Политика в отношении обработки персональных данных

1. Общие положения и сведения об операторе

Настоящая Политика определяет цели, условия и порядок обработки персональных данных в связи с использованием сайта sprezz.ru имидж-студии SPREZZATURA, а также порядок реализации прав субъектов персональных данных.

Оператор персональных данных — Индивидуальный предприниматель Чибисов Владислав Викторович (далее — Оператор).

Политика разработана с учётом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и иных применимых нормативных правовых актов Российской Федерации. Термины используются в значении, установленном законодательством.

Обработка должна быть законной, ограниченной конкретными целями и соразмерной этим целям. Состав данных не должен быть избыточным. Оператор не должен объединять базы данных, обработка которых осуществляется в несовместимых целях.

2. Область действия Политики

Политика распространяется на обработку данных посетителей сайта, лиц, обращающихся к Оператору по вопросам персональных данных, и на действия Оператора с данными, необходимыми для организации записи в студию через внешний сервис.

Сайт размещён на платформе Tilda и носит информационный характер. На нём отсутствуют формы обратной связи, регистрация, личные кабинеты и приём оплаты. Кнопка «Записаться» переводит посетителя на внешнюю платформу YCLIENTS, где вводятся данные для записи.

Отсутствие форм не означает отсутствия обработки персональных данных: при посещении сайта могут обрабатываться технические сведения и данные веб-аналитики.

Политика не заменяет документы внешних сервисов и не описывает все самостоятельные цели обработки их владельцев. Обработка данных работников и иных лиц вне указанных отношений регулируется отдельными документами Оператора.

3. Категории субъектов и состав данных

В зависимости от способа взаимодействия могут обрабатываться следующие категории данных:

• Посетители сайта: IP-адрес, идентификаторы cookie и браузера, сведения о браузере, операционной системе и устройстве, дате и времени посещения, просмотренных страницах, источнике перехода и действиях на сайте. Фактический состав зависит от работы платформы и настроек аналитики.
• Лица, направляющие обращения: имя, адрес электронной почты, содержание сообщения и иные сведения, которые лицо самостоятельно сообщает и которые необходимы для рассмотрения обращения.
• Лица, записывающиеся через YCLIENTS: имя, номер телефона и сведения о выбранной услуге, мастере и времени визита — в объёме, который фактически запрашивает форма записи и получает студия. Дополнительные поля подлежат отдельной проверке перед утверждением Политики.

Сайт не предназначен для сбора специальных категорий персональных данных, биометрических данных или платёжных реквизитов посетителей. Просим не направлять такие сведения без необходимости. Сведения о поведении посетителя не следует автоматически считать обезличенными только потому, что в них отсутствует имя.

4. Цели обработки

• Предоставление доступа к страницам сайта, обеспечение его работоспособности и безопасности, выявление технических ошибок и злоупотреблений.
• Анализ посещаемости и использования сайта, оценка удобства страниц и улучшение их содержания при наличии надлежащего правового основания.
• Рассмотрение обращений, подготовка ответов и исполнение обязанностей по защите прав субъектов персональных данных.
• Организация записи в студию, согласование параметров визита и взаимодействие с клиентом по его записи.
• Исполнение обязанностей, прямо возложенных на Оператора применимым законодательством.

Использование данных для рекламных рассылок настоящей Политикой не устанавливается. Сам факт записи или обращения не означает согласия на получение рекламы.

5. Правовые основания

Для каждой цели обработки должно быть определено самостоятельное применимое основание, предусмотренное статьёй 6 Федерального закона № 152-ФЗ. Настоящая Политика информирует об обработке и сама по себе не является согласием.

Для необязательной веб-аналитики проект предусматривает получение предварительного согласия посетителя. Посещение сайта, продолжение просмотра и ознакомление с Политикой не признаются автоматически таким согласием.

При организации записи обработка может основываться на необходимости заключения договора по инициативе клиента или исполнения договора, если конкретные действия действительно необходимы для этой цели. Для операций, не охватываемых таким основанием, требуется другое предусмотренное законом основание, в том числе согласие, когда оно необходимо.

Исполнение обязанностей по рассмотрению обращений субъектов осуществляется на основании применимых требований законодательства. Основания обработки технических журналов и обычной переписки определяются с учётом их фактических целей, состава и необходимости; наличие законного интереса не предполагается без оценки прав посетителей.

Если обработка осуществляется на основании согласия, Оператор должен обеспечивать возможность подтверждения его получения и отзыва. Отзыв согласия не исключает обработку, для которой закон допускает иное самостоятельное основание.

6. Cookie и Яндекс Метрика

Cookie — небольшие фрагменты данных, которые сайт или подключённый сервис могут сохранять в браузере. Они могут использоваться для технической работы сайта и для аналитики. Их назначение и срок действия зависят от конкретного файла и настроек сервиса.

На сайте подключена Яндекс Метрика — сервис веб-аналитики Яндекса. Он используется для получения сведений о посещаемости и взаимодействии со страницами. Согласно предоставленной для подготовки проекта информации, Вебвизор не используется; другие аналитические счётчики, онлайн-чаты и встроенные виджеты отсутствуют.

В рамках аналитики могут обрабатываться технические сведения и идентификаторы, перечисленные в разделе 3. Не следует передавать в параметры счётчика, URL и события имя, телефон, электронную почту и другие идентификационные сведения вне специально предусмотренных функций и без надлежащего основания.

При подготовке настоящего проекта отдельный механизм выбора и согласия на аналитические cookie ещё не реализован. Политика не подтверждает, что согласие уже получено, и не заменяет техническое управление запуском счётчика. До внедрения механизма необходимо определить и обеспечить правомерный режим работы аналитики.

Планируемый механизм должен позволять принять или отклонить необязательную аналитику и впоследствии изменить выбор. Его реализация и проверка запуска Метрики выполняются отдельно. До реализации нельзя считать, что перечисленные возможности уже доступны на сайте.

Посетитель может удалять cookie и ограничивать их сохранение средствами браузера. Это не отменяет ранее состоявшуюся обработку и само по себе не гарантирует прекращения всех сетевых запросов аналитики. Ограничение технически необходимых cookie может повлиять на работу сайта.

Дополнительная информация: Политика конфиденциальности Яндекса и сведения о конфиденциальности в Яндекс Метрике . Перечень используемых cookie, их сроки и фактические настройки счётчика необходимо установить до утверждения документа.

7. Порядок обработки и третьи лица

Обработка может осуществляться с использованием средств автоматизации и без них и включать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление или доступ, обезличивание, блокирование, удаление и уничтожение — только в объёме, необходимом для установленной цели.

Доступ к данным должен предоставляться только лицам, которым он необходим для выполнения обязанностей. Такие лица обязаны соблюдать конфиденциальность. Публикация данных посетителей для неограниченного круга лиц настоящей Политикой не предусматривается.

В технической работе сайта и обработке данных могут участвовать поставщик платформы Tilda, поставщик Яндекс Метрики, сервис записи YCLIENTS и используемый для обращений почтовый сервис. Их точные юридические лица, роли, состав передаваемых данных и договорные условия необходимо сопоставить с действующими договорами Оператора.

При поручении обработки другому лицу должны соблюдаться требования части 3 статьи 6 Федерального закона № 152-ФЗ, в том числе к содержанию поручения, конфиденциальности и защите данных. Поручение не освобождает Оператора от предусмотренной законом ответственности перед субъектом.

Предоставление данных государственным органам допускается при наличии законных оснований и в установленном порядке. Передача и доступ не должны быть шире, чем требуется соответствующей целью.

Требования к локализации и трансграничной передаче применяются в предусмотренных законом случаях. Настоящий проект не устанавливает факт наличия или отсутствия трансграничной передачи: расположение баз данных и маршруты передачи подлежат проверке отдельно.

8. Запись через YCLIENTS

При нажатии кнопки «Записаться» посетитель переходит на внешний сайт. Данные записи вводятся на платформе YCLIENTS, а не в форме на sprezz.ru. Перед отправкой данных следует ознакомиться с документами и условиями, размещёнными в соответствующей форме записи.

Внешний характер сервиса не означает, что только YCLIENTS отвечает за данные клиента. В отношении данных, которые студия получает и использует для организации визита и оказания услуг, Оператор определяет цели и условия своей обработки и исполняет соответствующие обязанности.

Роль поставщика YCLIENTS — обработка по поручению Оператора и/или самостоятельная обработка для собственных целей — определяется конкретными договорами и документами сервиса. Данные записи не должны использоваться для иных несовместимых целей без самостоятельного основания.

По вопросам действий студии с данными записи можно обратиться к Оператору по электронной почте, указанной в разделе 1. Это не ограничивает права обратиться непосредственно к поставщику сервиса по вопросам его собственной обработки.

9. Сроки хранения и прекращение обработки

Данные должны храниться не дольше, чем необходимо для целей обработки, если иной срок не установлен законом или применимым договором. Для каждой категории срок либо критерий его определения должен быть зафиксирован Оператором с учётом цели и правового основания.

• Для технических журналов — период, необходимый для работы и безопасности сайта, с учётом фактических условий платформы.
• Для аналитики и её идентификаторов — период, соответствующий цели анализа, фактическим настройкам сервиса и срокам cookie.
• Для обращений — период их рассмотрения и последующего хранения, необходимого для исполнения обязанностей и защиты прав при наличии основания.
• Для данных записи — период организации визита и исполнения связанных обязательств, а также обязательные сроки хранения, если они применимы.

Конкретные сроки не устанавливаются произвольно в настоящем проекте: их необходимо проверить и закрепить перед утверждением Политики. При достижении цели, утрате основания, отзыве согласия или выявлении неправомерной обработки данные подлежат блокированию, прекращению обработки или уничтожению в порядке и сроки, предусмотренные законом, если дальнейшее хранение не имеет иного законного основания.

Прекращение обработки у привлечённых лиц и удаление резервных копий должны учитываться в установленном Оператором порядке и договорных условиях. Удаление cookie в браузере не равнозначно удалению всех ранее собранных сведений у Оператора и поставщиков сервисов.

10. Права субъектов персональных данных

В предусмотренных законом случаях субъект вправе:

• Получать подтверждение обработки, сведения о её целях, основаниях, способах, сроках, составе данных и лицах, участвующих в обработке.
• Знакомиться со своими данными и требовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны, незаконно получены или не нужны для заявленной цели.
• Отозвать согласие и заявить требование о прекращении обработки в случаях и порядке, предусмотренных законом.
• Обжаловать действия или бездействие Оператора в Роскомнадзор или суд и пользоваться иными предусмотренными законом способами защиты.

Осуществление этих прав может быть ограничено только по основаниям, установленным законом. Отказ от необязательной аналитики не должен препятствовать ознакомлению с информацией о студии.

11. Обращения к Оператору

Вопросы, заявления об отзыве согласия и иные обращения по обработке персональных данных можно направить на sprezzatura.lab@yandex.ru с темой «Персональные данные».

Рекомендуется указать имя, способ взаимодействия со студией, суть требования и контакт для ответа. Представителю необходимо подтвердить полномочия. Для формального запроса о доступе применяются требования статьи 14 Федерального закона № 152-ФЗ к содержанию и подписи запроса.

Оператор вправе запросить соразмерные дополнительные сведения для установления личности и поиска данных, чтобы не раскрыть их постороннему лицу. Не следует заранее отправлять полную копию паспорта или иные избыточные сведения по обычной электронной почте; при необходимости согласуется подходящий способ подтверждения.

Ответ, уточнение, прекращение обработки или мотивированный отказ предоставляются в сроки и порядке, установленные Федеральным законом № 152-ФЗ. При допустимом законом продлении срока заявителю направляется мотивированное уведомление.

12. Обеспечение безопасности

Оператор обязан принимать необходимые и достаточные правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

Меры определяются с учётом характера обработки и актуальных угроз и должны включать разграничение доступа, управление правами пользователей используемых систем, защиту учётных записей, контроль привлечённых обработчиков, порядок рассмотрения обращений и реагирования на нарушения. Фактический состав и выполнение мер необходимо подтвердить до утверждения документа.

При выявлении нарушения применяются установленные законом процедуры, включая прекращение неправомерной обработки, устранение последствий и уведомление уполномоченного органа в предусмотренных случаях. Политика не является гарантией абсолютной защищённости любых информационных систем.

13. Изменение Политики

Политика подлежит актуализации при изменении целей и условий обработки, состава сервисов, настроек аналитики или требований законодательства. После утверждения действующая редакция размещается в открытом доступе по адресу sprezz.ru/privacy с указанием даты редакции.

Новая редакция не заменяет получение отдельного согласия, если изменённая обработка требует такого согласия. До утверждения настоящий текст имеет статус проекта и должен быть приведён в соответствие с фактическими процессами Оператора.