Политика безопасности и обработки персональных данных

сайта avtokran-zapchasti.ru, включая использование cookie и аналитики Яндекс.Метрики

Настоящая Политика является общедоступным документом и определяет порядок обработки и защиты персональных данных Обществом с ограниченной ответственностью «Ивспецкран» при использовании сайта avtokran-zapchasti.ru, его интернет-магазина, личного кабинета, корзины, форм обратной связи, сервисов подписки и веб-аналитики.

1. Общие положения

1.1. Настоящая Политика обработки персональных данных и обеспечения их безопасности (далее — Политика) разработана во исполнение Конституции Российской Федерации, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе», Гражданского кодекса Российской Федерации, Налогового кодекса Российской Федерации и иных применимых нормативных правовых актов Российской Федерации.

1.2. Политика применяется ко всей информации, относящейся прямо или косвенно к определенному или определяемому физическому лицу, которую Оператор получает через сайт https://avtokran-zapchasti.ru/ и связанные с ним страницы, формы, программные модули и каналы взаимодействия.

1.3. Использование отдельных функций сайта допускается без предоставления идентифицирующих сведений. Для оформления заказа, регистрации, получения обратной связи, доставки товара или подписки может потребоваться предоставление данных в объеме, обозначенном в соответствующей форме.

1.4. Политика действует в отношении обработки с использованием средств автоматизации и без их использования, если неавтоматизированная обработка по своему характеру соответствует действиям, совершаемым с персональными данными с использованием средств автоматизации.

2. Сведения об Операторе

2.1. ООО «Ивспецкран» самостоятельно определяет цели обработки персональных данных, состав данных и действия с ними и является оператором персональных данных в смысле Федерального закона № 152-ФЗ.

3. Основные термины

Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.

Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

Пользователь — любое лицо, посещающее сайт или использующее его функции.

Cookie — небольшой фрагмент данных, сохраняемый браузером на устройстве Пользователя и передаваемый сайту при последующих обращениях.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Обезличивание — действия, в результате которых без использования дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту.

4. Принципы обработки персональных данных

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается заранее определенными, конкретными и законными целями;
• не допускается обработка данных, несовместимая с целями их сбора;
• состав и объем обрабатываемых данных соответствуют заявленным целям и не являются избыточными;
• обеспечиваются точность, достаточность и актуальность данных;
• данные хранятся не дольше, чем этого требуют цели обработки или законодательство;
• после достижения целей обработки данные удаляются, уничтожаются или обезличиваются, если иное не предусмотрено законом или договором.

5. Субъекты и категории персональных данных

5.1. Оператор может обрабатывать данные посетителей сайта; зарегистрированных пользователей; покупателей и потенциальных покупателей; получателей и представителей покупателей; подписчиков; лиц, направивших запрос, отзыв, претензию или заявку; представителей юридических лиц и индивидуальных предпринимателей; контрагентов и их представителей.

5.2. В зависимости от используемой функции сайта Оператор может обрабатывать: фамилию, имя и отчество; номер телефона; адрес электронной почты; адрес доставки и иные сведения о месте доставки; наименование организации, должность и реквизиты организации; сведения о получателе заказа; содержание сообщения, комментария или заявки; сведения о выбранных товарах, количестве, стоимости, способе доставки и оплаты; номер, дату и статус заказа; историю обращений и заказов; данные личного кабинета; идентификатор пользователя; хеш пароля; сведения о согласиях и их отзыве; технические и сетевые данные, перечисленные в разделе 9 Политики.

5.3. Оператор не запрашивает и не намерен обрабатывать через сайт сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости, а также биометрические персональные данные. Пользователю не следует сообщать такие сведения в свободных текстовых полях.

5.4. Реквизиты банковской карты Оператором через формы сайта не запрашиваются и не сохраняются. Если на сайте будет подключена онлайн-оплата, ввод и обработка платежных реквизитов осуществляются на защищенной странице банка или платежного провайдера по его правилам; Оператор может получать только сведения о факте, сумме и статусе платежа, идентификаторе операции и способе оплаты.

6. Источники получения данных

• непосредственно от Пользователя при заполнении и отправке форм сайта, регистрации, оформлении заказа, подписке, обращении по телефону или электронной почте;
• автоматически от устройства и браузера Пользователя при посещении сайта, если это необходимо для работы сайта либо разрешено Пользователем для аналитики;
• от представителя покупателя, плательщика или получателя, предоставляющего данные другого лица для исполнения заказа; такой представитель обязан иметь законные основания для передачи данных;
• от банков, платежных, транспортных, почтовых и курьерских организаций в части статуса оплаты или доставки, если это требуется для исполнения договора.

7. Цели, состав данных, основания и сроки обработки

8. Обработка данных во всех формах сайта и интернет-магазине

8.1. Настоящая Политика распространяется на все действующие и добавляемые на сайте формы, если рядом с формой размещена ссылка на Политику и форма используется для одной из перечисленных в ней целей. К таким формам, в частности, относятся: обратный звонок; «Напишите нам»; заявка или запрос цены; вопрос о товаре; подбор запчасти; заказ ремонта или услуги; регистрация и авторизация; восстановление доступа; подписка на новости; оформление заказа из корзины; указание покупателя, получателя, адреса, способа доставки и оплаты; форма отзыва, претензии или возврата.

8.2. Обязательные поля должны быть визуально отмечены. Оператор не должен требовать сведения, которые объективно не нужны для конкретной цели. Свободные текстовые поля сопровождаются предупреждением не указывать специальные категории персональных данных и избыточные сведения.

8.3. До отправки формы Пользователю предоставляются сведения об Операторе, цели и составе обработки, ссылках на настоящую Политику и отдельный текст согласия, сроке и способе отзыва согласия. Факт предоставления согласия фиксируется с указанием даты и времени, версии текста, формы, идентификатора события и доступных технических параметров. Согласие не должно быть включено в текст Политики, оферты или другого документа таким образом, который не позволяет выразить его отдельно.

8.4. Согласие на рекламные и информационные рассылки является добровольным, отдельным от согласия на обработку данных для заказа и не может быть условием покупки. Отметка о согласии на рекламу не устанавливается заранее.

8.5. При оформлении заказа Пользователь вправе указать данные получателя, отличного от покупателя. Пользователь подтверждает, что сообщил получателю сведения об Операторе и передает данные на законном основании. Оператор использует их только для связи, выдачи и доставки соответствующего заказа, если отсутствует иное основание.

9. Cookie и Яндекс.Метрика

9.1. Сайт использует обязательные cookie, необходимые для работы основных функций: поддержания сеанса, авторизации, сохранения корзины и выбранных настроек, защиты форм и предотвращения злоупотреблений. Отключение таких cookie в браузере может привести к неправильной работе сайта, корзины или личного кабинета.

9.2. С предварительного согласия Пользователя сайт может использовать аналитический сервис «Яндекс.Метрика», предоставляемый ООО «ЯНДЕКС», адрес: 119021, г. Москва, ул. Льва Толстого, д. 16. Сервис помогает оценивать посещаемость, источники переходов, использование страниц и элементов сайта, выявлять технические проблемы и улучшать удобство сайта.

9.3. При работе Яндекс.Метрики могут обрабатываться IP-адрес, cookie и иные онлайн-идентификаторы, тип и версия браузера, операционная система, тип устройства, разрешение экрана, язык, дата и время посещения, адрес запрошенной страницы, источник перехода, поисковая фраза, UTM-метки, действия на сайте, события электронной торговли и приблизительное географическое положение. Если активирован Вебвизор, могут записываться обезличенные действия на странице, включая клики, прокрутку и перемещение указателя. Оператор обязан настроить сервис так, чтобы в Яндекс.Метрику не передавалось содержимое полей форм, контактные, платежные и иные непосредственно идентифицирующие сведения.

9.4. До получения согласия код Яндекс.Метрики и иные необязательные аналитические технологии не должны сохранять или считывать необязательные cookie. В cookie-баннере Пользователю предоставляется равнозначная возможность принять все необязательные cookie, отклонить их либо изменить настройки. Продолжение просмотра само по себе не считается согласием.

9.5. Пользователь может изменить решение через ссылку «Настройки cookie» на сайте, удалить cookie в браузере или использовать средства блокирования. Отзыв не влияет на законность обработки, выполненной до отзыва.

9.6. Актуальные условия и политика конфиденциальности Яндекса размещены по адресам: https://yandex.ru/legal/metrica_termsofuse/ и https://yandex.ru/legal/confidential/. Оператор определяет допустимые настройки счетчика и получает только те отчеты, которые необходимы для заявленных целей.

10. Правовые основания обработки

• согласие субъекта персональных данных;
• необходимость обработки для заключения и исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе субъекта;
• исполнение обязанностей и осуществление прав Оператора, предусмотренных законодательством Российской Федерации;
• осуществление прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта;
• обработка данных, сделанных общедоступными самим субъектом, исключительно в пределах законной цели и при наличии соответствующего основания.

11. Действия с данными и способы обработки

11.1. Оператор может осуществлять сбор, получение, запись, систематизацию, накопление, хранение, уточнение, обновление, извлечение, использование, сопоставление, передачу уполномоченным получателям, предоставление доступа, обезличивание, блокирование, удаление и уничтожение персональных данных.

11.2. Обработка осуществляется смешанным способом: автоматизированно в информационных системах и без использования средств автоматизации в документах и при непосредственном взаимодействии с покупателем.

11.3. Решения, порождающие юридические последствия или иным образом затрагивающие права Пользователя, не принимаются исключительно на основании автоматизированной обработки, если иное прямо не предусмотрено законом или отдельным письменным согласием.

12. Получатели данных и поручение обработки

12.1. Оператор не распространяет персональные данные и не предоставляет к ним неограниченный доступ без отдельного законного основания.

12.2. В объеме, необходимом для конкретной цели, данные могут быть предоставлены или их обработка может быть поручена: провайдеру хостинга и технической поддержки сайта; поставщику CRM, электронной почты и телефонии; ООО «ЯНДЕКС» при использовании Яндекс.Метрики; банку или платежному провайдеру; транспортной, почтовой или курьерской организации; оператору фискальных данных; бухгалтерской, юридической, аудиторской или иной профессиональной организации; государственному органу при наличии предусмотренного законом требования.

12.3. Лицо, обрабатывающее данные по поручению Оператора, обязано соблюдать конфиденциальность, обеспечивать безопасность данных, обрабатывать их только по документированным указаниям Оператора и выполнять иные требования, предусмотренные статьей 6 Федерального закона № 152-ФЗ. Оператор передает каждому получателю только минимально необходимый объем данных.

12.4. Актуальный перечень конкретных обработчиков и получателей ведется Оператором во внутреннем реестре. При подключении нового сервиса до начала передачи данных оцениваются его условия, местонахождение баз данных, меры защиты и необходимость обновления настоящей Политики и согласий.

13. Локализация и трансграничная передача

13.1. При сборе персональных данных граждан Российской Федерации через Интернет Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом случаев.

13.2. Оператор не планирует трансграничную передачу персональных данных, собираемых через сайт. До начала такой передачи Оператор определяет правовое основание, проверяет иностранного получателя и государство назначения, выполняет предусмотренные законом уведомительные и иные обязанности и при необходимости обновляет Политику и получает отдельное согласие.

14. Сроки хранения, прекращение обработки и уничтожение

14.1. Конкретный срок определяется целью обработки, сроком действия согласия или договора, обязательными сроками хранения документов, сроком исковой давности, настройками информационной системы и необходимостью защиты прав Оператора и субъекта.

14.2. Если обработка основана только на согласии, при его отзыве Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней с даты поступления отзыва, если сохранение не допускается или не требуется по другому законному основанию. Если немедленное уничтожение невозможно, данные блокируются и уничтожаются в срок не более 6 месяцев, если иной срок не установлен законом.

14.3. При достижении цели обработки Оператор прекращает обработку и уничтожает данные в срок не более 30 дней, если иной срок не установлен договором, законом или соглашением с субъектом. Уничтожение оформляется способом, позволяющим подтвердить его совершение в предусмотренных законодательством случаях.

14.4. Данные в резервных копиях удаляются или становятся недоступными в рамках установленного цикла ротации резервных копий. До окончательного удаления они не используются для обычной деятельности, кроме восстановления после сбоя или выполнения требований закона.

15. Права субъекта персональных данных

• получать сведения об обработке своих персональных данных в объеме, установленном законом;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные либо не нужны для заявленной цели;
• отозвать согласие на обработку данных;
• отказаться от рекламных и информационных сообщений в любое время;
• возражать против обработки, основанной на законном интересе, с учетом предусмотренных законом исключений;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

16. Порядок обращений и отзыва согласия

16.1. Обращение можно направить на sale@avtokran-zapchasti.ru либо почтовым отправлением по адресу: Россия, 153022, г. Иваново, ул. Радищева, д. 8А, офис 8. В теме электронного письма рекомендуется указать «Персональные данные». Отказ от рассылки также возможен по ссылке «Отписаться» в сообщении, если такая ссылка предусмотрена.

16.2. Обращение должно позволять надежно определить заявителя и его данные, в отношении которых подан запрос. В нем рекомендуется указать ФИО, контакт для ответа, описание требования, сведения, подтверждающие отношения с Оператором, и подпись для бумажного обращения. Оператор вправе запросить дополнительные сведения, если без них невозможно удостоверить личность заявителя или исполнить требование, не раскрывая данные третьему лицу.

16.3. Оператор сообщает сведения или направляет мотивированный отказ в сроки, установленные законодательством Российской Федерации. Ответ предоставляется в той форме, в которой поступил запрос, если заявитель не указал иное.

16.4. Отзыв согласия не прекращает обработку сведений, которые Оператор обязан или вправе обрабатывать на ином основании, например для исполнения уже заключенного договора, ведения обязательного учета, рассмотрения претензии или защиты прав.

17. Меры безопасности

17.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий с учетом характера данных, актуальных угроз, применяемых технологий и затрат на реализацию мер.

• назначение лица, ответственного за организацию обработки персональных данных, и разграничение ответственности;
• утверждение локальных актов, перечней данных, целей, информационных систем, допущенных лиц и сроков хранения;
• оценка вреда, который может быть причинен субъектам, определение актуальных угроз и требуемого уровня защищенности;
• ограничение и учет доступа по принципу минимальных полномочий, использование индивидуальных учетных записей, надежной аутентификации и, где применимо, многофакторной аутентификации;
• защита каналов связи, использование актуальных протоколов шифрования, безопасное хранение паролей в виде стойких криптографических хешей;
• защита серверов, рабочих станций, почты и административных панелей, своевременное обновление программного обеспечения и устранение уязвимостей;
• антивирусная защита, межсетевое экранирование, журналирование событий, контроль действий администраторов и обнаружение подозрительной активности;
• резервное копирование, проверка восстановления, обеспечение доступности и целостности данных;
• контроль подрядчиков, договорное закрепление требований конфиденциальности и безопасности;
• обучение работников, допущенных к данным, и получение ими обязательств о конфиденциальности;
• периодическая проверка эффективности мер, внутренний контроль и актуализация документов;
• физическая защита помещений и носителей, безопасное уничтожение бумажных и электронных носителей.

17.2. Пользователь отвечает за сохранение конфиденциальности данных своей учетной записи. При подозрении на компрометацию пароля Пользователю следует незамедлительно сменить его и сообщить Оператору.

18. Нарушения безопасности персональных данных

18.1. Оператор регистрирует и расследует события, которые повлекли или могли повлечь неправомерную или случайную передачу, предоставление, распространение либо доступ к персональным данным.

18.2. При выявлении инцидента Оператор принимает меры по его локализации и устранению последствий, сохранению доказательств, оценке вреда, восстановлению безопасности и предотвращению повторения. В случаях и сроки, предусмотренные законом, Оператор уведомляет Роскомнадзор: первоначально — в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов.

19. Данные несовершеннолетних

19.1. Сайт предназначен для совершеннолетних пользователей и представителей организаций. Оператор сознательно не собирает через сайт данные малолетних. Если Оператору станет известно, что данные несовершеннолетнего предоставлены без надлежащего участия законного представителя и отсутствует иное законное основание, такие данные будут удалены.

20. Актуализация и действие Политики

20.1. Политика действует бессрочно до замены новой редакцией. Оператор пересматривает ее при изменении законодательства, целей и способов обработки, состава данных, используемых сервисов, обработчиков или архитектуры сайта.

20.2. Новая редакция размещается на сайте с указанием даты вступления в силу. Существенные изменения, затрагивающие условия ранее предоставленного согласия, применяются после получения нового согласия, когда оно требуется законом.

20.3. Действующая редакция должна быть постоянно доступна по прямой ссылке из нижней части каждой страницы сайта, из форм сбора данных, личного кабинета и страницы оформления заказа.

Приложение 1. Требования к размещению согласий и cookie-баннеру

1. Обязательное согласие под формой обращения

Флажок не установлен заранее. Рекомендуемый текст: «Я даю ООО „Ивспецкран“ согласие на обработку моих персональных данных, указанных в форме, для рассмотрения обращения и обратной связи на условиях Согласия на обработку персональных данных. С Политикой безопасности и обработки персональных данных ознакомлен(а)». Слова «Согласия» и «Политикой» должны вести на отдельные доступные страницы соответствующих документов.

2. Согласие при регистрации и создании личного кабинета

Рекомендуемый текст: «Я даю ООО „Ивспецкран“ согласие на обработку персональных данных для регистрации, предоставления доступа к личному кабинету и обслуживания учетной записи на условиях Согласия на обработку персональных данных. С Политикой безопасности и обработки персональных данных ознакомлен(а)». Принятие пользовательского соглашения, если оно применяется, оформляется отдельным действием или отдельным флажком.

3. Согласие при оформлении заказа в корзине

Рекомендуемый текст: «Я даю ООО „Ивспецкран“ согласие на обработку моих персональных данных, указанных при оформлении заказа, для подтверждения и исполнения заказа, расчетов, доставки, возврата и гарантийного обслуживания на условиях Согласия на обработку персональных данных. С Политикой безопасности и обработки персональных данных ознакомлен(а)». Если обработка отдельных данных необходима непосредственно для заключения и исполнения договора, интерфейс должен одновременно ясно сообщать об их обязательности и цели сбора.

4. Отдельное добровольное согласие на рекламу

Флажок не установлен заранее и не блокирует отправку заказа или обращения. Рекомендуемый текст: «Я согласен(на) получать от ООО „Ивспецкран“ новости, информацию о поступлениях и рекламные предложения по электронной почте и/или телефону и даю согласие на обработку контактных данных для этой цели. Согласие можно отозвать в любое время по ссылке в сообщении или письмом на sale@avtokran-zapchasti.ru». Каналы связи должны быть перечислены конкретно; при необходимости для каждого канала используется отдельный выбор.

5. Cookie-баннер

Рекомендуемый текст первого уровня: «Мы используем обязательные cookie для работы сайта и, с вашего согласия, аналитические cookie Яндекс.Метрики для оценки посещаемости и улучшения сайта. Подробнее — в Политике безопасности и обработки персональных данных». Кнопки первого уровня: «Принять все», «Только обязательные», «Настроить». Кнопки принятия и отказа должны быть сопоставимы по видимости и доступности.

В настройках отображаются категории «Обязательные» — всегда активны и «Аналитические / Яндекс.Метрика» — по умолчанию выключены. Пользователю должна быть доступна постоянная ссылка «Настройки cookie» для изменения решения. Система хранит запись о версии баннера, выбранных категориях, дате и времени выбора, но не дольше, чем необходимо для подтверждения согласия.

6. Технические требования к формам

• не отправлять форму до совершения обязательного действия, подтверждающего согласие, когда согласие является правовым основанием;
• не использовать заранее установленные флажки и согласие по умолчанию;
• фиксировать редакцию согласия, дату, время, форму и технические данные события;
• размещать ссылки на Политику и отдельный текст согласия до кнопки отправки;
• не передавать значения полей форм, телефон, e-mail, ФИО, адрес и номер заказа в URL, системы аналитики, рекламные пиксели и журналы ошибок;
• ограничивать срок хранения незавершенной корзины и данных брошенного оформления заказа;
• защищать формы от автоматизированных атак и массовой отправки без передачи лишних данных сторонним сервисам;
• обеспечить защищенное соединение HTTPS на всех страницах, включая корзину, авторизацию и административную часть.