Политика обработки персональных данных

1. Общие положения
Настоящая Политика обработки персональных данных определяет порядок обработки и защиты персональных данных пользователей сайта https://sytyimamont.ru/, покупателей, представителей организаций, потенциальных партнеров и иных лиц, взаимодействующих с ТМ «Сытый Мамонт».
Оператором персональных данных является Общество с ограниченной ответственностью «Вкуснодел», ИНН 3811028740, КПП 381401001, ОГРН 1153850007530, адрес: 666303, Иркутская область, г. Саянск, м-н Строителей, д. 43. Ответственный представитель оператора: генеральный директор Почерней Павел Васильевич.
Политика применяется ко всем формам и сценариям сайта, где пользователь передает данные или где сайт получает технические данные: оформление заказа, заявка на обратную связь, B2B-заявка/запрос прайса, коммуникация в мессенджерах, e-mail, телефонные обращения, аналитика посещений, cookies и иные технические средства.
Политика размещается в свободном доступе на сайте и должна быть доступна со страниц и форм, на которых собираются персональные данные. При изменении состава форм, сервисов оплаты, доставки, онлайн-кассы, CRM, аналитики или рекламных инструментов Политика подлежит актуализации.

2. Термины
·        персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу;
·        субъект персональных данных — пользователь сайта, покупатель, заявитель, представитель организации или иное физическое лицо, к которому относятся персональные данные;
·        оператор — лицо, самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных, определяющее цели обработки, состав данных и действия с ними;
·        обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение;
·        cookie — небольшой фрагмент данных, который сайт или используемый сервис может сохранить на устройстве пользователя для работы сайта, аналитики, сохранения настроек и иных целей, описанных в Политике.

3. Категории субъектов и персональных данных
Оператор обрабатывает персональные данные следующих категорий лиц: посетители сайта, покупатели и получатели заказов, лица, направившие заявку или сообщение, подписчики на новости и акции, представители юридических лиц и индивидуальных предпринимателей, контактные лица поставщиков, партнеров и контрагентов.
3.1. Данные, которые пользователь передает сам·        имя, фамилия, отчество, если пользователь указывает их в форме или при коммуникации;
·        номер телефона, e-mail, аккаунт или идентификатор в мессенджере;
·        адрес доставки, комментарий к заказу, желаемое время или условия доставки;
·        состав заказа, выбранные товары, количество, стоимость, способ оплаты и доставки;
·        содержание обращения, заявки, вопроса, переписки или отзыва;
·        для B2B-коммуникаций: название организации, ИНН/ОГРН/КПП компании, должность контактного лица, рабочие контакты и содержание деловой переписки.
3.2. Технические и аналитические данные·        IP-адрес, дата и время посещения, источник перехода, URL страниц, действия пользователя на сайте;
·        данные браузера, устройства, операционной системы, разрешения экрана, user-agent;
·        cookie-идентификаторы, localStorage-сведения и иные технические идентификаторы, используемые сайтом и аналитическими сервисами;
·        обезличенные или агрегированные сведения о посещаемости, поведении на сайте и эффективности страниц.
Оператор не ставит целью сбор специальных категорий персональных данных, биометрических персональных данных, сведений о политических взглядах, религиозных убеждениях, состоянии здоровья и интимной жизни. Пользователь не должен указывать такие сведения в свободных полях форм.

4. Цели обработки и правовые основания
Оператор обрабатывает персональные данные только для конкретных, заранее определенных и законных целей. Для разных форм сайта применяются разные правовые основания: согласие субъекта, исполнение договора/заказа, выполнение требований закона, преддоговорная коммуникация и законный интерес оператора при условии, что это не нарушает права пользователя.
Каталог, корзина, оформление заказа
Цель обработки: Принять заказ, связаться с покупателем, подтвердить состав заказа, организовать оплату, доставку, выдачу кассового чека и сервисные уведомления по заказу.
Данные: Имя, телефон, e-mail, адрес доставки, состав заказа, комментарий, способ оплаты/доставки, технические сведения о заказе.
Правовое основание: Исполнение договора/заказа или действия до заключения договора; выполнение обязанностей по расчетам, кассовым и бухгалтерским документам.
Форма обратной связи / вопрос
Цель обработки: Получить и обработать обращение, дать ответ, уточнить детали, сохранить историю коммуникации.
Данные: Имя, телефон, e-mail, содержание сообщения, технические данные отправки формы.
Правовое основание: Согласие пользователя или законный интерес оператора ответить на обращение; преддоговорная коммуникация, если обращение связано с заказом.
B2B-заявка / запрос прайса / партнерство
Цель обработки: Подготовить коммерческое предложение, связаться с представителем организации, вести переговоры и деловую переписку.
Данные: ФИО/имя контактного лица, должность, телефон, e-mail, название организации, реквизиты организации, содержание запроса.
Правовое основание: Преддоговорные переговоры, исполнение договора, законный интерес деловой коммуникации.
Подписка на новости, акции, предложения
Цель обработки: Направлять рекламные, информационные и маркетинговые сообщения о товарах, акциях, новостях и предложениях.
Данные: Имя, телефон, e-mail, мессенджер, выбранный канал связи, сведения о согласии/отказе.
Правовое основание: Отдельное предварительное согласие на рекламу и обработку данных для этой цели.
Cookies и Яндекс Метрика
Цель обработки: Анализ поведения пользователей, оценка посещаемости, улучшение структуры сайта, оптимизация карточек товаров, диагностика ошибок и измерение эффективности страниц.
Данные: IP-адрес, cookie, сведения об устройстве/браузере, источнике перехода, просмотренных страницах и действиях на сайте.
Правовое основание: Согласие или иное применимое основание после настройки cookie-механики; для технических cookies — обеспечение работоспособности сайта.
Отзывы, фото, публикации с узнаваемыми людьми
Цель обработки: Публикация материалов в открытом доступе на сайте или в коммуникациях бренда.
Данные: Имя, фото, видео, текст отзыва, иные сведения, позволяющие узнать человека.
Правовое основание: Отдельное согласие на распространение персональных данных, если публикация предполагает доступ неопределенного круга лиц.

5. Принципы обработки
1.      Обработка осуществляется на законной и справедливой основе.
2.      Обработка ограничивается достижением конкретных, заранее определенных и законных целей.
3.      Не допускается обработка данных, несовместимая с целями сбора.
4.      Содержание и объем данных соответствуют заявленным целям; избыточные данные не собираются намеренно.
5.      Оператор принимает разумные меры для поддержания точности и актуальности данных.
6.      Данные хранятся не дольше, чем требуется для целей обработки, договора, закона или защиты прав оператора.
7.      По достижении целей обработки данные удаляются, обезличиваются или блокируются, если дальнейшее хранение не требуется законом или договором.

6. Условия и способы обработки
Оператор может обрабатывать персональные данные как с использованием средств автоматизации, так и без использования таких средств. Обработка может включать сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу в объеме, необходимом для достижения целей, обезличивание, блокирование, удаление и уничтожение.
Если обработка ведется на основании согласия, пользователь дает согласие свободно, своей волей и в своем интересе. Согласие должно быть отдельным от иных документов, условий заказа, политики, оферты и рекламного согласия. Чекбокс согласия должен быть пустым по умолчанию, если сайт использует чекбокс как способ получения согласия.
Для оформления и исполнения заказа согласие на обработку персональных данных может не требоваться, если данные обрабатываются в связи с заключением и исполнением договора/заказа. При этом пользователь должен видеть цель обработки, ссылку на Политику и условия заказа.

7. Cookies, Яндекс Метрика и рекламные пиксели
Сайт использует cookie и аналогичные технологии для корректной работы сайта, сохранения пользовательских настроек, аналитики посещаемости, улучшения качества сервиса и оптимизации пользовательского пути.
Оператор использует сервис «Яндекс Метрика» для анализа поведения пользователей и оптимизации работы сайта с помощью файлов cookie. Яндекс Метрика может собирать технические данные о посещении сайта: IP-адрес, cookie-идентификаторы, сведения о браузере, устройстве, операционной системе, источнике перехода, просмотренных страницах, действиях пользователя и параметрах сессии.
По условиям использования Яндекс Метрики владелец сайта самостоятельно отвечает за законность установки счетчика, раскрытие использования сервиса и соблюдение требований к персональным данным посетителей сайта. Оператор должен не передавать в Яндекс Метрику идентификационные персональные данные через URL страниц, заголовки страниц, параметры форм или иные технические поля, если такая передача прямо не предусмотрена настройками и документами сервиса.
Технические cookies, необходимые для работы сайта, могут использоваться для обеспечения функций сайта. Аналитические cookies и иные необязательные cookies должны быть раскрыты пользователю в cookie-уведомлении или баннере. Пользователь может ограничить использование cookies в настройках браузера; при этом часть функций сайта может работать некорректно.
Рекламные пиксели, ретаргетинг и иные рекламные идентификаторы на момент подготовки редакции не подтверждены как подключенные. Если такие инструменты будут использоваться в будущем, Оператор до их подключения обновляет Политику, cookie-уведомление, перечень получателей данных и при необходимости получает отдельное согласие пользователя.

8. Передача данных третьим лицам и поручение обработки
Оператор может передавать персональные данные третьим лицам только в объеме, необходимом для достижения целей обработки, исполнения заказа, соблюдения закона или защиты прав оператора.
·        платформа сайта, хостинг и технические подрядчики, включая Tilda и связанные сервисы сайта;
·        платежные сервисы и банки — для приема и обработки платежей;
·        онлайн-касса и оператор фискальных данных — для формирования и направления кассовых чеков;
·        службы доставки, курьеры и логистические подрядчики — для доставки заказов;
·        e-mail, SMS и мессенджер-сервисы — для сервисных сообщений, ответов на обращения и рассылок при наличии согласия;
·        Яндекс Метрика — для аналитики сайта и оптимизации его работы;
·        CRM, бухгалтерские, юридические и IT-подрядчики — если они фактически подключены и участвуют в обработке;
·        государственные органы — в случаях и порядке, предусмотренных законодательством.
Если третье лицо обрабатывает данные по поручению оператора, отношения должны быть оформлены договором или поручением обработки персональных данных с требованиями конфиденциальности, безопасности и соблюдения целей обработки.

9. Локализация и трансграничная передача
При сборе персональных данных граждан Российской Федерации с использованием сайта Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории Российской Федерации, если иное не предусмотрено законом.
Трансграничная передача персональных данных не заявляется как штатный сценарий обработки. Если выбранный сервис, подрядчик, CRM, рассылочный сервис, рекламная система или иной инструмент предполагает передачу данных за пределы Российской Федерации, Оператор до начала такой передачи проверяет допустимость трансграничной передачи и выполняет требования уведомления уполномоченного органа.

10. Сроки обработки и хранения
Данные заказа, оплаты, доставки, кассовых и бухгалтерских документов
Срок/критерий хранения: В течение срока исполнения заказа, гарантийных/претензионных сроков и обязательных сроков хранения бухгалтерских, налоговых и кассовых документов.
Заявки и обращения
Срок/критерий хранения: До достижения цели обращения, завершения коммуникации, истечения разумного срока защиты прав оператора или до отзыва согласия, если обработка ведется на основании согласия.
B2B-коммуникации
Срок/критерий хранения: В течение срока переговоров, действия договора, сроков исковой давности и обязательного хранения деловой документации.
Рекламные согласия и история отказов
Срок/критерий хранения: До отзыва согласия; сведения об отзыве и факте согласия могут храниться для подтверждения соблюдения закона.
Cookies и аналитические данные
Срок/критерий хранения: В пределах сроков, установленных настройками сайта и соответствующих сервисов аналитики, либо до удаления cookies пользователем.

11. Права субъекта персональных данных
Субъект персональных данных вправе:
·        получать сведения об обработке своих персональных данных;
·        требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
·        отозвать согласие на обработку персональных данных;
·        отказаться от рекламных рассылок и потребовать прекращения рекламных сообщений;
·        направить требование о прекращении обработки персональных данных, если это предусмотрено законом;
·        обжаловать действия или бездействие оператора в уполномоченный орган или в суд.
Для реализации прав субъект может направить обращение на mamont_38@inbox.ru или по адресу оператора: 666303, Иркутская область, г. Саянск, м-н Строителей, д. 43. В обращении рекомендуется указать ФИО, контакт для ответа, суть требования и сведения, позволяющие оператору идентифицировать запрос.
Оператор вправе запросить дополнительные сведения для подтверждения личности заявителя, если это необходимо для защиты персональных данных от неправомерного доступа.

12. Обязанности оператора и меры защиты
·        назначает лицо или ответственное подразделение за организацию обработки персональных данных в пределах своей структуры;
·        публикует Политику и обеспечивает доступ к ней на страницах сайта, где собираются данные;
·        применяет правовые, организационные и технические меры защиты персональных данных;
·        ограничивает доступ к данным только тем лицам, которым он необходим для выполнения рабочих задач;
·        контролирует соблюдение целей обработки и минимизацию собираемых данных;
·        обрабатывает запросы субъектов и уполномоченного органа в установленные законом сроки;
·        при необходимости оформляет поручения обработки с подрядчиками и проверяет фактические сервисы сайта;
·        уведомляет Роскомнадзор о намерении осуществлять обработку персональных данных, если нет применимого исключения.
Внутренние локальные акты, журналы, модель угроз, оценка вреда и иные документы защиты персональных данных не являются публичными документами сайта, если закон прямо не требует их публикации.

13. Отзыв согласия и прекращение обработки
Если обработка осуществляется на основании согласия, субъект вправе отозвать согласие, направив сообщение на mamont_38@inbox.ru с пометкой «Отзыв согласия на обработку персональных данных» или используя предусмотренный сайтом способ отказа.
После получения отзыва оператор прекращает обработку данных, основанную на таком согласии, и обеспечивает прекращение обработки лицами, действующими по поручению оператора, если дальнейшая обработка не требуется по договору, закону, для исполнения обязанности оператора или защиты прав оператора.
Отзыв согласия на рекламные сообщения прекращает рекламные коммуникации, но не препятствует направлению сервисных сообщений по действующему заказу, если такие сообщения необходимы для исполнения заказа.

14. Особые правила для рекламы и распространения данных
Продвижение товаров, работ и услуг путем прямых контактов с пользователем по телефону, e-mail, SMS, мессенджерам и иным каналам допускается только при наличии отдельного предварительного согласия пользователя. Такое согласие не должно быть условием оформления заказа.
Публикация отзывов, фото, видео, имени или иных данных пользователя в открытом доступе возможна только при наличии отдельного основания. Если материалы позволяют узнать человека и доступны неопределенному кругу лиц, требуется отдельное согласие на распространение персональных данных.

15. Изменение Политики
Актуальная редакция Политики размещается на сайте по адресу https://sytyimamont.ru/privacy или на иной странице сайта, указанной оператором. Новая редакция действует с момента публикации, если в ней не указан иной срок.
При существенном изменении целей обработки, состава данных, сервисов, получателей данных, cookie/аналитики или рекламных инструментов оператор обновляет Политику и связанные тексты согласий.

16. Нормативная основа редакции
·        Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»: статьи 5, 6, 9, 10.1, 12, 15, 18.1, 19, 21, 22.
·        Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»: статья 18 о предварительном согласии на рекламу по сетям электросвязи.
·        Условия использования сервиса «Яндекс Метрика» и документы Яндекса о cookies и конфиденциальности.