия субъекта или при наличии иного правового основания.

6.5. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Пенсионный фонд РФ, Фонд социального страхования и иные уполномоченные органы осуществляется строго в соответствии с требованиями законодательства Российской Федерации.

7. Права субъекта персональных данных

7.1. При обработке персональных данных субъекты вправе:

• запросить информацию, касающуюся обработки их персональных данных;
• потребовать уточнения, уничтожения или блокирования данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели обработки;
• отозвать предоставленные Оператору согласия на обработку персональных данных;
• обжаловать действия Оператора в административном или судебном порядке.

7.2. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе: подтверждения факта обработки; правовых оснований и целей обработки; применяемых способов обработки; наименования и места нахождения Оператора, сведений о лицах, имеющих доступ к данным; обрабатываемых данных и источника их получения; сроков обработки и хранения; порядка осуществления своих прав; сведений о трансграничной передаче данных; наименования лица, осуществляющего обработку по поручению Оператора; способов исполнения обязанностей, установленных ст. 18.1 Закона о персональных данных; иных сведений, предусмотренных законом.

7.3. В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам, за исключением случаев, когда имеются законные основания для их раскрытия.

7.4. Информация об обработке персональных данных субъекта предоставляется ему или его законному представителю Оператором при обращении, либо при получении соответствующего запроса.

7.5. Субъект персональных данных вправе требовать от Оператора уточнения, блокирования или уничтожения его данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели обработки. При подтверждении факта неточности Оператор уточняет данные в течение 7 рабочих дней со дня представления сведений и снимает блокирование.

7.6. Для реализации указанных прав субъекту необходимо направить Оператору обращение одним из способов:

• в письменной форме, подписанное собственноручно — по адресу: Российская Федерация, 422542, Республика Татарстан, г. Зеленодольск, ул. Ленина, д. 63;
• в виде электронного документа, подписанного электронной подписью — на электронную почту Оператора: info@kladovaya.ru.

7.7. Если обращение не содержит всех необходимых сведений или субъект не обладает правом доступа к запрашиваемой информации, ему направляется мотивированный отказ. Право субъекта на доступ к своим данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ нарушает права и законные интересы третьих лиц.

7.8. При выявлении неправомерной обработки персональных данных по обращению субъекта, его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых данных с момента такого обращения.

7.9. При достижении целей обработки, а также при отзыве согласия персональные данные подлежат уничтожению, если иное не предусмотрено договором или иными основаниями, установленными Законом о персональных данных.

7.10. При отзыве согласия Оператор обязуется прекратить обработку и уничтожить данные в срок не более 30 дней с даты поступления отзыва, если иное не предусмотрено договором.

7.11. При обращении с требованием о прекращении обработки Оператор обязан в срок не более 10 рабочих дней прекратить обработку или обеспечить её прекращение, за исключением случаев, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Закона о персональных данных. Срок может быть продлён не более чем на 5 рабочих дней при мотивированном уведомлении субъекта. Требование о прекращении обработки влечёт удаление учётной записи, что делает невозможным дальнейшее пользование сайтом и мобильным приложением.

8. Сведения о реализуемых требованиях к защите персональных данных

8.1. Важным условием реализации целей деятельности Оператора является обеспечение необходимого и достаточного уровня безопасности информационных систем персональных данных, соблюдение конфиденциальности, целостности и доступности обрабатываемых данных и сохранности их носителей на всех этапах работы.

8.2. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий. Оператор регулярно пересматривает и актуализирует принимаемые меры.

8.3. К таким мерам относятся, в частности:

• учёт обрабатываемых категорий и перечня персональных данных, категорий субъектов, сроков хранения и порядка уничтожения данных;
• разработка моделей угроз и определение угроз безопасности при обработке данных в информационных системах;
• применение организационных и технических мер безопасности, обеспечивающих установленные уровни защищённости персональных данных;
• внедрение мер защиты перед введением новых процессов обработки и новых информационных систем;
• оценка и документирование возможного вреда субъектам в случае нарушения Закона о персональных данных;
• принятие локальных нормативных актов, регулирующих обработку и защиту персональных данных;
• назначение лиц, ответственных за безопасность персональных данных в структурных подразделениях;
• применение прошедших оценку соответствия средств защиты информации;
• оценка эффективности мер безопасности до ввода информационной системы в эксплуатацию;
• обнаружение фактов несанкционированного доступа к данным и принятие мер;
• восстановление данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• установление правил доступа к данным, регистрация и учёт всех действий с ними в информационной системе;
• контроль за принимаемыми мерами безопасности и уровнем защищённости информационных систем;
• учёт машинных носителей персональных данных и документов, содержащих такие данные;
• организация пропускного и внутриобъектового режимов на территории Оператора;
• размещение технических средств обработки данных в пределах охраняемой территории;
• поддержание технических средств охраны и сигнализации в постоянной готовности;
• мониторинг действий пользователей, разбирательства по фактам нарушения требований безопасности;
• учёт должностей работников, доступ которых к персональным данным необходим для выполнения трудовых обязанностей;
• ознакомление работников под роспись с положениями законодательства о персональных данных, настоящей Политикой и локальными актами, их обучение;
• прекращение обработки и уничтожение данных в случаях, предусмотренных законодательством РФ;
• регулярный внутренний контроль и аудит соответствия обработки и защиты данных действующему законодательству;
• публикация и обеспечение неограниченного доступа к настоящей Политике;
• совершение иных действий, предусмотренных законодательством РФ в области персональных данных.

8.4. Оператор назначил лицо, ответственное за организацию обработки персональных данных.

8.5. Во внутренних документах Оператора, а также в соглашениях с партнёрами и контрагентами определяются процедуры: предоставления доступа к информации; внесения изменений в персональные данные; уничтожения либо блокирования данных; обработки обращений субъектов и их представителей; обработки запросов уполномоченного органа по защите прав субъектов; получения согласия субъекта на обработку данных; передачи данных третьим лицам; работы с материальными носителями данных; уведомления уполномоченного органа в установленные законом сроки.

9. Изменение политики

9.1. Оператор вправе в одностороннем порядке в любой момент изменять условия Политики для актуализации в соответствии с действующим законодательством. Оператор рекомендует регулярно проверять содержание настоящей Политики на предмет возможных изменений.

9.2. Новая редакция Политики вступает в силу с момента её размещения на сайте Оператора, если иное не предусмотрено новой редакцией.

9.3. Актуальная версия Политики действует бессрочно до замены её новой версией.

10. Доступ к политике

10.1. Настоящая Политика публикуется в свободном доступе в сети интернет на сайте Оператора и является общедоступным документом.

10.2. Политика доступна при переходе по ссылке: kladovaya.ru/privacy.

11. Обратная связь

11.1. В случае возникновения любых вопросов и обращений касательно обработки персональных данных, в частности для отзыва согласия на обработку, субъект вправе обратиться к Оператору путём:

• написания письма на адрес электронной почты: info@kladovaya.ru;
• подачи письменного уведомления по адресу: Российская Федерация, 422542, Республика Татарстан, г. Зеленодольск, ул. Ленина, д. 63;
• иными способами, предусмотренными законом или Политикой.

11.2. При наличии подписок на рекламные коммуникации субъект может дополнительно обратиться с просьбой об отписке путём активации функции «Отписаться» по ссылке в письме, содержащем коммуникацию. В этом случае прекращается направление коммуникаций на адрес электронной почты, с которого была активирована функция.

§ Приложение 1. Цели обработки персональных данных

Перечень целей обработки персональных данных, категорий субъектов, правовых оснований и сроков хранения — в соответствии с п. 2.2 настоящей Политики.