1. Оператор
Оператор: Индивидуальный предприниматель Григорьева Алла Ивановна, ИНН 775 178 865 373, ОГРНИП 325 774 600 778 372, адрес: 143 444, Россия, Московская область, г. Красногорск, мкр. Опалиха, ул. Белинского, д. 23.
По вопросам персональных данных: privacy@grigorievy.ru; телефон: +7 (925) 367-77-17.

2. Принципы обработки
• законность и ограничение обработки заранее определёнными целями;
• соответствие объёма данных заявленным целям и недопущение избыточности;
• точность и актуальность данных;
• хранение не дольше необходимого либо предусмотренного законом срока;
• конфиденциальность, контроль доступа и применение необходимых мер защиты.

3. Категории субъектов и данных
Оператор может обрабатывать данные посетителей Сайта, покупателей, получателей заказов, лиц, направивших обращения, подписчиков рекламных сообщений (при отдельном согласии), а также представителей контрагентов.
• фамилия, имя, отчество — если предоставлены;
• номер телефона и адрес электронной почты;
• адрес доставки, выбранный ПВЗ и иные сведения, необходимые для доставки;
• сведения о заказе, товарах, сумме, статусе оплаты и идентификаторе операции (без хранения полного номера банковской карты Продавцом);
• содержание обращений и переписки;
• технические данные: IP-адрес, сведения о браузере/устройстве, дата и время посещения, cookie и сходные идентификаторы;
• технические сведения, подтверждающие факт и содержание согласия/акцепта: дата, время, страница, версия текста, значение чекбокса и связанный контакт/идентификатор.
Оператор не запрашивает специальные категории персональных данных и биометрические данные для обычной работы интернет-магазина.

4. Цели, данные, основания и сроки

5. Способы и источники получения данных
5.1. Данные поступают от субъекта при оформлении Заказа, заполнении форм, переписке, обращении по телефону/e-mail, взаимодействии с официальными страницами/мессенджерами Оператора, оплате и доставке, а также автоматически в части технических данных при посещении Сайта.
5.2. Оператор совершает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление/доступ) в предусмотренных случаях, обезличивание, блокирование, удаление и уничтожение с использованием средств автоматизации и без них.

6. Лица и сервисы, участвующие в обработке
Для исполнения заявленных целей Оператор использует только необходимый объём данных и может поручать обработку/передавать данные следующим лицам и сервисам:
• Tilda Platform Cloud Services Co. LLC (платформа Tilda) — работа сайта и приём данных из форм; обработка осуществляется на основании условий платформы и поручения на обработку персональных данных;
• ООО «ЯНДЕКС» — Яндекс Метрика и связанные функции аналитики в объёме, разрешённом выбором пользователя;
• ООО НКО «ЮМани» — ЮKassa для проведения платежей;
• ПАО Сбербанк — интернет-эквайринг и обработка платежа;
• ООО «СДЭК-Глобал» — доставка и логистические операции.
До подключения любой новой CRM, сервиса рассылок, облачной таблицы, webhook или иной системы, получающей персональные данные, Оператор проверяет правовое основание, условия поручения, локализацию, необходимость трансграничной передачи и обновляет настоящую Политику до начала такой передачи.

7. Локализация и трансграничная передача
7.1. При сборе персональных данных граждан Российской Федерации через Интернет первичная запись, систематизация, накопление, хранение, уточнение и извлечение организуются с использованием баз данных на территории Российской Федерации в случаях, предусмотренных законом.
7.2. Для российского профиля Tilda заявляет сбор и хранение данных на российских серверах партнёров Selectel и Яндекс Облако. Оператор самостоятельно контролирует настройки подключённых сторонних сервисов.
7.3. Обычная работа интернет-магазина не предполагает запланированную трансграничную передачу. Если новый сервис, доступ иностранного пользователя к проекту или иное изменение приведёт к трансграничной передаче, Оператор до её начала выполняет требования статьи 12 Закона № 152-ФЗ, включая отдельное уведомление Роскомнадзора, когда оно требуется.

8. Cookie и Яндекс Метрика
8.1. Обязательные технические cookie применяются для работоспособности и безопасности. Необязательная аналитика активируется в соответствии с выбором пользователя в cookie-баннере.
8.2. В Яндекс Метрику не должны передаваться Ф.И.О., телефон, e-mail, адрес, банковские и иные прямо идентифицирующие сведения через URL, UTM-метки, параметры событий или поля форм, кроме специально предусмотренных сервисом функций при наличии надлежащего основания.
8.3. При использовании Вебвизора поля с персональными данными должны быть исключены из записи; безопасный вариант — отключить запись всех полей или применить средства маскирования/класс ym-disable-keys к таким полям.

9. Права субъекта
• получить сведения об обработке своих данных;
• потребовать уточнения, блокирования или уничтожения в предусмотренных законом случаях;
• отозвать согласие;
• потребовать прекращения обработки в предусмотренных законом случаях;
• обжаловать действия Оператора в Роскомнадзор или суд.
Обращения направляются на privacy@grigorievy.ru или по адресу: 143 444, Россия, Московская область, г. Красногорск, мкр. Опалиха, ул. Белинского, д. 23.

10. Прекращение обработки, отзыв и уничтожение
10.1. При достижении цели данные прекращают обрабатываться и уничтожаются в срок не более 30 дней, если иное хранение не требуется по договору или закону.
10.2. При отзыве согласия обработка, основанная исключительно на таком согласии, прекращается, а данные уничтожаются в срок не более 30 дней, если отсутствует иное законное основание для их обработки.
10.3. При требовании субъекта о прекращении обработки Оператор действует в сроки и с исключениями, предусмотренными статьёй 21 Закона № 152-ФЗ. Если уничтожение в установленный срок невозможно, данные блокируются и уничтожаются не позднее 6 месяцев, если иной срок не установлен законом.

11. Меры защиты и сведения о реализуемых требованиях
• ограничение доступа к данным только лицами, которым он необходим для работы;
• использование индивидуальных учётных записей и надёжной аутентификации в подключённых сервисах;
• использование HTTPS и защищённых каналов передачи;
• регулярная проверка прав доступа и состава подключённых интеграций;
• резервирование и восстановление данных в пределах используемых сервисов;
• учёт обращений субъектов, отзывов согласий и операций уничтожения;
• оценка новых обработчиков и заключение/принятие условий поручения на обработку, когда оно необходимо;
• организационная процедура реагирования на инциденты и нарушения.

12. Инциденты персональных данных
При выявлении неправомерной или случайной передачи/доступа к персональным данным, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о первичных обстоятельствах и в течение 72 часов — о результатах внутреннего расследования в объёме, предусмотренном законом.

13. Обновление Политики
Политика пересматривается при изменении законодательства, целей, состава данных, способов обработки, поставщиков сервисов или каналов продаж. Актуальная редакция размещается на Сайте.

Реквизиты и контакты

Нормативная основа
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», включая статьи 6, 9, 12, 18, 18.1, 20−22.
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» — применительно к рекламным сообщениям.
Примечание: документ подготовлен как рабочая юридическая редакция для российского интернет-магазина по состоянию на дату редакции. При изменении законодательства, бизнес-процессов, фактического состава интеграций или способов продаж документ необходимо актуализировать.