Железнодорожный, Балашиха Доставка сегодня до 22:00 · по Железнодорожному бесплатно от 3 500 ₽　 Контакты
+7 (123) 456-78-90
КаталогИзбранноеКонструктор букетаИндивидуальный заказПоводыДоставка и оплатаНаши работыОтзывыПолезные статьиКорпоративным клиентамЦветочная подпискаСертификатыАкцииО студииЧастые вопросыКонтакты
Эстетика Цветов

Политика обработки персональных данных

Черновик для согласования. Перед публикацией необходимо заполнить реквизиты владельца и проверить документ с юристом.

Индивидуальный предприниматель {{ФИО_ИП}} (студия цветов «Эстетика Цветов»)

Редакция от {{ДАТА_РЕДАКЦИИ}} · версия privacy-v1 · размещена по адресу {{САЙТ}}/legal/privacy/

Документ составлен с учётом требований части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и рекомендаций Роскомнадзора по составлению политики оператора: для каждой цели обработки указаны категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения. Плейсхолдеры {{...}} заполняются перед публикацией. Требуется проверка юристом; вопросы для него — в конце документа.

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных индивидуальным предпринимателем {{ФИО_ИП}} (ИНН {{ИНН}}, ОГРНИП {{ОГРНИП}}, адрес: {{АДРЕС_ИП}}; далее — Оператор) и меры по обеспечению их безопасности.

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает от посетителей и пользователей сайта {{САЙТ}} (далее — Сайт), покупателей и получателей заказов, лиц, обращающихся к Оператору по телефону, электронной почте и в мессенджерах, контрагентов, а также работников и соискателей Оператора.

1.3. Политика разработана в соответствии с Конституцией Российской Федерации, Гражданским кодексом РФ, Трудовым кодексом РФ, Законом № 152-ФЗ, Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе», Законом РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», постановлением Правительства РФ от 01.11.2012 № 1119, приказами ФСТЭК России и Роскомнадзора, изданными в развитие Закона.

1.4. Политика является общедоступным документом: она опубликована на Сайте и доступна по ссылке в подвале каждой страницы и в формах, где собираются персональные данные. Оператор вправе вносить в Политику изменения; новая редакция вступает в силу с момента размещения на Сайте, если в ней не указано иное. Актуальная редакция всегда доступна по адресу {{САЙТ}}/legal/privacy/.

1.5. Основные понятия используются в значениях, определённых статьёй 3 Закона. Дополнительно: Покупатель — лицо, оформившее заказ; Получатель — лицо, которому по указанию Покупателя доставляется заказ; Личный кабинет — раздел Сайта, доступный после подтверждения номера телефона; Оферта — публичная оферта Оператора, размещённая по адресу {{САЙТ}}/legal/oferta/.

2. Принципы обработки

2.1. Обработка персональных данных осуществляется на законной и справедливой основе; ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора, и объединение баз данных, обрабатываемых в несовместимых целях.

2.2. Обрабатываются только те данные, которые отвечают целям обработки; содержание и объём данных соответствуют заявленным целям и не являются избыточными.

2.3. Оператор обеспечивает точность, достаточность и актуальность данных; неполные или неточные данные уточняются или удаляются.

2.4. Данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, и уничтожаются по достижении целей либо при утрате необходимости в их достижении, если иное не предусмотрено законом.

2.5. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости) и биометрические персональные данные. Пожелания о составе букета («без лилий», «без сильного аромата») хранятся как предпочтения по составу без указания причин.

2.6. Сайт не предназначен для лиц младше 18 лет; Оператор сознательно не собирает данные несовершеннолетних. Если Оператору станет известно, что данные несовершеннолетнего получены без согласия законного представителя, такие данные уничтожаются.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях (статья 6 Закона):

4. Цели, категории субъектов, перечень данных, сроки

№ · Цель обработки · Категории субъектов · Перечень персональных данных · Правовое основание · Срок обработки и хранения · Порядок уничтожения

--- · --- · --- · --- · --- · --- · ---

1 · Заключение и исполнение договора купли-продажи и оказания услуг: приём, подтверждение, сборка, доставка и выдача заказов, приём оплаты и направление кассовых чеков, уведомления о статусе заказа, рассмотрение претензий · Покупатели; Получатели · Покупатель: имя, фамилия (при указании), номер телефона, адрес электронной почты, идентификатор Telegram (при подключении), сведения о заказе (состав, текст открытки, комментарии, сумма, способ и статус оплаты — без данных банковских карт), история заказов, обращения и переписка. Получатель: имя, номер телефона, адрес доставки, комментарий к доставке · Договор (п. 5 ч. 1 ст. 6); для Получателя — договор, выгодоприобретателем по которому он является · Срок исполнения договора и 3 года после исполнения (срок исковой давности); документы, необходимые для налогового и бухгалтерского учёта, — 5 лет · Автоматическое обезличивание записей о заказах по истечении срока, уничтожение обращений; акт уничтожения

2 · Ведение Личного кабинета и бонусной программы: идентификация по телефону, сохранение адресов и получателей, важных дат, избранного, начисление и списание бонусов, реферальная программа, повтор заказов · Пользователи Сайта, Покупатели · Номер телефона, имя, фамилия, адрес электронной почты, дата рождения (по желанию), сохранённые адреса и получатели, важные даты (по желанию), предпочтения по составу букета, бонусный счёт и история операций, реферальный код, идентификаторы OAuth-аккаунтов (Яндекс ID, VK ID — при использовании), IP-адрес и данные сессии · Договор (Пользовательское соглашение, Оферта); для необязательных полей — согласие, выраженное их заполнением · До удаления Личного кабинета пользователем либо 3 года с даты последней активности · Удаление аккаунта по запросу или по истечении срока в течение 30 дней; данные заказов, подлежащие хранению по закону, обезличиваются

3 · Обработка обращений: обратный звонок, индивидуальный заказ, заявки для бизнеса, вопросы в чате и мессенджерах, обратная связь · Лица, обратившиеся к Оператору · Имя, номер телефона, адрес электронной почты, наименование организации и должность (для заявок бизнеса), содержание обращения, приложенные файлы (референсы), источник обращения · Действия по инициативе субъекта, направленные на заключение договора (п. 5 ч. 1 ст. 6); при консервативном варианте формы — отдельное согласие (чекбокс) · 1 год с даты последнего контакта, если не заключён договор · Уничтожение записи об обращении; акт уничтожения

4 · Рекламные и информационные рассылки: спецпредложения, напоминания о важных датах, персональные подборки, новости, опросы — по СМС, электронной почте, в Telegram и push-уведомлениями · Покупатели и пользователи, давшие согласие · Имя, номер телефона, адрес электронной почты, идентификатор Telegram, история заказов и предпочтения (для персонализации), важные даты, сегмент, сведения о доставке и прочтении сообщений · Согласие (ст. 15 Закона; ст. 18 Закона «О рекламе») · До отзыва согласия · Прекращение рассылок немедленно после отзыва; уничтожение данных, обрабатываемых только для этой цели, в течение 30 дней; сведения о факте согласия и отзыва хранятся 3 года для подтверждения правомерности

5 · Аналитика и улучшение Сайта: статистика посещений, эффективность рекламы, исправление ошибок · Посетители Сайта · Cookie-файлы и иные идентификаторы браузера/устройства, IP-адрес, данные о браузере и устройстве, страницы и действия на Сайте, источник перехода, город по IP-адресу · Согласие (cookie-баннер) — для функциональных, аналитических и рекламных cookie; законный интерес — для технических cookie, необходимых для работы Сайта · Согласно Политике cookie ({{САЙТ}}/legal/cookies/): технические — на время сессии или до 12 месяцев; функциональные, аналитические и рекламные — до 12 месяцев · Истечение срока cookie, удаление пользователем; данные сервисов аналитики — по их правилам

6 · Публикация отзывов о заказах на Сайте и в социальных сетях Оператора · Покупатели, давшие согласие на распространение · Имя (в указанном пользователем виде), текст отзыва, оценка, фотографии, приложенные к отзыву, город · Согласие на обработку данных, разрешённых для распространения (ст. 10.1 Закона) · До отзыва согласия · Удаление отзыва с Сайта в течение 3 рабочих дней после отзыва согласия

7 · Обеспечение безопасности Сайта и сервисов, предотвращение мошенничества, защита прав Оператора · Посетители, пользователи, Покупатели · IP-адрес, данные о браузере и устройстве, журналы доступа и действий, сведения о платёжных операциях (без данных карт), сведения о подозрительных действиях · Законный интерес (п. 7 ч. 1 ст. 6) · 1 год; при наличии спора — до его завершения · Автоматическая ротация журналов

8 · Исполнение требований законодательства: бухгалтерский и налоговый учёт, фискализация (54-ФЗ), ответы на запросы государственных органов, ведение учёта согласий и обращений субъектов · Покупатели, контрагенты, субъекты, направившие запросы · Данные, содержащиеся в первичных документах, чеках, договорах; данные, необходимые для ответа на запрос · Закон (п. 2 ч. 1 ст. 6) · Сроки, установленные законодательством (первичные документы — 5 лет; журнал обращений субъектов — 3 года) · По истечении установленных сроков; акт уничтожения

9 · Трудовые отношения и привлечение исполнителей: кадровый учёт работников, договоры с флористами и курьерами, подбор персонала · Работники, исполнители по гражданско-правовым договорам, соискатели · Данные, предусмотренные Трудовым кодексом РФ и гражданско-правовыми договорами: ФИО, дата рождения, паспортные данные, ИНН, СНИЛС, адрес, телефон, электронная почта, сведения об образовании и опыте, банковские реквизиты для выплат; данные соискателей — из резюме · Трудовой кодекс РФ, договор; для соискателей — согласие · Сроки, установленные законодательством об архивном деле; данные соискателей — 6 месяцев после завершения подбора · По истечении установленных сроков; акт уничтожения

Данные банковских карт (номер, срок действия, код) Оператору не передаются и им не обрабатываются: оплата производится на стороне платёжного сервиса, Оператор получает только идентификатор и статус платежа, последние четыре цифры номера карты и сумму.

5. Порядок и условия обработки

5.1. Способы обработки. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных с использованием средств автоматизации (информационная система Сайта и встроенная система учёта клиентов и заказов) и без их использования (бумажные накладные, документы кадрового учёта).

5.2. Источники получения. Персональные данные получаются непосредственно от субъекта (формы Сайта, телефон, мессенджеры, электронная почта, Личный кабинет), от Покупателя — в отношении Получателя (Оператор не уведомляет Получателя отдельно, поскольку данные получены в связи с исполнением договора, выгодоприобретателем по которому является Получатель, — пункт 2 части 4 статьи 18 Закона), а также автоматически при использовании Сайта (cookie-файлы, журналы). Покупатель, сообщающий данные Получателя, подтверждает, что вправе передать их Оператору для исполнения договора.

5.3. Локализация. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации: сервер Сайта и база данных размещены у российского хостинг-провайдера {{ХОСТИНГ_ПРОВАЙДЕР}}, файлы — в облачном хранилище {{S3_ПРОВАЙДЕР}} (Российская Федерация). Резервные копии хранятся на территории Российской Федерации.

5.4. Лица, обрабатывающие данные по поручению Оператора (часть 3 статьи 6 Закона). Оператор поручает обработку персональных данных следующим лицам на основании договоров, содержащих перечень действий, цели, обязанность соблюдать конфиденциальность и обеспечивать безопасность данных:

Лицо · Что обрабатывает · Цель

--- · --- · ---

{{ХОСТИНГ_ПРОВАЙДЕР}} (хостинг, РФ) · Все данные, хранящиеся на сервере Сайта · Размещение и хранение информационной системы

{{S3_ПРОВАЙДЕР}} (облачное хранилище, РФ) · Фотографии и файлы (фото заказов, референсы) · Хранение файлов

{{SMS_ПРОВАЙДЕР}} (СМС-рассылки) · Номер телефона, текст сообщения · Отправка кодов подтверждения, уведомлений и — при наличии согласия — рассылок

{{EMAIL_ПРОВАЙДЕР}} (почтовые рассылки) · Адрес электронной почты, имя, текст сообщения · Отправка писем о заказе, чеков и — при наличии согласия — рассылок

ООО «Яндекс» (Яндекс Метрика) · Cookie-файлы, IP-адрес, данные об устройстве и действиях на Сайте · Веб-аналитика (при согласии посетителя)

{{ДАДАТА_ЮРЛИЦО}} (сервис подсказок адресов) · Вводимая строка адреса · Стандартизация адреса доставки

ООО «Яндекс» (Яндекс Карты, геокодер) · Строка адреса доставки (без имени и телефона) · Определение координат и зоны доставки

{{РЕКЛАМНЫЕ_СЕТИ}} (рекламные пиксели — при проведении кампаний) · Cookie-файлы, идентификаторы устройства · Измерение эффективности рекламы (при согласии посетителя)

5.5. Передача третьим лицам — самостоятельным операторам. Для исполнения договора Оператор передаёт минимально необходимые данные: платёжному сервису {{ПЛАТЁЖНЫЙ_СЕРВИС}} и оператору фискальных данных {{ОФД}} — сумму платежа, адрес электронной почты или телефон для направления кассового чека; операторам связи и сервису Telegram — для доставки сообщений на указанные субъектом номера и аккаунты; банку Оператора — при возвратах. Персональные данные не продаются и не передаются третьим лицам для их собственных маркетинговых целей. Данные могут быть переданы уполномоченным государственным органам по их законным запросам.

5.6. Трансграничная передача. Оператор не осуществляет трансграничную передачу персональных данных, за исключением направления сообщений через мессенджер Telegram пользователям, которые самостоятельно подключили Telegram-бот Оператора: серверы мессенджера могут находиться за пределами Российской Федерации. В сообщениях Telegram передаются только сведения, необходимые для информирования о заказе (номер и статус заказа, имя, время доставки, фото букета); адрес доставки и данные Получателя в Telegram не направляются. {{ТРАНСГРАНИЧНАЯ_ФРАЗА}}

5.7. Cookie-файлы и аналитика. Сайт использует технические cookie-файлы, необходимые для его работы (сессия, корзина, защита от подделки запросов, сохранение выбора в cookie-баннере), и — при согласии посетителя — функциональные (запоминание района доставки и недавних просмотров), аналитические и рекламные cookie-файлы (Яндекс Метрика, рекламные пиксели {{РЕКЛАМНЫЕ_СЕТИ}}). Состав cookie-файлов, сроки их хранения и способы управления описаны в Политике cookie ({{САЙТ}}/legal/cookies/). Отказ от аналитических cookie не ограничивает возможность пользоваться Сайтом и оформлять заказы.

5.8. Доступ работников. Доступ к персональным данным имеют только работники и исполнители Оператора, которым он необходим для выполнения обязанностей (операторы, флористы, курьеры, бухгалтер), в объёме, определяемом ролью в информационной системе; курьеру доступны только данные текущих заказов на доставку. Все лица, имеющие доступ, подписывают обязательство о неразглашении.

5.9. Конфиденциальность. Оператор и лица, получившие доступ к персональным данным, не раскрывают их третьим лицам и не распространяют без согласия субъекта, если иное не предусмотрено законом.

5.10. Сроки хранения определены в разделе 4. По истечении срока данные уничтожаются или обезличиваются в течение 30 дней. При невозможности уничтожения в срок (например, технологические ограничения резервных копий) данные блокируются и уничтожаются не позднее 6 месяцев.

6. Права субъектов персональных данных и порядок их реализации

6.1. Субъект вправе: получать информацию, касающуюся обработки его персональных данных (подтверждение факта обработки, цели, способы, сроки, перечень данных, сведения о лицах, которым данные переданы или могут быть переданы, о трансграничной передаче); требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели; отозвать согласие на обработку; отказаться от получения рекламных рассылок; обжаловать действия или бездействие Оператора в Роскомнадзор или в суд; на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

6.2. Как направить запрос. Запросы и обращения направляются на адрес электронной почты {{EMAIL}} (тема «Персональные данные»), письменно по адресу {{АДРЕС_ИП}} либо через Личный кабинет (раздел «Настройки → Данные и согласия»). Оператор не ограничивает субъекта в выборе способа обращения; при обращении по телефону или в мессенджере Оператор фиксирует обращение и при необходимости просит подтвердить личность.

6.3. Запрос должен содержать: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер заказа, номер телефона, адрес электронной почты) либо иные сведения, подтверждающие факт обработки; подпись субъекта или его представителя. Запрос из Личного кабинета или с адреса электронной почты, привязанного к Личному кабинету после подтверждения по коду, признаётся направленным субъектом.

6.4. Сроки. Оператор предоставляет запрошенные сведения или мотивированный отказ в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления. Уточнение неполных или неточных данных, а также уничтожение данных, обрабатываемых незаконно, производятся в сроки, установленные статьёй 21 Закона (7 рабочих дней с даты подтверждения соответствующих сведений).

6.5. Отзыв согласия. Согласие на обработку отзывается: на рекламные рассылки — по ссылке «Отписаться» в письме или СМС, командой /stop в Telegram-боте, переключателем в Личном кабинете или сообщением Оператору; на аналитические cookie — через настройки cookie на Сайте; иные согласия — сообщением по адресу {{EMAIL}} или через Личный кабинет. Рассылки прекращаются немедленно. При отзыве согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней, если отсутствуют иные законные основания продолжать обработку (например, обязанность хранить документы об исполненных заказах); о продолжении обработки на ином основании субъект уведомляется.

6.6. Удаление Личного кабинета. Пользователь может удалить Личный кабинет в разделе «Настройки» или направив запрос Оператору. Аккаунт, сохранённые адреса, получатели, важные даты, предпочтения и бонусный счёт удаляются в течение 30 дней; сведения о заказах, необходимые для бухгалтерского и налогового учёта и защиты прав в спорах, сохраняются в обезличенном виде на сроки, указанные в разделе 4.

6.7. Право субъекта на доступ к своим данным может быть ограничено в случаях, предусмотренных частью 8 статьи 14 Закона.

7. Меры по обеспечению безопасности персональных данных

7.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (статьи 18.1 и 19 Закона), в том числе:

7.2. Инциденты. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов уведомляет Роскомнадзор об инциденте и в течение 72 часов — о результатах внутреннего расследования, а также принимает меры по устранению последствий и информирует затронутых субъектов, если инцидент создаёт для них существенный риск.

8. Актуализация, исправление, блокирование и уничтожение персональных данных

8.1. Персональные данные актуализируются по обращению субъекта, при обновлении данных в Личном кабинете и при выявлении неточностей Оператором. До подтверждения неточности данные блокируются, если блокирование не нарушает права субъекта и третьих лиц.

8.2. Персональные данные уничтожаются: по достижении целей обработки или утрате необходимости в их достижении; по истечении сроков хранения; при отзыве согласия (при отсутствии иных оснований); по требованию субъекта в случаях, предусмотренных Законом; при выявлении неправомерной обработки, если обеспечить правомерность невозможно (в срок не более 10 рабочих дней).

8.3. Уничтожение производится способом, исключающим восстановление: удаление записей из базы данных и файлов из хранилища с последующей ротацией резервных копий, обезличивание сведений о заказах, уничтожение бумажных документов. Факт уничтожения оформляется актом, а при обработке в информационной системе — выгрузкой из журнала регистрации событий (приказ Роскомнадзора от 28.10.2022 № 179); акты и выгрузки хранятся 3 года.

9. Заключительные положения

9.1. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации. При противоречии Политики и закона применяется закон.

9.2. Контроль за исполнением Политики осуществляет лицо, ответственное за организацию обработки персональных данных. Обращения по вопросам обработки персональных данных: {{EMAIL}}, {{ТЕЛЕФОН}}, {{АДРЕС_ИП}}.

9.3. Оператор внесён в реестр операторов, осуществляющих обработку персональных данных: регистрационный номер {{НОМЕР_В_РЕЕСТРЕ_РКН}} от {{ДАТА_УВЕДОМЛЕНИЯ_РКН}}.

Реквизиты Оператора: индивидуальный предприниматель {{ФИО_ИП}}, ИНН {{ИНН}}, ОГРНИП {{ОГРНИП}}, адрес: {{АДРЕС_ИП}}, e-mail: {{EMAIL}}, телефон: {{ТЕЛЕФОН}}.

Примечания для юриста (удалить перед публикацией)

1. Получатель как выгодоприобретатель (п. 3, 5.2). Обработка данных Получателя без его согласия и без уведомления обоснована п. 5 ч. 1 ст. 6 и п. 2 ч. 4 ст. 18 Закона. Проверить позицию с учётом практики Роскомнадзора по «доставке третьим лицам»; альтернатива — уведомление Получателя в первом СМС курьера (сервисное сообщение, текст — 03_soglasie_pdn.md §3.9). 2. Telegram (п. 5.6). Отправка сообщений через Telegram-бот может рассматриваться как трансграничная передача (ст. 12). Решить: подавать ли уведомление о трансграничной передаче (страна — по месту нахождения серверов Telegram) либо ограничиться минимизацией данных; заполнить {{ТРАНСГРАНИЧНАЯ_ФРАЗА}} («Оператор уведомил Роскомнадзор о намерении осуществлять трансграничную передачу…» или удалить). 3. Яндекс Метрика как обработчик (п. 5.4). Условия использования Метрики предусматривают обработку данных Яндексом по поручению владельца сайта; проверить актуальную редакцию условий и необходимость отдельного соглашения. Вебвизор: включать только с маскированием полей форм. 4. Сроки хранения (раздел 4). Сроки 3 года (исковая давность) и 5 лет (первичные документы, ст. 23 НК РФ, ст. 29 Закона о бухучёте) — проверить; при наличии ККТ — сроки хранения фискальных данных (у ОФД 5 лет). 5. Уровень защищённости (п. 7.1). Предварительная оценка для ИСПДн Сайта: иные категории ПДн, субъекты — не работники, менее 100 000 субъектов, актуальны угрозы 3-го типа → УЗ-4 (ПП 1119, п. 12). Зафиксировать актом определения уровня защищённости и моделью угроз (методика ФСТЭК 2021). 6. Работники (цель 9). Если флористы и курьеры оформлены как самозанятые или по ГПХ — уточнить формулировки; при трудовых договорах — отдельное положение о ПДн работников (ст. 86–90 ТК РФ) и согласия на передачу данных в банк (зарплатный проект). 7. Реестр РКН (п. 9.3). Пункт заполняется после получения регистрационного номера; до подачи уведомления пункт удалить.