Политика в отношении обработки персональных данных

Настоящая Политика обработки персональных данных составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Индивидуальным предпринимателем Юровским Антоном Михайловичем (ИНН 780227873666, ОГРНИП 320784700223965, далее — Оператор).
Реквизиты Оператора. ИП Юровский Антон Михайлович ИНН 780227873666 · ОГРНИП 320784700223965 Адрес: 198246, г. Санкт-Петербург, пл. Конституции, д. 2, оф. 525 Email для обращений по персональным данным: kostonboards@mail.ru Телефон: +7 952-399-08-13
1. Общие положения
1.1. Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Настоящая Политика применяется ко всей информации, которую Оператор может получить о посетителях веб-сайта https://koston-boards.ru (далее — Сайт), включая его поддомены и страницы. Политика распространяется также на данные, получаемые при оформлении заказов, заполнении форм обратной связи, участии в квизах и подписке на рассылки.
1.3. Оператор обрабатывает персональные данные в соответствии со следующими нормативными актами: Конституция РФ; Гражданский кодекс РФ; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Постановление Правительства РФ от 15.09.2008 № 687; Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»; Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей».
1.4. Действующая редакция Политики размещена в свободном доступе по адресу https://koston-boards.ru/privacy и доступна субъекту персональных данных до начала обработки его персональных данных (ч. 1 п. 2 ст. 18.1 Закона о персональных данных).
2. Основные понятия
2.1. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
2.2. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
2.3. Веб-сайт — совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети интернет по сетевому адресу https://koston-boards.ru.
2.4. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
2.5. Обезличивание персональных данных — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному Пользователю или иному субъекту персональных данных.
2.6. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.7. Оператор — самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
2.8. Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому Пользователю Сайта.
2.9. Пользователь — любой посетитель Сайта.
2.10. Cookie-файлы — небольшие текстовые файлы, сохраняемые в браузере Пользователя. В той мере, в какой cookie позволяют идентифицировать Пользователя, они рассматриваются Оператором как персональные данные и обрабатываются на основании настоящей Политики.
2.11. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.
2.12. Уничтожение персональных данных — любые действия, в результате которых персональные данные уничтожаются безвозвратно с невозможностью дальнейшего восстановления их содержания в информационной системе персональных данных и/или уничтожаются материальные носители персональных данных.
3. Правовые основания обработки
3.1. Оператор обрабатывает персональные данные Пользователя только в случае их отправки Пользователем через формы на Сайте или при оформлении заказа. Отправляя свои данные, Пользователь выражает согласие с настоящей Политикой.
3.2. Правовыми основаниями обработки персональных данных являются:

согласие субъекта на обработку его персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных) — для обработки данных, предоставленных через формы обратной связи, квизы, подписку;
исполнение договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона о персональных данных) — для оформления, оплаты и доставки заказа;
исполнение обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6) — налоговый и бухгалтерский учёт, ответы на законные запросы государственных органов;
осуществление прав и законных интересов Оператора (п. 7 ч. 1 ст. 6) — защита от мошенничества, обеспечение работоспособности Сайта.

3.3. Обработка персональных данных, разрешённых субъектом для распространения, осуществляется исключительно на основании отдельного согласия по форме, установленной Приказом Роскомнадзора от 24.02.2021 № 18, и оформляется отдельно от иных согласий.
4. Цели обработки персональных данных
4.1. Оператор обрабатывает персональные данные Пользователя в следующих целях:

№	Цель обработки	Категории данных	Правовое основание
1	Оформление, оплата, сборка и доставка заказа	ФИО, телефон, email, адрес доставки, состав заказа	п. 5 ч. 1 ст. 6
2	Связь с Пользователем: уточнение деталей заказа, ответы на обращения	ФИО, телефон, email	п. 5 ч. 1 ст. 6
3	Консультирование по подбору товара (в т.ч. квиз «Как выбрать лонгборд»)	ФИО, телефон, email, параметры подбора	п. 1 ч. 1 ст. 6
4	Направление информационных и рекламных сообщений (акции, скидки, новинки)	ФИО, телефон, email	п. 1 ч. 1 ст. 6 + ч. 1 ст. 18 ФЗ «О рекламе»
5	Улучшение работы Сайта, анализ поведения посетителей в обезличенном виде	Данные веб-аналитики, cookie	п. 1 ч. 1 ст. 6
6	Ведение бухгалтерского и налогового учёта	ФИО, реквизиты, суммы	п. 2 ч. 1 ст. 6
7	Рассмотрение претензий, защита прав Оператора	ФИО, телефон, email, история заказов	п. 7 ч. 1 ст. 6

4.2. Обработка персональных данных осуществляется только для достижения целей, указанных в п. 4.1. Не допускается обработка персональных данных, несовместимая с целями их сбора.
4.3. Согласие на получение рекламных сообщений (цель № 4) оформляется отдельно от согласия на обработку персональных данных и может быть отозвано в любой момент.
5. Объём и категории обрабатываемых данных
5.1. Оператор обрабатывает следующие персональные данные:

фамилия, имя, отчество;
номер контактного телефона;
адрес электронной почты;
адрес доставки;
дата рождения (при добровольном указании);
сведения о заказах;
никнеймы в мессенджерах и социальных сетях (Telegram, WhatsApp, VK, Max) — при добровольном указании для связи;
данные веб-аналитики: IP-адрес, cookie-идентификаторы, сведения о браузере и устройстве, посещённые страницы, источник перехода.

5.2. Оператор не обрабатывает специальные категории персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) и не обрабатывает биометрические персональные данные.
5.3. Оператор не осуществляет обработку персональных данных лиц, не достигших 18 лет, за исключением случаев, когда данные предоставлены их законными представителями, либо когда несовершеннолетний в возрасте от 14 до 18 лет даёт согласие самостоятельно в порядке ч. 1 ст. 9 Закона о персональных данных. Если Оператору станет известно о получении данных несовершеннолетнего без надлежащего согласия, такие данные будут незамедлительно уничтожены.
6. Порядок и условия обработки персональных данных
6.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных, а также в иных случаях, предусмотренных Законом о персональных данных.
6.2. Субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие свободно, своей волей и в своём интересе. Согласие должно быть конкретным, предметным, информированным и сознательным.
6.3. Согласие на обработку персональных данных даётся путём самостоятельного проставления Пользователем отметки в соответствующем поле формы на Сайте. Поля согласия не заполнены по умолчанию. Без проставления отметки отправка формы невозможна.
6.4. Оператор фиксирует и хранит доказательства получения согласия: дату и время, состав предоставленных данных, редакцию настоящей Политики, с которой был ознакомлен субъект, IP-адрес и адрес страницы, с которой было отправлено согласие (ч. 4 ст. 9 Закона о персональных данных).
6.5. Согласие может быть отозвано субъектом персональных данных в любой момент путём направления письменного обращения на адрес kostonboards@mail.ru. Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, за исключением случаев, когда обработка должна быть продолжена в силу закона.
6.6. Обработка персональных данных прекращается при достижении целей обработки, истечении срока действия согласия, отзыве согласия субъектом, а также при выявлении неправомерной обработки.
7. Сроки обработки и хранения персональных данных
7.1. Сроки хранения определяются целями обработки и требованиями законодательства:

Категория данных	Срок хранения	Основание
Данные о заказах, расчётах, покупках	5 лет с года, следующего за годом совершения операции	п. 1 ст. 29 ФЗ № 402-ФЗ «О бухгалтерском учёте»; Приказ Росархива № 236
Данные клиентов, не совершивших покупку (лиды, заявки, квизы)	3 года с момента последнего взаимодействия	п. 7 ч. 1 ст. 6; срок исковой давности
Данные для рекламных рассылок	до отзыва согласия, но не более 3 лет	ч. 1 ст. 18 ФЗ «О рекламе»
Данные веб-аналитики (cookie)	не более 12 месяцев	п. 1 ч. 1 ст. 6
Журнал согласий	3 года после прекращения обработки	ч. 4 ст. 9 (доказывание)
Обращения субъектов ПД и ответы на них	3 года	п. 7 ч. 1 ст. 6

7.2. По истечении срока хранения персональные данные подлежат уничтожению или обезличиванию.
7.3. Оператор прекращает обработку и уничтожает персональные данные в следующих случаях:

достижение цели обработки либо утрата необходимости в её достижении;
отзыв согласия субъектом;
требование субъекта об уничтожении его персональных данных;
выявление неправомерной обработки.

8. Передача персональных данных третьим лицам
8.1. Оператор вправе передавать персональные данные третьим лицам исключительно в целях исполнения заказа и в объёме, необходимом для его исполнения, на основании поручения на обработку (ч. 3 ст. 6 Закона о персональных данных). Такие лица обязаны соблюдать конфиденциальность и обеспечивать безопасность персональных данных.
8.2. Получатели персональных данных (обработчики по поручению):

Получатель	Назначение	Передаваемые данные
СДЭК (ООО «СДЭК-Глобал»)	доставка заказов	ФИО, телефон, адрес
ЮKassa (ООО НКО «ЮMoney»)	приём платежей	ФИО, сумма, контакты
Tilda (ООО «Тильда Паблишинг»)	хостинг Сайта, приём форм	данные форм
ООО «ДДОС-ГАРД»	защита Сайта от DDoS-атак	IP-адрес, технические данные
Яндекс (ООО «ЯНДЕКС»)	веб-аналитика (Яндекс.Метрика)	обезличенные данные о посещении
ООО «ВК»	веб-аналитика, уведомления	обезличенные данные о посещении

8.3. Передача персональных данных третьим лицам для целей, не связанных с исполнением заказа, осуществляется только с отдельного согласия субъекта.
8.4. Персональные данные не передаются в маркетинговых целях третьим лицам без соответствующего согласия субъекта.
8.5. Оператор не продаёт и не распространяет персональные данные неограниченному кругу лиц.
9. Трансграничная передача персональных данных
9.1. Оператор до начала осуществления трансграничной передачи персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять трансграничную передачу (уведомление направляется отдельно от уведомления о намерении осуществлять обработку).
9.2. На дату настоящей редакции Оператор не осуществляет трансграничную передачу персональных данных. Все базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах, расположенных на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).
10. Меры по обеспечению безопасности персональных данных
10.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения:

назначение ответственного за организацию обработки персональных данных;
издание локальных актов по вопросам обработки персональных данных;
ограничение доступа сотрудников к персональным данным по принципу минимальной необходимости;
применение шифрования при передаче данных (протокол HTTPS/TLS);
использование парольной защиты и разграничения прав доступа в информационных системах;
регистрация и учёт действий пользователей в информационных системах;
регулярное резервное копирование данных;
контроль за принимаемыми мерами и уровнем защищённости персональных данных.

10.2. Оператор оценивает вред, который может быть причинён субъектам персональных данных в случае нарушения Закона о персональных данных, и принимает меры, соразмерные выявленным угрозам.
10.3. В случае неправомерной или случайной передачи персональных данных, повлёкшей их распространение, Оператор уведомляет уполномоченный орган в течение 24 часов с момента обнаружения инцидента (ч. 3.1 ст. 21 Закона о персональных данных).
11. Права субъекта персональных данных
11.1. Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 Закона о персональных данных;
требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку персональных данных;
требовать прекращения обработки персональных данных;
возражать против обработки персональных данных в целях продвижения товаров, работ и услуг;
обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;
на защиту своих прав и законных интересов, включая возмещение убытков и компенсацию морального вреда.

11.2. Обращения направляются на адрес kostonboards@mail.ru либо почтой по адресу Оператора. Обращение должно содержать номер основного документа, удостоверяющего личность субъекта, сведения о дате его выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором, подпись субъекта или его представителя.
11.3. Оператор рассматривает обращения и предоставляет ответ в течение 10 рабочих дней с даты получения обращения (ч. 1 ст. 20 Закона о персональных данных). Указанный срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.
11.4. Оператор сообщает субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту, а также предоставляет возможность ознакомиться с ними в течение 10 рабочих дней с момента получения запроса.
12. Использование cookie-файлов и веб-аналитики
12.1. Сайт использует cookie-файлы для обеспечения работы функциональных элементов, сохранения настроек и анализа поведения посетителей.
12.2. Cookie-файлы подразделяются на:

необходимые — обеспечивают базовую работу Сайта (корзина, авторизация, безопасность). Обрабатываются на основании законного интереса Оператора, без них Сайт не работает;
аналитические — Яндекс.Метрика. Позволяют оценивать посещаемость и поведение пользователей;
маркетинговые — используются для показа релевантной рекламы.

12.3. Аналитические и маркетинговые cookie, а также соответствующие счётчики подключаются исключительно после получения согласия Пользователя. До получения согласия указанные счётчики не загружаются и данные третьим лицам не передаются.
12.4. При первом посещении Сайта Пользователю отображается баннер с возможностью принять или отклонить использование аналитических cookie. При отказе аналитические cookie удаляются, а счётчики не подключаются.
12.5. Пользователь в любой момент может изменить своё решение, воспользовавшись ссылкой «Изменить согласие на cookie», а также отключить cookie в настройках браузера. Отключение необходимых cookie может привести к некорректной работе Сайта.
12.6. Перечень обрабатываемых cookie:

Cookie	Назначение	Срок	Категория
_ym_uid, _ym_d, _ym_isad	Яндекс.Метрика — идентификация посетителя	до 12 мес.	аналитические
__ddg*	DDoS-Guard — защита от атак	до 12 мес.	необходимые
PHPSESSID	сессия пользователя	до окончания сессии	необходимые

13. Локальное хранение данных в браузере
13.1. Сайт может сохранять контактные данные (имя, телефон, email) в локальном хранилище браузера Пользователя для упрощения повторного оформления заказа.
13.2. Указанные данные не передаются Оператору при сохранении, хранятся исключительно на устройстве Пользователя и могут быть в любой момент удалены путём очистки данных сайта в настройках браузера.
13.3. Использование данной функции является добровольным и осуществляется по инициативе Пользователя.
14. Заключительные положения
14.1. Пользователь может получить любые разъяснения по вопросам обработки его персональных данных, обратившись к Оператору по адресу kostonboards@mail.ru.
14.2. В настоящей Политике будут отражены любые изменения политики обработки персональных данных Оператором. Политика действует бессрочно до замены её новой редакцией.
14.3. Актуальная версия Политики в свободном доступе расположена в сети Интернет по адресу https://koston-boards.ru/privacy.
14.4. Контроль исполнения требований настоящей Политики осуществляет ответственный за организацию обработки персональных данных, назначенный Оператором.