Политика в отношении обработки персональных данных

1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных Оператором — ООО СИНО ГРУПП, ИНН 9718296569, КПП 771801001 (далее — «Оператор»), а также излагает основные принципы обработки и защиты персональных данных физических лиц и представителей юридических лиц при использовании Сайта, оформлении и исполнении заказов, а также при ином взаимодействии с Оператором.
1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон»), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановлением Правительства РФ от 01.11.2012 № 1119, Постановлением Правительства РФ от 15.09.2008 № 687, приказами и разъяснениями Роскомнадзора, Гражданским кодексом РФ, Законом РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», Налоговым кодексом РФ и иными нормативными правовыми актами РФ, действующими в области персональных данных.
1.3. Политика регулирует отношения между Оператором и субъектом персональных данных, а именно: (1) любым физическим лицом — Пользователем и (или) Покупателем, представителем Покупателя, получателем товара; (2) представителем, работником или уполномоченным лицом юридического лица либо индивидуального предпринимателя — контрагента, поставщика или партнёра Оператора.
1.4. Действие Политики распространяется на все операции по обработке персональных данных, совершаемые Оператором с использованием средств автоматизации, в том числе в сети «Интернет», так и без использования таких средств, включая обработку в рамках Сайта, расположенного по адресу https://nefrit.market и его поддоменов (далее — «Сайт»).
1.5. Политика обязательна для ознакомления и исполнения всеми лицами, допущенными Оператором к обработке персональных данных, и подлежит размещению в свободном доступе в сети «Интернет» по адресу https://nefrit.market
1.6. Политика подлежит актуализации в случае: изменения законодательства РФ о персональных данных; выявления несоответствий по результатам внутреннего контроля обработки и защиты персональных данных; изменения целей, состава или способов обработки персональных данных; по решению руководства Оператора.

2. Термины и определения
—«Персональные данные» (ПДн) — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных);
—«Обработка персональных данных» — любое действие (операция) или совокупность действий (операций) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
—«Оператор» — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, действия с персональными данными;
—«Сайт» — совокупность информации, текстов, графических элементов, дизайна, программ для ЭВМ, содержащихся в информационной системе интернет-магазина, включая домены, поддомены и мобильные приложения Оператора, а также интернет-площадки партнёров (маркетплейсов), на которых Оператор размещает товары;
—«Пользователь» — физическое лицо, имеющее доступ к Сайту посредством сети «Интернет»;
—«Покупатель» — физическое лицо (в том числе индивидуальный предприниматель) либо юридическое лицо, совершающее или намеревающееся совершить заказ товаров в интернет-магазине;
—«Контрагент» — юридическое лицо или индивидуальный предприниматель, вступающие с Оператором в договорные отношения (покупатель — юридическое лицо, поставщик, партнёр);
—«Персональные данные, разрешённые субъектом для распространения» — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путём дачи согласия на обработку персональных данных, разрешённых для распространения, в порядке, предусмотренном Законом (ст. 10.1);
—«Файлы cookie» — небольшие текстовые файлы, передаваемые интернет-сервером и хранимые на устройстве Пользователя, которые браузер пересылает серверу при каждом обращении к Сайту;
—Иные термины, используемые в Политике, толкуются в соответствии с действующим законодательством РФ.

3. Правовые основания обработки персональных данных
3.1. Правовыми основаниями обработки персональных данных являются: статья 6 Закона; уставные документы Оператора; договоры, заключаемые (в том числе посредством публичной оферты) между Оператором и субъектом персональных данных; согласия субъекта персональных данных, предоставляемые Оператору, в том числе посредством проставления отметки при заполнении форм на Сайте; Гражданский кодекс РФ; Закон РФ «О защите прав потребителей»; Налоговый кодекс РФ и законодательство о бухгалтерском учёте; Федеральный закон от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники»; иные федеральные законы, определяющие случаи и особенности обработки персональных данных.
3.2. В зависимости от конкретной цели обработка персональных данных осуществляется на основании одного или нескольких условий, предусмотренных частью 1 статьи 6 Закона, в частности: согласие субъекта персональных данных (п. 1); исполнение функций, полномочий и обязанностей, возложенных законодательством РФ на Оператора, включая налоговую и бухгалтерскую отчётность (п. 2); исполнение договора, стороной или выгодоприобретателем которого является субъект персональных данных, либо заключение договора по инициативе субъекта (п. 5); осуществление прав и законных интересов Оператора или третьих лиц либо достижение общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7); обработка в статистических или иных исследовательских целях при условии обязательного обезличивания персональных данных (п. 9). Правовое основание для каждой цели обработки указано в разделе 5 настоящей Политики.

4. Категории субъектов персональных данных
1)Пользователи Сайта — физические лица, посещающие Сайт независимо от факта совершения заказа;
2)Покупатели — физические лица, в том числе индивидуальные предприниматели, а также юридические лица (в лице представителей), оформляющие и (или) совершающие заказы товаров;
3)Получатели товара — третьи лица, указанные Покупателем при оформлении доставки (в объёме, необходимом для исполнения доставки);
4)Представители, работники и уполномоченные лица юридических лиц и индивидуальных предпринимателей — контрагентов Оператора (поставщиков, партнёров, покупателей — юридических лиц);
5)Лица, обратившиеся к Оператору через форму обратной связи, по телефону, электронной почте или в мессенджерах;
6)Подписчики рассылок и участники акций, опросов и стимулирующих мероприятий, проводимых Оператором;
7)Лица, оставившие отзыв о товарах, работах или услугах Оператора и предоставившие согласие на распространение своих персональных данных (ст. 10.1 Закона).

5. Цели обработки и перечень персональных данных
5.0. Оператор обрабатывает персональные данные исключительно в объёме и в целях, необходимых для конкретной цели обработки, указанной ниже. Не допускается объединение баз данных, содержащих персональные данные, обрабатываемые в целях, несовместимых между собой.

5.1. Регистрация и ведение личного кабинета на Сайте
Категория субъектов персональных данных: Пользователь, Покупатель (физ. лицо, ИП, Юр. Лицо)
Перечень обрабатываемых персональных данных: ФИО; номер контактного телефона; адрес электронной почты; логин и пароль
Срок обработки и хранения: До удаления личного кабинета либо до отзыва согласия
Вид обработки персональных данных: Автоматизированная
Правовое основание обработки: Согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона)
5.2. Заключение, исполнение, изменение и расторжение договора розничной купли-продажи (оформление и обработка заказа)
Категория субъектов персональных данных: Покупатель (физ. лицо, ИП, Юр. лицо), представитель Покупателя — юридического лица
Перечень обрабатываемых персональных данных: ФИО; номер контактного телефона; адрес электронной почты; почтовый адрес; сведения о заказе
Срок обработки и хранения: Период действия договора и 5 (пять) лет после его исполнения (для целей ЗоЗПП и бухгалтерского учёта)
Вид обработки персональных данных: Смешанная
Правовое основание обработки: Исполнение договора, стороной или выгодоприобретателем которого является субъект (п. 5 ч. 1 ст. 6 Закона)
5.3. Доставка товара
Категория субъектов персональных данных: Покупатель; получатель товара, указанный Покупателем
Перечень обрабатываемых персональных данных: ФИО получателя; номер контактного телефона; адрес доставки
Срок обработки и хранения: Период исполнения доставки и до истечения гарантийных обязательств по товару
Вид обработки персональных данных: Смешанная
Правовое основание обработки: Исполнение договора, стороной/выгодоприобретателем которого является субъект (п. 5 ч. 1 ст. 6 Закона)
5.4. Осуществление расчётов и приём платежей
Категория субъектов персональных данных: Покупатель
Перечень обрабатываемых персональных данных: ФИО; номер контактного телефона; адрес электронной почты; данные платежа (обрабатываются платёжным агрегатором/банком-эквайером по стандарту PCI DSS без сохранения полных реквизитов карты Оператором)
Срок обработки и хранения: Период действия договора и сроки, установленные законодательством о бухгалтерском учёте и применении ККТ
Вид обработки персональных данных: Смешанная
Правовое основание обработки: Исполнение договора (п. 5 ч. 1 ст. 6 Закона); исполнение требований Федерального закона № 54-ФЗ
5.5. Формирование и предоставление установленной законодательством отчётности, включая уплату налогов и взносов
Категория субъектов персональных данных: Покупатель, Контрагент (физ., юр. лицо), представитель контрагента
Перечень обрабатываемых персональных данных: ФИО; ИНН (для ИП); контактные данные
Срок обработки и хранения: Сроки, установленные Налоговым кодексом РФ и законодательством о бухгалтерском учёте (как правило, 5 лет)
Вид обработки персональных данных: Смешанная
Правовое основание обработки: Исполнение функций, полномочий и обязанностей, возложенных законодательством РФ (п. 2 ч. 1 ст. 6 Закона)
5.6. Клиентская поддержка, обработка обращений, претензий и жалоб
Категория субъектов персональных данных: Покупатель, Пользователь
Перечень обрабатываемых персональных данных: ФИО; номер контактного телефона; адрес электронной почты; содержание обращения
Срок обработки и хранения: До достижения цели обращения и в течение 3 (трёх) лет с момента обращения (срок исковой давности)
Вид обработки персональных данных: Смешанная
Правовое основание обработки: Исполнение договора (п. 5 ч. 1 ст. 6 Закона); Закон РФ «О защите прав потребителей»
5.7. Обеспечение работы Сайта, аналитика и статистика посещаемости
Категория субъектов персональных данных: Пользователь Сайта
Перечень обрабатываемых персональных данных: IP-адрес; данные файлов cookie; сведения о браузере и устройстве; сведения о посещении Сайта
Срок обработки и хранения: От 14 до 24 месяцев в зависимости от вида аналитики либо до отзыва согласия
Вид обработки персональных данных: Автоматизированная
Правовое основание обработки: Законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона); согласие субъекта (п. 1 ч. 1 ст. 6 Закона); статистические цели с обязательным обезличиванием (п. 9 ч. 1 ст. 6 Закона)
5.8. Информационные и рекламные рассылки, маркетинговые коммуникации
Категория субъектов персональных данных: Пользователь, Покупатель, подписчик рассылки
Перечень обрабатываемых персональных данных: ФИО; номер контактного телефона; адрес электронной почты; данные файлов cookie
Срок обработки и хранения: До отзыва согласия субъектом персональных данных
Вид обработки персональных данных: Автоматизированная
Правовое основание обработки: Согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона)
5.9. Проведение акций, опросов и стимулирующих мероприятий (розыгрышей, конкурсов)
Категория субъектов персональных данных: Покупатель, участник акции
Перечень обрабатываемых персональных данных: ФИО; адрес электронной почты; номер контактного телефона; адрес доставки
Срок обработки и хранения: До достижения цели проведения мероприятия либо до отзыва согласия
Вид обработки персональных данных: Смешанная
Правовое основание обработки: Согласие субъекта (п. 1 ч. 1 ст. 6 Закона); исполнение договора при выдаче приза (п. 5 ч. 1 ст. 6 Закона)
5.10. Публикация отзывов, фото- и видеоматериалов о товарах, работах и услугах на Сайте и в официальных группах в социальных сетях
Категория субъектов персональных данных: Покупатель, оставивший отзыв; представитель контрагента
Перечень обрабатываемых персональных данных: ФИО; фотоизображение; текст отзыва;
Срок обработки и хранения: До отзыва согласия на распространение персональных данных
Вид обработки персональных данных: Автоматизированная
Правовое основание обработки: Отдельное согласие на обработку персональных данных, разрешённых для распространения (ст. 10.1 Закона)
5.11. Заключение и исполнение договоров с контрагентами — юридическими лицами и индивидуальными предпринимателями (поставщиками, партнёрами)
Категория субъектов персональных данных: Представитель, работник контрагента
Перечень обрабатываемых персональных данных: ФИО; должность; номер контактного телефона; адрес электронной почты
Срок обработки и хранения: Период действия договора и сроки, установленные законодательством об архивном деле и бухгалтерском учёте
Вид обработки персональных данных: Смешанная
Правовое основание обработки: Исполнение договора (п. 5 ч. 1 ст. 6 Закона); исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 Закона)
5.12. Особенности обработки
5.12.1. Оператор не осуществляет обработку специальных категорий персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрических персональных данных, за исключением случаев, прямо предусмотренных законодательством РФ либо при наличии отдельного письменного согласия субъекта.
5.12.2. Оператор не осуществляет намеренную обработку персональных данных несовершеннолетних лиц. Оператор рекомендует пользоваться Сайтом и оформлять заказы лицам, достигшим 18 лет; ответственность за действия несовершеннолетних, включая приобретение товаров на Сайте, лежит на их законных представителях. Если Оператору станет известно, что персональные данные несовершеннолетнего получены без согласия законного представителя, такие данные удаляются в максимально короткий срок.
5.12.3. Если субъект персональных данных является гражданином государства — члена Европейского союза либо иным лицом, на которое распространяется законодательство ЕС о защите персональных данных (GDPR), и получает доступ к Сайту с территории ЕС, Оператор предпринимает разумные меры по соблюдению применимых требований при условии предварительного уведомления Оператора субъектом о наличии такого особого режима защиты по адресу электронной почты, указанному в разделе 19 настоящей Политики.
5.12.4. Оператор исходит из того, что субъект персональных данных предоставляет достоверную и достаточную персональную информацию и ознакомлен с настоящей Политикой. Оператор не проверяет достоверность предоставленных персональных данных; риск предоставления недостоверных данных, в том числе данных третьих лиц под видом собственных, несёт субъект персональных данных.

6. Принципы и условия обработки персональных данных
1.Обработка персональных данных осуществляется на законной и справедливой основе.
2.Обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора персональных данных.
3.Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки; не допускается их избыточность.
4.При обработке обеспечиваются точность, достаточность и актуальность персональных данных по отношению к целям обработки; неполные или неточные данные удаляются либо уточняются.
5.Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором.
6.Оператор осуществляет обработку персональных данных с использованием средств автоматизации и без их использования, соблюдая требования Закона к обоим способам обработки, включая требования Постановления Правительства РФ от 15.09.2008 № 687.

7. Сроки обработки, прекращение обработки и уничтожение персональных данных
7.1. Сроки обработки персональных данных для каждой цели указаны в разделе 5 настоящей Политики и определяются с учётом: установленных целей обработки; сроков действия договоров и (или) согласий субъектов персональных данных; сроков, определённых нормативными правовыми актами РФ.
7.2. Оператор прекращает обработку персональных данных: по истечении установленных сроков обработки; по достижении целей обработки либо в случае утраты необходимости в их достижении; по требованию субъекта персональных данных — в отношении данных, которые являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, если обеспечить правомерность обработки невозможно; в случае отзыва субъектом согласия на обработку персональных данных, обрабатываемых на основании согласия; в случае ликвидации (прекращения деятельности) Оператора.
7.3. Уничтожение персональных данных производится в случаях: неправомерной обработки персональных данных; избыточности персональных данных по отношению к заявленной цели; отзыва согласия субъекта на обработку персональных данных; достижения цели обработки или утраты необходимости в её достижении; истечения сроков хранения, установленных нормативными правовыми актами РФ; признания персональных данных недостоверными или полученными незаконным путём по требованию уполномоченного органа по защите прав субъектов персональных данных.

8. Условия обработки персональных данных, разрешённых субъектом для распространения
8.1. На основании отдельного согласия субъекта персональных данных Оператор осуществляет обработку отдельных категорий персональных данных, разрешённых субъектом для распространения и предоставления доступа неограниченному кругу лиц, путём их размещения на Сайте (в том числе в виджетах, чатах поддержки, статьях, отзывах, фото- и видеоматериалах), в рекламе в сети «Интернет», а также в официальных группах и аккаунтах Оператора в социальных сетях.
8.2. Персональные данные размещаются в целях: повышения доверия и лояльности пользователей Сайта и товаров, работ, услуг Оператора; формирования позитивного отношения пользователей к товарам, работам и услугам Оператора; продвижения товаров, работ и услуг Оператора.
8.3. Обработка в указанных целях осуществляется в течение срока действия согласия субъекта персональных данных на распространение и прекращается не позднее 10 (десяти) рабочих дней с момента отзыва такого согласия, направленного в порядке, предусмотренном разделом 13 настоящей Политики.

9. Передача персональных данных третьим лицам
9.1. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта персональных данных, за исключением случаев: субъект заблаговременно выразил согласие на такое раскрытие; передача необходима для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных; передача необходима для защиты прав и законных интересов Оператора или третьих лиц; передача инициирована субъектом персональных данных; передача необходима для осуществления правосудия, исполнения судебного акта либо в иных случаях, прямо предусмотренных законодательством РФ.
9.2. В целях исполнения договора и обеспечения работы Сайта Оператор передаёт (поручает обработку) персональные данные следующим категориям третьих лиц:
—операторам почтовой связи, транспортным и курьерским компаниям, службам логистики и фулфилмента — в объёме, необходимом для доставки заказа;
—кредитным организациям, платёжным агрегаторам и платёжным системам — для приёма и осуществления платежей;
—маркетплейсам и партнёрским торговым площадкам, на которых размещаются товары Оператора, — в объёме, необходимом для оформления и исполнения заказов, размещённых через соответствующую площадку;
—организациям, оказывающим услуги хостинга, технического обслуживания Сайта, веб-аналитики, SMS- и e-mail-рассылок, CRM-сервисов;
—аудиторским, юридическим и консалтинговым организациям — при необходимости защиты прав Оператора;
—государственным органам, органам местного самоуправления, судебным и правоохранительным органам — в случаях, предусмотренных законодательством РФ.
9.3. Передача персональных данных лицам, указанным в п. 9.2, осуществляется на основании заключённых с ними договоров (поручений на обработку персональных данных) в соответствии со статьёй 6 Закона, предусматривающих обязанность таких лиц обеспечивать конфиденциальность и безопасность персональных данных и использовать их исключительно для целей исполнения договора. Ответственность перед субъектом персональных данных за действия таких лиц несёт Оператор.
9.4. Ниже приведён перечень партнёров и поставщиков услуг, привлекаемых Оператором к обработке персональных данных на основании заключённых договоров (перечень подлежит актуализации по мере привлечения новых партнёров):


10. Трансграничная передача персональных данных
10.1. При необходимости трансграничной передачи персональных данных (в том числе при использовании зарубежных сервисов, IT-провайдеров) Оператор до её начала уведомляет Роскомнадзор в порядке, установленном частью 3 статьи 12 Закона, за исключением случаев, когда уведомление не требуется.
10.2. Трансграничная передача персональных данных на территории иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в порядке, предусмотренном Законом.
10.3. Трансграничная передача на территории государств, не обеспечивающих адекватной защиты, допускается при наличии письменного согласия субъекта персональных данных на трансграничную передачу, при необходимости исполнения договора либо в иных случаях, прямо предусмотренных законодательством РФ или международными договорами РФ.
10.4. Обработка персональных данных граждан РФ осуществляется Оператором с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Закона.

11. Меры по обеспечению безопасности персональных данных
11.1. Оператором для обеспечения выполнения обязанностей, предусмотренных Законом, приняты следующие меры:
—назначено лицо, ответственное за организацию обработки персональных данных;
—изданы локальные акты по вопросам обработки и обеспечения безопасности персональных данных, устанавливающие процедуры предотвращения и выявления нарушений законодательства РФ и устранения их последствий;
—применены правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со статьёй 19 Закона;
—осуществляется внутренний контроль и (или) аудит соответствия обработки персональных данных Закону, принятым в соответствии с ним нормативным правовым актам и локальным актам Оператора;
—проведена оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона, и произведено её соотношение с принимаемыми мерами;
—работники, допущенные к обработке персональных данных, ознакомлены с положениями законодательства РФ о персональных данных и локальными актами Оператора и (или) прошли обучение;
—определены угрозы безопасности персональных данных при их обработке в информационных системах;
—применяются прошедшие процедуру оценки соответствия средства защиты информации;
—обеспечивается обнаружение фактов несанкционированного доступа к персональным данным, реагирование на компьютерные инциденты и восстановление данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
—установлены правила доступа к персональным данным, обеспечиваются регистрация и учёт всех действий с персональными данными в информационных системах;
—организован режим обеспечения безопасности помещений, в которых размещены информационные системы, препятствующий неконтролируемому доступу лиц, не имеющих права доступа;
—реализованы требования Постановления Правительства РФ от 15.09.2008 № 687 в отношении обработки персональных данных без использования средств автоматизации.
11.2. Оператор вправе на договорной основе поручить обработку персональных данных третьим лицам при условии обеспечения такими лицами адекватного уровня защиты персональных данных и соблюдения требований, установленных Законом.

12. Права субъекта персональных данных
12.1. Субъект персональных данных обладает следующими правами:

12.2. Для реализации прав, указанных в п. 12.1, Оператор вправе потребовать подтверждения личности субъекта персональных данных в любой не противоречащей закону форме.
12.3. Отзыв согласия на обработку персональных данных не влечёт прекращения обработки в объёме и в течение сроков, необходимых Оператору для исполнения обязанностей, предусмотренных законодательством РФ (включая бухгалтерский и налоговый учёт), а также для защиты прав и законных интересов Оператора.