Политика обработки персональных данных

1. Оператор и термины

1.1. Оператор персональных данных: Студия красоты «Люменс». Контакт для обращений по вопросам персональных данных: maro3ztuva@gmail.com. Сайт: smenza.ru.

1.2. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Автоматизированная обработка — обработка с помощью средств вычислительной техники.

1.3. Используя сайт и связанные сервисы, вы подтверждаете, что ознакомились с настоящей Политикой. Согласие на обработку персональных данных оформляется отдельным документом (страница «Согласие»), как того требует законодательство.

2. Категории субъектов и состав обрабатываемых данных

2.1. Посетители сайта, направляющие обращение или запись через форму:

• имя (если указано);
• контакт для связи: номер телефона, имя пользователя Telegram или адрес электронной почты — по выбору посетителя;
• содержание обращения: выбранная услуга, желаемые дата и время, специалист, комментарий и иные сведения, которые посетитель сообщает по своему усмотрению;
• технические данные подтверждения согласия и защиты от злоупотреблений: хэш IP-адреса и хэш сведений о браузере (необратимое преобразование — сами IP-адрес и «отпечаток» браузера в открытом виде не хранятся), дата и время отправки.

2.2. Данные, автоматически передаваемые при использовании сайта: сведения из файлов cookie (см. раздел 8 и Политику cookie), сведения о браузере и устройстве, дата и время доступа.

2.3. Специальные категории персональных данных (здоровье, убеждения и т.п.) и биометрические данные Оператором не запрашиваются и целенаправленно не обрабатываются. Просим не указывать такие сведения в свободных полях форм.

2.4. Оператор не проверяет достоверность предоставляемых данных и исходит из того, что субъект предоставляет достоверную информацию и поддерживает её в актуальном состоянии.

3. Цели обработки

3.1. Персональные данные обрабатываются исключительно в следующих целях:

• приём, обработка обращений и записей; связь с субъектом по оставленному запросу;
• уведомление о новых обращениях и записях, напоминания о предстоящих визитах;
• ведение обращений в защищённом кабинете (статусы, история, календарь);
• формирование обезличенной статистики посещаемости сайта (веб-аналитика — только после согласия, см. раздел 8);
• защита форм от спама и злоупотреблений, обеспечение безопасности сервиса;
• подтверждение факта получения согласия на обработку персональных данных (журналирование согласий);
• исполнение требований законодательства Российской Федерации.

3.2. Обработка ограничивается достижением этих целей. Объединение баз данных, содержащих персональные данные, обрабатываемые в несовместимых целях, не допускается. Данные не используются для рекламного профилирования и не продаются.

4. Правовые основания обработки

• согласие субъекта персональных данных (ст. 9 152-ФЗ) — при отправке форм и при принятии аналитических cookie;
• заключение и исполнение договора, стороной либо выгодоприобретателем которого является субъект, в том числе действия по его заявке до заключения договора (п. 5 ч. 1 ст. 6 152-ФЗ);
• осуществление прав и законных интересов Оператора (защита от злоупотреблений, обеспечение работоспособности сервиса), если при этом не нарушаются права субъектов (п. 11 ч. 1 ст. 6 152-ФЗ);
• исполнение возложенных на Оператора законодательством обязанностей.

5. Действия с данными и способы обработки

5.1. В ходе обработки совершаются: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Обработка осуществляется автоматизированным способом (информационная система сервиса) с передачей по защищённым каналам связи. Решения, порождающие юридические последствия для субъекта, на основании исключительно автоматизированной обработки не принимаются.

5.3. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Серверы сервиса и резервные копии размещены в дата-центрах на территории РФ.

6. Передача данных третьим лицам

6.1. Персональные данные не продаются и не передаются третьим лицам для их собственных целей. Передача (поручение обработки) осуществляется только в объёме, необходимом для работы сервиса:

• ООО «Таймвэб Клауд» и связанные лица (хостинг, объектное хранилище, Российская Федерация) — размещение серверов, баз данных, файлов и резервных копий;
• ООО «Центральная касса» (ИНН 5903123588, Российская Федерация) — приём оплаты тарифов и передача сведений о расчёте в налоговый орган. Передаются: абонентский номер и адрес электронной почты плательщика, сумма и наименование оплаченного тарифа. Реквизиты банковской карты вводятся на стороне платёжного сервиса и Оператору не передаются и им не хранятся. В отношении этих данных платёжный сервис выступает САМОСТОЯТЕЛЬНЫМ оператором: он обрабатывает их на своём правовом основании (обязанности оператора электронной площадки по Федеральному закону от 27.11.2018 № 422-ФЗ и требования законодательства о национальной платёжной системе), а не по поручению Оператора;
• ООО «ЯНДЕКС» (Российская Федерация) — веб-аналитика «Яндекс Метрика»: сведения о посещениях в составе, описанном в Политике cookie; подключается только после вашего явного согласия через баннер cookie;
• Telegram Messenger Inc. — доставка сообщений: уведомления бизнесу о новых обращениях, напоминания клиентам о визите и работа Telegram-бота идут через мессенджер Telegram. Мессенджер выступает каналом доставки сообщения российскому получателю и не получает данные для собственных целей; трансграничной передачей персональных данных такая доставка не является (п. 11 ст. 3 152-ФЗ — передачей считается передача данных иностранному лицу как получателю). Передаётся минимально необходимый состав; используя Telegram-бот или указывая Telegram как канал связи, вы соглашаетесь с такой доставкой.

6.1.1. Данные плательщика передаются платёжному сервису только при оплате платного Тарифа. Пользователь бесплатного Тарифа платёжному сервису не передаётся вовсе: расчётов с ним не происходит, а значит нет и обязанности передавать сведения о расчёте.

6.2. Данные также могут быть переданы: по мотивированному запросу уполномоченных государственных органов в случаях и порядке, предусмотренных законодательством РФ; при реорганизации/продаже сервиса — правопреемнику с переходом всех обязательств по настоящей Политике; для защиты прав и законных интересов Оператора при нарушении субъектом условий использования сервиса.

6.3. Первичные сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных на территории Российской Федерации (п. 5.3). ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ОПЕРАТОРОМ НЕ ОСУЩЕСТВЛЯЕТСЯ: иностранных получателей, обрабатывающих данные в своих целях, у Оператора нет. Сервисы автоматизированной генерации текстов, привлекаемые для подготовки описаний услуг, персональных данных не получают — контактные данные удаляются из любого исходящего текста автоматически. Если состав получателей когда-либо изменится, Оператор уведомит уполномоченный орган до начала такой передачи и обновит настоящую Политику.

7. Cookie и веб-аналитика

Сайт использует технически необходимые cookie (запоминание темы оформления, фиксация выбора по cookie, защита форм) — они работают всегда, так как без них сайт не функционирует, и не идентифицируют вас как личность.

Для оценки посещаемости может использоваться сервис веб-аналитики «Яндекс Метрика» (ООО «ЯНДЕКС», Россия; данные обрабатываются на территории РФ). Счётчик аналитики загружается ТОЛЬКО после того, как вы явно дадите согласие кнопкой «Принять» на баннере cookie; закрытие баннера согласием не является. До согласия аналитические cookie не устанавливаются и данные не собираются. Запись сессий (вебвизор) выключена.

Полный перечень cookie, сроки их хранения и порядок отключения — в Политике использования cookie: smenza.ru/cookies.

8. Сроки обработки и хранения. Удаление

8.1. Персональные данные обрабатываются до достижения целей обработки либо до отзыва согласия. По умолчанию данные обращений хранятся не более 365 дней с момента поступления, если больший срок не требуется для исполнения договора или закона.

8.2. По достижении целей, по истечении срока или при отзыве согласия данные удаляются или обезличиваются в срок не более 30 дней, за исключением сведений, срок хранения которых установлен законом. Резервные копии перезаписываются в течение 14 дней с момента удаления данных из основной базы.

9. Права субъекта персональных данных

9.1. Вы вправе:

• получить сведения об обработке своих персональных данных (состав, цели, сроки, источники);
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных в любой момент;
• требовать прекращения передачи (распространения, предоставления, доступа) данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд;
• на возмещение убытков и компенсацию морального вреда в судебном порядке.

9.2. Для реализации прав направьте обращение на maro3ztuva@gmail.com (порядок — на странице «Запросы по данным»: smenza.ru/data-requests). Срок ответа — до 30 дней с момента обращения. Отзыв согласия не влияет на законность обработки до отзыва; при отзыве Оператор вправе продолжить обработку при наличии оснований, предусмотренных ч. 1 ст. 6 152-ФЗ.

10. Меры защиты персональных данных

Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения:

• шифрование каналов связи (HTTPS/TLS на всех страницах и API);
• разграничение доступа: данные каждого бизнеса изолированы, доступ к кабинету — по персональным ключам и кодам, вход подтверждается через Telegram;
• журналирование действий с данными и фактов дачи согласий (дата, время, необратимые хэши технических идентификаторов);
• хранение IP-адресов и сведений о браузере только в виде необратимых хэшей;
• защита форм от автоматизированных злоупотреблений (антиспам-механизмы, ограничение частоты запросов);
• ежедневное резервное копирование в защищённое хранилище на территории РФ и регулярная проверка восстановимости копий;
• ограничение круга лиц, имеющих доступ к данным, обязательства конфиденциальности.

11. Заключительные положения

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента размещения по адресу smenza.ru/privacy, если иное не указано в самой редакции; дата последнего обновления указывается в документе. К настоящей Политике и связанным с ней отношениям применяется право Российской Федерации.

Вопросы и предложения по настоящей Политике направляйте на maro3ztuva@gmail.com.