Политика в отношении обработки персональных данных

Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в интернет-площадке Estetia (https://estetia.ru) и составлена во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператором персональных данных является:

Оператор — физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход»; статуса индивидуального предпринимателя не имеет. На объём обязанностей оператора персональных данных это не влияет.

Политика распространяется на все персональные данные, которые Оператор получает от пользователей площадки. Использование площадки означает, что пользователь ознакомлен с настоящей Политикой. Согласие на обработку персональных данных выражается отдельно — при регистрации; фактом пользования площадкой оно не даётся.

Настоящая Политика описывает обработку, которую ведёт Оператор. Обработку, которую после получения данных ведёт продавец, Оператор не определяет: продавец выступает самостоятельным оператором персональных данных — см. раздел 6.

Оператор обрабатывает персональные данные на следующих основаниях:

• Согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) — при регистрации на площадке и при подписке на рассылку;
• Исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ) — при оформлении и исполнении заказа, в том числе при передаче сведений продавцу, у которого заказ оформлен;
• Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ) — в части хранения документов о сделках;
• Осуществление прав и законных интересов Оператора и третьих лиц (п. 7 ч. 1 ст. 6 152-ФЗ) — при формировании и показе продавцу сведений об исполнении покупателем прежних заказов и о полученных покупателем оценках (раздел 5). Такая обработка ведётся при условии, что не нарушаются права и свободы субъекта персональных данных.
• Обязательное раскрытие сведений о продавце — сведения о продавце товара (правовой статус, фамилия, имя и отчество либо наименование, ИНН, регистрационный номер, адрес для направления претензий) доводятся до покупателя во исполнение обязанности Оператора как владельца агрегатора и публикуются независимо от согласия продавца.

Сбор статистики посещаемости средствами веб-аналитики производится на основании отдельного согласия, выражаемого выбором «Принять все» в баннере файлов cookie. Это согласие не связано с регистрацией: его даёт любой посетитель, и отказ от него не ограничивает пользование площадкой.

Покупатели

• адрес электронной почты и отметка о его подтверждении;
• имя и фамилия;
• номер телефона;
• город, почтовый адрес доставки, почтовый индекс;
• изображение профиля (аватар), если загружено пользователем;
• сведения о заказах: состав, стоимость, статус, данные получателя, номер отправления;
• содержимое корзины и списка избранного;
• тексты отзывов и оценки;
• тексты комментариев к записям блога;
• переписка с продавцами во встроенном чате;
• техническая информация: IP-адрес, сведения о браузере, дата и время действий.

Пароль в открытом виде не хранится — сохраняется только его криптографическое преобразование, по которому исходный пароль восстановить нельзя.

Имя и изображение профиля Пользователя, оставившего отзыв о товаре или комментарий к записи блога, отображаются рядом с отзывом или комментарием и доступны неограниченному кругу лиц. Эти сведения делает общедоступными сам Пользователь, публикуя отзыв или комментарий, и сам определяет их состав, редактируя профиль в настройках аккаунта, — тем же порядком, что описан в разделе 9 Пользовательского соглашения. Если Пользователь, оставивший комментарий, оформлял у мастерской, которой принадлежит запись, завершённый заказ, рядом с комментарием показывается пометка «Покупал(а) у мастерской»: она сообщает только сам факт наличия такого заказа и не раскрывает его состав, стоимость или иные подробности.

Продавцы

Помимо данных, указанных выше, обрабатываются сведения о мастерской: наименование, описание, город, изображения оформления, показатели продаж и рейтинг, тексты записей блога и фотографии в них, а также сведения о продавце: наименование либо фамилия, имя и отчество, а для предпринимателей — идентификационный номер налогоплательщика, регистрационный номер и адрес.

Реквизиты продавца публикуются открыто — в карточке мастерской и в карточке товара. Это необходимо, чтобы покупатель знал, с кем вступает в договорные отношения и кому предъявлять требования по товару. Согласие на публикацию реквизитов даётся продавцом при создании мастерской; без такого согласия размещение товаров на площадке невозможно.

Посетители площадки

Если посетитель согласился на аналитические файлы cookie, средствами сервиса Яндекс.Метрика обрабатываются: присвоенный сервисом обезличенный идентификатор браузера, IP-адрес, сведения об устройстве и браузере, приблизительный регион по IP-адресу, адрес источника перехода, просмотренные страницы и действия на них (перемещения указателя, прокрутка, нажатия). Обработка ведётся в обезличенном виде: с учётной записью эти сведения не сопоставляются.

Разделы, где вводятся или отображаются персональные данные — оформление заказа, личный кабинет, вход и регистрация, — исключены из записи действий на странице. Содержимое полей ввода, включая имя, телефон, адрес доставки и пароль, сервису не передаётся.

Если посетитель отдельно согласился на функциональные файлы cookie, сервис Jivo обрабатывает присвоенный идентификатор посетителя, адрес страницы, приблизительный регион по IP-адресу, сведения об устройстве и браузере, а при обращении в чат — содержание переписки и добровольно указанные контакты. Без такого согласия виджет не загружается.

Данные, которые Оператор не обрабатывает

Оператор не обрабатывает специальные категории персональных данных (сведения о состоянии здоровья, национальной и религиозной принадлежности, политических взглядах) и не обрабатывает биометрические персональные данные. Изображения профиля используются исключительно для оформления страницы и не применяются для установления личности.

Оператор не хранит платёжные реквизиты: номера банковских карт, срок их действия и защитные коды на площадке не сохраняются. Расчёты между покупателем и продавцом через площадку не производятся, платежи Оператору не поступают.

• регистрация и аутентификация пользователя, поддержание сессии;
• подтверждение адреса электронной почты и восстановление доступа;
• оформление, исполнение и доставка заказов;
• предоставление продавцу сведений, необходимых для исполнения заказа и связи с получателем, — в объёме и на основании, указанных в разделе 6;
• информирование о статусе заказа и об изменениях в аккаунте;
• обеспечение связи между покупателем и продавцом;
• работа системы отзывов и рейтингов, включая формирование сведений о покупателе для продавца (раздел 5), — на основании п. 7 ч. 1 ст. 6 152-ФЗ;
• премодерация и публикация записей и комментариев раздела «Блог»;
• рассмотрение обращений и разрешение спорных ситуаций;
• направление рекламных и информационных сообщений — только при отдельном согласии;
• предотвращение мошенничества и обеспечение безопасности площадки;
• сбор обезличенной статистики посещаемости и анализ пользования площадкой — только при согласии на аналитические файлы cookie;
• работа онлайн-консультанта — только при согласии на функциональные файлы cookie;
• проверка достоверности сведений о правовом статусе продавца, включая сверку статуса плательщика налога на профессиональный доход с данными Федеральной налоговой службы, допуск мастерской к размещению товаров и её приостановка при отсутствии правового статуса;
• доведение до покупателя сведений о продавце товара до оформления заказа — в объёме и на основании, указанных в разделах 2 и 6;
• исполнение обязанностей, предусмотренных законодательством.

Помимо сведений, необходимых для отправки заказа (раздел 6), продавцу, у которого оформлен заказ, отображаются:

• имя покупателя и изображение его профиля, если оно загружено;
• обобщённая статистика: общее количество заказов, количество завершённых и количество отменённых покупателем заказов, а также дата первого заказа;
• рейтинг покупателя и отзывы, оставленные о нём другими продавцами.

Эти сведения формируются автоматически на основании истории заказов и полученных оценок и предназначены для оценки продавцом рисков при подготовке отправления. Решения, порождающие юридические последствия, исключительно на основании такой автоматизированной обработки не принимаются; отказ продавца от исполнения заказа не является автоматическим.

Правовое основание этой обработки — п. 7 ч. 1 ст. 6 152-ФЗ: она необходима для осуществления прав и законных интересов Оператора и продавцов, состоящих в защите от недобросовестных действий при исполнении заказов. Для исполнения самого договора купли-продажи эти сведения не нужны, поэтому на основание, указанное в разделе 6, они не опираются. Обработка ведётся при условии, что не нарушаются права и свободы покупателя.

После завершения заказа продавец вправе оценить покупателя. Оставленный отзыв виден продавцам, у которых покупатель оформлял заказы, — в карточке соответствующего заказа, — и самому покупателю в разделе «Отзывы» его профиля. Продавцу, у которого покупатель ничего не заказывал, отзывы о нём не доступны. Остальным пользователям и посетителям площадки отзывы о покупателе не показываются и в открытом доступе не размещаются.

Покупатель, не согласный с содержанием отзыва, вправе направить обращение на support@estetia.ru. Обращение рассматривается в срок, не превышающий 30 дней. Отзыв, содержащий недостоверные сведения о фактах, уточняется или удаляется; оценка продавцом того, как прошёл заказ, предметом такой проверки не является.

Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных ниже.

Продавец, у которого оформлен заказ

Договор купли-продажи товара заключается между покупателем и продавцом; Оператор стороной этого договора не является и расчётов по нему не ведёт. Чтобы продавец мог заказ исполнить, ему предоставляются сведения о покупателе. Поручением обработки такое предоставление не является: указаний о том, как обращаться с полученными данными, Оператор продавцу не даёт.

Продавец является самостоятельным оператором персональных данных. Получив сведения о покупателе, он определяет цели и способы их дальнейшей обработки самостоятельно и несёт предусмотренные 152-ФЗ обязанности оператора — включая уведомление уполномоченного органа об обработке персональных данных и обеспечение их безопасности. В отношении этой обработки Оператор площадки целей и способов не определяет и оператором персональных данных не является.

Настоящей Политикой покупатель уведомляется о передаче до того, как она совершается: здесь названы получатель, состав передаваемых сведений, цель и правовое основание, а реквизиты конкретного продавца покупатель видит при оформлении заказа и в карточке заказа.

Требования, касающиеся такой обработки, — уточнение, блокирование или уничтожение данных, прекращение обработки — направляются продавцу по реквизитам, опубликованным в карточке его мастерской. Если связаться с продавцом не удалось, обращение можно направить на privacy@estetia.ru: Оператор перешлёт его продавцу и сообщит заявителю о пересылке. По существу такого требования Оператор не отвечает — оператором в отношении этой обработки он не является.

По обращению покупателя на privacy@estetia.ru Оператор сообщает перечень продавцов, которым передавались его персональные данные, в срок, не превышающий 30 дней с даты получения обращения.

Отзыв согласия, данного при регистрации, эту передачу не прекращает: она ведётся на ином основании — для исполнения договора, стороной которого является сам покупатель. Прекращение обработки продавцом происходит по достижении её целей либо по требованию покупателя, направленному продавцу.

Если заказ оформлен на другое лицо. Покупатель вправе указать получателем иное лицо — например, при отправке подарка. Фамилия и имя такого получателя, его номер телефона, адрес электронной почты и адрес доставки передаются продавцу на том же основании (п. 5 ч. 1 ст. 6 152-ФЗ): получатель является выгодоприобретателем по договору купли-продажи. Сведения о получателе Оператор получает не от него самого, а от покупателя, поэтому обязанность довести до получателя сведения об обработке (ч. 3 ст. 18 152-ФЗ) лежит на Операторе: эти сведения содержит настоящий раздел, опубликованный по адресу https://estetia.ru/privacy. Покупатель, указывающий данные другого лица, дополнительно обязуется уведомить его о такой передаче; это обязательство обязанность Оператора не заменяет.

Лица, которым поручена обработка

Обработка поручается следующим лицам на основании договоров, содержащих обязанность соблюдать конфиденциальность и обеспечивать безопасность данных:

Федеральная налоговая служба

Для проверки правового статуса продавца, заявившего о применении налога на профессиональный доход, Оператор обращается к сервису Федеральной налоговой службы и передаёт ему идентификационный номер налогоплательщика продавца и дату, на которую запрашивается статус. Иные сведения не передаются. Поручением обработки такое обращение не является: Оператор запрашивает сведения из государственного реестра, а не поручает обработку своих данных. Результат проверки хранится у Оператора и не раскрывается ни покупателям, ни самому продавцу.

Оператор веб-аналитики

Отдельно — на основании согласия на аналитические файлы cookie, а не согласия, данного при регистрации, — обработка поручается оператору сервиса веб-аналитики. Пока такое согласие не дано, сервис не загружается и никакие сведения ему не передаются:

Порядок отказа от аналитических файлов cookie описан в Политике использования файлов cookie.

Государственные органы

Персональные данные также могут быть предоставлены государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации.

Оператор не осуществляет трансграничную передачу персональных данных. Все лица, которым поручена обработка, находятся на территории Российской Федерации, и обработка производится на серверах, расположенных в Российской Федерации.

Продавцы, которым передаются сведения о покупателе (раздел 6), также находятся на территории Российской Федерации: мастерская может быть зарегистрирована только с адресом в Российской Федерации.

В случае если Оператор начнёт передачу данных на территорию иностранного государства, настоящая Политика будет изменена, а трансграничная передача начнётся не ранее уведомления уполномоченного органа и получения согласия субъектов в случаях, предусмотренных ст. 12 152-ФЗ.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации, что соответствует требованию ч. 5 ст. 18 152-ФЗ.

Серверная инфраструктура размещается у провайдера Timeweb, г. Москва, Российская Федерация. Резервные копии и загруженные изображения хранятся в облачном хранилище, размещённом на территории Российской Федерации.

• сведения аккаунта — до удаления аккаунта пользователем;
• сведения о заказах — 5 лет с момента исполнения заказа (ч. 1 ст. 29 402-ФЗ);
• переписка в чате — 3 года с момента последнего сообщения в переписке;
• отправленные уведомления — 1 год с момента отправки;
• отзывы продавцов о покупателе и рассчитанный по ним рейтинг — до удаления аккаунта покупателя: тексты отзывов удаляются вместе с аккаунтом;
• комментарии к записям блога — сохраняются на Площадке после удаления аккаунта в обезличенном виде: текст комментария остаётся, указание на автора и пометка «Покупал(а) у мастерской» удаляются;
• записи о выданных и отозванных согласиях — бессрочно — запись о согласии является доказательством правомерности обработки.

По достижении целей обработки либо в случае отзыва согласия персональные данные подлежат уничтожению или обезличиванию, за исключением данных, хранение которых Оператор обязан обеспечить в силу закона.

Сроки, в течение которых сведения о покупателе хранит продавец, получивший их для исполнения заказа, определяет сам продавец как самостоятельный оператор (раздел 6).

• передача данных по защищённому протоколу HTTPS;
• хранение паролей исключительно в виде необратимых криптографических хешей;
• разграничение прав доступа к информационным системам;
• ограничение сроков действия токенов доступа и подтверждения;
• ограничение частоты запросов для защиты от подбора учётных данных;
• регулярное резервное копирование;
• журналирование действий администраторов.

Пользователь вправе:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения неполных или неточных данных;
• отозвать согласие на обработку персональных данных;
• отказаться от получения рекламных сообщений;
• обжаловать действия Оператора в Роскомнадзоре или в судебном порядке.

Как реализовать эти права

Управлять согласиями и удалить аккаунт можно самостоятельно в разделе настроек профиля. Отказаться от рассылки можно по ссылке в любом рекламном письме.

Обращение по вопросам обработки персональных данных направляется на privacy@estetia.ru. Ответ предоставляется в течение 30 дней с даты получения обращения. Почтовый адрес для направления обращений указан в разделе 1.

Обращение должно содержать сведения, позволяющие идентифицировать заявителя: фамилию, имя, адрес электронной почты, указанный при регистрации, и существо требования.

Требования, касающиеся обработки, которую ведёт продавец после получения сведений о покупателе, направляются самому продавцу: в этой части он выступает самостоятельным оператором и отвечает на такие обращения сам — см. раздел 6.

Отзыв согласия на обработку персональных данных влечёт невозможность дальнейшего использования аккаунта: учётная запись обезличивается, доступ к ней прекращается. Обработка прекращается в срок, не превышающий 30 дней с даты получения отзыва (ч. 5 ст. 21 152-ФЗ).

Сведения о совершённых заказах при этом сохраняются в обезличенном виде в течение срока, установленного ч. 1 ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте». Такая обработка осуществляется без согласия субъекта на основании п. 2 ч. 1 ст. 6 152-ФЗ, поскольку необходима для исполнения возложенной на Оператора обязанности.

Отзыв согласия не прекращает обработку сведений о покупателе продавцом, получившим их для исполнения заказа: она ведётся на основании п. 5 ч. 1 ст. 6 152-ФЗ и прекращается в порядке, описанном в разделе 6.

Площадка использует файлы cookie и аналогичные технологии. Строго необходимые файлы обеспечивают вход в аккаунт и работу корзины и используются всегда. Аналитические файлы сервиса Яндекс.Метрика записываются только после того, как посетитель нажал «Принять все» в баннере; до этого счётчик не загружается.

Состав используемых файлов, сроки их хранения и порядок отказа — включая переключатель, позволяющий отозвать согласие в любой момент, — описаны в Политике использования файлов cookie.

Оператор вправе изменять настоящую Политику. Каждая редакция получает собственный номер и дату публикации; ранее действовавшие редакции сохраняются и доступны по ссылке в записи о согласии. Существенные изменения доводятся до пользователей по адресу электронной почты, указанному при регистрации.