Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок и условия обработки персональных данных, а также меры по их защите.

1.2. Оператор персональных данных (далее — Оператор):
индивидуальный предприниматель Зеленская Диана Игоревна,
ИНН 860805081732, ОГРНИП 323861700039108,
место регистрации: Ханты-Мансийский автономный округ — Югра, г. Когалым,
электронная почта для обращений по вопросам персональных данных: support@emmylee.ru.

1.3. Политика применяется ко всем персональным данным, которые Оператор получает через сайт emmylee.ru (далее — Сайт), по электронной почте и через иные каналы связи, указанные на Сайте.

1.4. Политика является общедоступным документом и постоянно опубликована по адресу emmylee.ru/privacy.

1.5. Термины используются в значениях, установленных Законом.

1.6. Оператор исходит из того, что лицо, предоставляющее персональные данные, сообщает достоверные и актуальные сведения. Если покупатель указывает данные другого лица (например, получателя подарка), он подтверждает, что вправе сообщить эти данные Оператору для доставки заказа.

2. Принципы обработки

Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей и в объёме, необходимом для их достижения. Оператор не объединяет базы данных, обработка которых ведётся в несовместимых целях, обеспечивает точность данных и хранит их не дольше, чем этого требуют цели обработки или закон.

3. Цели, состав данных, основания и сроки обработки

3.1. Оформление и исполнение заказа

Включает приём и подтверждение заказа, оплату, доставку, обмен, возврат и рассмотрение претензий.

• Субъекты: покупатели; получатели заказа, если это другое лицо.
• Данные: фамилия, имя, отчество; номер телефона; адрес электронной почты; адрес доставки или пункт выдачи; состав, стоимость и номер заказа; выбранные способы оплаты и доставки; статус оплаты (без данных банковской карты); комментарий к заказу; переписка по заказу.
• Правовое основание: исполнение договора купли-продажи (публичная оферта: emmylee.ru/offer), стороной или выгодоприобретателем по которому является субъект, а также заключение договора по его инициативе (п. 5 ч. 1 ст. 6 Закона); ст. 497 Гражданского кодекса РФ; ст. 26.1 Закона РФ «О защите прав потребителей».
• Срок: в течение исполнения договора и 3 лет после его исполнения (срок исковой давности, ст. 196 ГК РФ).

3.2. Выполнение обязанностей, установленных законодательством

Включает бухгалтерский и налоговый учёт и применение контрольно-кассовой техники.

• Субъекты: покупатели.
• Данные: фамилия, имя, отчество; сведения о заказе и оплате; номер телефона или адрес электронной почты для направления кассового чека.
• Правовое основание: исполнение обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6 Закона); Федеральный закон № 402-ФЗ «О бухгалтерском учёте»; Налоговый кодекс РФ; Федеральный закон № 54-ФЗ «О применении контрольно-кассовой техники».
• Срок: 5 лет после окончания года, в котором проведена операция (ст. 29 Закона № 402-ФЗ, пп. 8 п. 1 ст. 23 НК РФ).

3.3. Рассмотрение обращений

• Субъекты: лица, обратившиеся к Оператору по электронной почте или через формы связи.
• Данные: имя; адрес электронной почты или номер телефона; текст обращения и сведения, которые человек сообщил сам.
• Правовое основание: если обращение связано с заказом — п. 5 ч. 1 ст. 6 Закона; в остальных случаях — законный интерес Оператора в ответе на обращение, инициированное самим субъектом (п. 7 ч. 1 ст. 6 Закона).
• Срок: 3 года с даты последнего сообщения в переписке.

3.4. Информационные и рекламные рассылки

• Субъекты: лица, давшие согласие на получение рассылок.
• Данные: имя; адрес электронной почты; номер телефона, если выбран соответствующий канал; дата, время и способ дачи и отзыва согласия.
• Правовое основание: отдельное согласие субъекта (п. 1 ч. 1 ст. 6 Закона, ч. 1 ст. 18 Федерального закона № 38-ФЗ «О рекламе»).
• Срок: до отзыва согласия. Сведения о факте дачи и отзыва согласия хранятся 3 года после отзыва, чтобы подтвердить законность направлявшихся рассылок (ч. 3 ст. 9 Закона).

Рассылки не являются условием покупки. Отказ от них не влияет на оформление и исполнение заказа.

3.5. Анализ использования Сайта (Яндекс Метрика)

• Субъекты: посетители Сайта, давшие согласие на аналитические cookie.
• Данные: идентификаторы cookie; IP-адрес; сведения о браузере, устройстве и операционной системе; разрешение экрана и язык; источник перехода; просмотренные страницы и действия на них; дата и время посещения; примерное местоположение по IP-адресу.
• Правовое основание: отдельное согласие субъекта (п. 1 ч. 1 ст. 6 Закона).
• Срок: до отзыва согласия. Cookie хранятся в браузере не более 1 года.

3.6. Обеспечение работы и безопасности Сайта

• Субъекты: посетители Сайта.
• Данные: IP-адрес; дата и время запроса; запрашиваемый адрес страницы; сведения о браузере (user-agent); технические коды ответа сервера.
• Правовое основание: законный интерес Оператора в работоспособности Сайта и защите от атак (п. 7 ч. 1 ст. 6 Закона).
• Срок: не более 90 дней.

Содержимое корзины и выбор в окне настроек cookie хранятся в браузере пользователя и не передаются Оператору до оформления заказа.

3.7. Подбор персонала, кадровый и бухгалтерский учёт работников

Обработка в этой цели начинается с публикации первой вакансии или приёма первого работника. До этого момента Оператор её не осуществляет.

• Субъекты: кандидаты на работу; работники; бывшие работники.
• Данные кандидатов: ФИО; контактные данные; сведения об образовании, опыте работы и навыках из резюме.
• Данные работников: ФИО; дата и место рождения; паспортные данные; адрес регистрации и проживания; контактные данные; ИНН; СНИЛС; сведения об образовании, квалификации и трудовой деятельности; сведения о воинском учёте; семейное положение и сведения о детях — в объёме, необходимом для предоставления льгот и вычетов; реквизиты банковского счёта для выплаты заработной платы.
• Правовое основание: для кандидатов — согласие (п. 1 ч. 1 ст. 6 Закона); для работников — трудовой договор и обязанности, установленные Трудовым кодексом РФ, налоговым законодательством и законодательством об обязательном социальном страховании (п. 2 и 5 ч. 1 ст. 6 Закона).
• Срок: данные кандидатов, которым отказано в приёме, уничтожаются в течение 30 дней после решения, если кандидат не дал согласия на включение в кадровый резерв. Кадровые документы работников хранятся в сроки, установленные законодательством об архивном деле. Остальные данные — в течение срока действия трудового договора и сроков, установленных налоговым и бухгалтерским законодательством.

3.8. Что Оператор не обрабатывает

Оператор не обрабатывает специальные категории персональных данных (сведения о здоровье, политических взглядах и т. п.) и биометрические данные. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основе автоматизированной обработки (ст. 16 Закона). Оператор не распространяет персональные данные неограниченному кругу лиц.

4. Действия и способы обработки

4.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

4.2. Обработка смешанная: с использованием средств автоматизации и без них.

5. Хранение и локализация

5.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).

5.2. База данных Сайта размещена на сервере ООО «Таймвэб.Клауд» (ИНН 7810945525) в центре обработки данных в г. Новосибирске.

5.3. Трансграничная передача персональных данных не осуществляется.

6. Передача персональных данных

6.1. Оператор передаёт персональные данные только в объёме, необходимом для конкретной цели:

• службам доставки (СДЭК, Почта России, Boxberry, Яндекс Доставка, 5Post и другим службам, выбранным покупателем при оформлении заказа): ФИО и телефон получателя, адрес доставки или пункт выдачи, сведения об отправлении;
• платёжным сервисам — АО «ТБанк» (интернет-эквайринг) и сервису Yandex Pay: номер и сумма заказа, адрес электронной почты или номер телефона для чека. Данные банковских карт вводятся на стороне платёжного сервиса; Оператор их не получает и не хранит;
• оператору фискальных данных: сведения, необходимые для формирования и направления кассового чека;
• ООО «Таймвэб.Клауд»: хранение данных на сервере Сайта и работа электронной почты домена emmylee.ru;
• ООО «Яндекс»: сведения сервиса Яндекс Метрика, только при наличии согласия посетителя; при нажатии посетителем «Показать на карте» на странице магазинов-партнёров — IP-адрес и сведения о браузере, необходимые для загрузки карты Яндекса;
• сервису электронных рассылок: имя и контакты подписчиков, только при наличии согласия. Оператор использует только сервисы, которые хранят данные на территории Российской Федерации; наименование сервиса указывается в настоящей Политике до начала его использования;
• государственным органам: в случаях и в порядке, предусмотренных законодательством.

6.2. Если Оператор поручает обработку другому лицу, он заключает с ним договор, который содержит требования ч. 3 ст. 6 Закона, в том числе обязанность соблюдать конфиденциальность и обеспечивать безопасность данных.

6.3. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных рекламных целей.

7. Права субъекта персональных данных

Субъект вправе:

• получать сведения об обработке своих персональных данных в объёме, указанном в ч. 7 ст. 14 Закона;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, получены незаконно или не нужны для заявленной цели;
• отозвать согласие на обработку;
• требовать прекращения обработки (ч. 5.1 ст. 21 Закона);
• отписаться от рассылки по ссылке в письме или по запросу на support@emmylee.ru;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

8. Порядок обращения и сроки ответа

8.1. Запрос направляется в электронной форме на support@emmylee.ru, в том числе в виде электронного документа, подписанного электронной подписью. Запрос должен позволять установить личность заявителя и подтвердить его отношения с Оператором (ч. 3 ст. 14 Закона). Для этого достаточно направить запрос с адреса электронной почты, указанного при заказе или подписке, и указать номер заказа. В остальных случаях Оператор вправе запросить дополнительное подтверждение личности, чтобы не раскрыть данные постороннему.

8.2. Сроки ответа:

• предоставление сведений — не более 10 рабочих дней с даты получения запроса. Срок может быть продлён на 5 рабочих дней с направлением мотивированного уведомления;
• уточнение данных — не более 7 рабочих дней с даты представления сведений, подтверждающих их неточность;
• прекращение неправомерной обработки — не более 3 рабочих дней с даты её выявления. Если обеспечить правомерность невозможно, данные уничтожаются в течение 10 рабочих дней;
• требование о прекращении обработки — не более 10 рабочих дней. Срок может быть продлён на 5 рабочих дней с направлением мотивированного уведомления;
• отзыв согласия — прекращение обработки и уничтожение данных в течение 30 дней. Рассылки прекращаются незамедлительно.

8.3. Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва. Отзыв также не препятствует обработке тех же данных по другим основаниям, предусмотренным Законом, например для исполнения уже оформленного заказа или обязанностей по налоговому учёту (ч. 2 ст. 9 Закона).

9. Меры по защите персональных данных

9.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона, в том числе:

• лично осуществляет организацию обработки персональных данных и контроль за ней;
• утверждает локальные акты по вопросам обработки и защиты данных;
• определяет угрозы безопасности и уровень защищённости информационной системы в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119;
• ограничивает доступ к данным кругом лиц, которым он необходим для работы;
• использует пароли, разграничение прав доступа и двухфакторную аутентификацию для административного доступа;
• шифрует передачу данных между браузером пользователя и Сайтом (протокол HTTPS);
• создаёт резервные копии, своевременно обновляет программное обеспечение и ведёт журналы доступа;
• оценивает вред, который может быть причинён субъектам при нарушении Закона.

9.2. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).

10. Прекращение обработки и уничтожение

10.1. Персональные данные уничтожаются в течение 30 дней после достижения цели обработки, истечения срока хранения или отзыва согласия, если иное не предусмотрено законом или договором.

10.2. Электронные данные удаляются из баз данных без возможности восстановления; бумажные носители уничтожаются способом, исключающим восстановление. Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

11. Cookie и аналитика

11.1. Необходимые cookie и локальное хранилище браузера обеспечивают работу Сайта: сохраняют корзину и выбор в окне настроек cookie. Без них Сайт работать не будет, поэтому они используются без согласия.

11.2. Аналитические cookie сервиса Яндекс Метрика (ООО «Яндекс») подключаются только после согласия посетителя, которое даётся кнопкой «Принять все» в окне настроек cookie на условиях отдельного документа: emmylee.ru/consent-cookies. Яндекс Метрика не записывает содержимое полей форм (имя, телефон, адрес).

11.3. Изменить выбор и отозвать согласие можно в любой момент: по ссылке «Настройки cookie» внизу Сайта или удалив cookie в настройках браузера.

11.4. Карта магазинов-партнёров загружается с серверов ООО «Яндекс» только после нажатия посетителем кнопки «Показать на карте». До нажатия сведения о посетителе Яндексу не передаются, а cookie Яндекса не устанавливаются. После загрузки карты Яндекс может установить свои cookie и обрабатывает сведения по своим правилам: https://yandex.ru/legal/confidential/

12. Персональные данные несовершеннолетних

Сайт не предназначен для лиц младше 14 лет, и Оператор сознательно не собирает их персональные данные. Если такие данные получены, Оператор уничтожает их, как только узнает об этом.

13. Заключительные положения

13.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на Сайте, если в ней не указано иное. Если изменения затрагивают обработку, основанную на согласии, и требуют нового согласия, Оператор запрашивает его отдельно.

13.2. Предыдущие редакции Политики хранятся у Оператора и предоставляются по запросу.

13.3. К отношениям, связанным с обработкой персональных данных, применяется законодательство Российской Федерации.