Политика в отношении обработки персональных данных
- Общие положения
- Термины и определения (используются в значениях, приведенных в ст.1 Закона РК «О персональных данных...»)
- Обрабатываемые персональные данные
- Цели обработки персональных данных
- Правовые основания обработки
- Передача и предоставление персональных данных третьим лицам
- Использование файлов Cookies и прочих технологий
- Меры по защите персональных данных
- Трансграничная передача персональных данных
- Права субъекта персональных данных
- Заключительные положения
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с требованиям Закона Республики Казахстан от 21 мая 2013 года №94-V «О персональных данных и их защите» и иных нормативных актов РК. Политика определяет порядок обработки и защиты персональных данных, осуществляемой Оператором в ходе деятельности интернет-магазина Reywood.kz (далее — «Сайт»).
1.2. Оператором персональных данных выступает администрация Сайта — Товарищество с ограниченной ответственностью «Рейвуд» (ТОО «Рейвуд», БИН 221240010983, юридический адрес: Казахстан, г. Караганда, ул. Ермекова, 29). Оператор осуществляет сбор и обработку персональных данных пользователей Сайта, а также определяет цели и объем обработки. Кроме того, для целей исполнения заказов персональные данные могут быть переданы индивидуальному предпринимателю Давыдову Р.Ю. (продавцу товара, находящемуся за пределами РК). ТОО «Рейвуд» и ИП Давыдов Р.Ю. действуют совместно для обеспечения защиты персональных данных и соблюдения прав субъектов данных.
1.3. Оператор считает своей важнейшей задачей соблюдение прав и свобод человека и гражданина при обработке его персональных данных, включая защиту права на неприкосновенность частной жизни, личную и семейную тайну. При обработке данных Оператор руководствуется Конституцией РК, Законом «О персональных данных и их защите», а также положениями настоящей Политики.
1.4. Действие настоящей Политики распространяется на всю информацию о пользователях, которую Оператор может получить в ходе пользования Сайтом (включая оформление заказов, регистрацию на Сайте, подписку на рассылки, использование сервисов поддержки). Политика действует в отношении всех посетителей Сайта, независимо от того, прошли они регистрацию или совершают покупку без регистрации.
2. Термины и определения (используются в значениях, приведенных в ст.1 Закона РК «О персональных данных...»)
Персональные данные — сведения, относящиеся к определяемому субъекту персональных данных (Пользователю Сайта). К таким сведениям могут относиться: фамилия, имя, отчество, контактные данные, адрес, сведения о заказах и пр.
Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без таковых. Включает сбор, запись, систематизацию, хранение, уточнение, использование, передачу, распространение, обезличивание, блокирование, уничтожение персональных данных.
Оператор — организация или лицо, самостоятельно или совместно с другими осуществляющие управление и (или) обработку персональных данных, а также определяющие цели и содержание обработки. В контексте Сайта Оператор — ТОО «Рейвуд».
Субъект персональных данных — физическое лицо (Пользователь Сайта), к которому относятся обрабатываемые персональные данные.
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства иностранному государственному органу, иностранному физическому или юридическому лицу. В нашем случае — передача данных Покупателя курьерской службе или ИП Давыдову (РФ) для исполнения заказа.
Cookies — небольшие файлы, сохраняемые на устройстве Пользователя, предназначенные для хранения данных, которые могут использоваться веб-сервером повторно (например, для аутентификации Пользователя, сохранения настроек и статистики)
3. Обрабатываемые персональные данные
3.1. Оператор осуществляет обработку следующих персональных данных Пользователей (Покупателей) Сайта:
Обязательные данные при оформлении заказа: фамилия, имя, отчество; номер контактного телефона; адрес электронной почты; адрес доставки товара. Эти данные нужны для заключения и исполнения договора купли-продажи (доставки товара).
Дополнительные данные при регистрации профиля на Сайте: дата рождения, пол (указываются по желанию, для участия в программах лояльности или получения персональных предложений).
Платежные данные: при онлайн-оплате Покупатель вводит данные банковской карты на защищенной платежной странице; оператор Сайта этих данных не хранит (оплата происходит через сертифицированного платежного провайдера). Возможно хранение факта оплаты, суммы и способа платежа в системе Сайта, но без реквизитов карты.
Данные, собираемые автоматически: IP-адрес, тип устройства и браузера, данные о переходах по страницам сайта, файлы cookies, сведения о геолокации (приблизительной) и иная техническая информация. Эти данные обезличены и не позволяют установить личность Пользователя без дополнительной информации. Они используются для аналитики и улучшения работы сайта (см. раздел 7 ниже).
3.2. Специальные категории персональных данных (относящиеся к расовому, этническому происхождению, политическим взглядам, здоровью, биометрические данные и т.п.) Оператором не запрашиваются и не обрабатываются. Пользователь не должен предоставлять на Сайте такие данные.
3.3. Персональные данные детей: Сайт не предназначен для использования несовершеннолетними (до 18 лет) без контроля родителей/опекунов. Оператор сознательно не собирает данные у лиц младше 18 лет. Если будет выявлено, что ребёнок предоставил персональные данные без согласия родителей, такие данные будут удалены.
4. Цели обработки персональных данных
Оператор собирает и обрабатывает персональные данные Пользователей исключительно для целей, обусловленных деятельностью интернет-магазина, а именно:
Исполнение договорных обязательств: оформление и выполнение заказов Покупателей, доставка товаров, прием и учет оплаты, возврат товаров и денежных средств, предоставление гарантийного обслуживания. Для этой цели обрабатываются контактные и идентификационные данные Покупателя, информация о заказанных товарах, адрес доставки и пр. Обработка необходима для исполнения договора розничной купли-продажи, стороной которого является субъект данных (п.3 ст.6 Закона о персональных данных) — эта цель является основой для законной обработки без отдельного согласия.
Обратная связь с клиентами: уведомление о статусе заказа, ответы на запросы Пользователей в службу поддержки, рассылка сервисных сообщений (подтверждение заказа, изменение статуса, напоминание о доставке и т.д.). Эти сообщения носят информационный характер и отправляются автоматически либо сотрудниками поддержки.
Маркетинг и рассылки (при согласии): отправка информационных и рекламных материалов о товарах, скидках, акциях, опросах для улучшения сервиса. Такая обработка (email-рассылка, SMS-оповещения) осуществляется только на основании отдельного согласия Пользователя. Пользователь может дать согласие при регистрации или оформлении заказа, поставив отметку о желании получать новости. Цель — информирование о новых предложениях и стимулирование повторных продаж. Пользователь вправе отказаться в любой момент (см. п.6.4 ниже).
Персонализация и аналитика: улучшение работы Сайта, подбор контента и предложений под интересы пользователей. Для этого анализируются обезличенные данные поведения пользователей, статистика посещаемости, результаты маркетинговых кампаний. Цель — повышение удобства и качества обслуживания клиентов.
Выполнение требований законодательства: ведение бухгалтерского учета и налоговой отчетности (например, хранение данных о продажах для предоставления в налоговые органы), выполнение требований органов по защите прав потребителей (рассмотрение жалоб, предоставление информации по запросам уполномоченных органов).
Оператор обязуется не использовать персональные данные для целей, не соответствующих перечисленным выше, без получения дополнительного согласия субъекта или без наличия иной законной основы.
5. Правовые основания обработки
Оператор обрабатывает персональные данные Пользователей на следующих правовых основаниях, предусмотренных законодательством РК:
Согласие субъекта персональных данных: Пользователь, оставляя свои данные на Сайте (при регистрации, оформлении заказа, подписке), тем самым выражает согласие на обработку своих персональных данных Оператором для заявленных целей. Согласие может быть оформлено в виде акцепта пользовательского соглашения (оферты) и данной Политики, либо путем проставления отметки в соответствующей форме. Согласие субъект дает свободно, своей волей и в своих интересах.
Исполнение договора с субъектом данных: обработка персональных данных необходима для исполнения договора купли-продажи, стороной которого является Пользователь (ст.6 Закона). Например, адрес и телефон обрабатываются для доставки товара, без отдельного согласия, поскольку необходимы для выполнения заказа.
Выполнение обязательств по закону: Оператор может обрабатывать и хранить данные, если этого требует законодательство. Например, Закон РК «О бухгалтерском учете и финансовой отчетности» обязывает хранить сведения о хозяйственных операциях; закон о защите прав потребителей — рассмотреть обращение потребителя, что может требовать обработки его данных и т.п.
В рамках деятельности интернет-магазина основным основанием выступает согласие пользователя и необходимость исполнения договора. Оператор всегда запрашивает только те данные, которые необходимы для конкретной цели, и не обрабатывает их дольше, чем требуется.
6. Передача и предоставление персональных данных третьим лицам
6.1. Оператор обеспечивает конфиденциальность персональных данных и не передает их третьим лицам без законных оснований. Передача персональных данных без согласия субъекта возможна лишь в случаях, прямо предусмотренных законами РК — например, по мотивированному запросу правоохранительных или судебных органов, при расследовании правонарушения и т.д.
6.2. В целях исполнения заказа персональные данные Покупателя могут быть предоставлены следующим категориям получателей (с согласия Покупателя, вытекающего из факта заказа):
Курьерские и почтовые службы — для осуществления доставки товара. Им сообщаются минимально необходимые данные: ФИО получателя, адрес доставки, контактный телефон, иногда сумма наложенного платежа. Эти службы являются самостоятельными операторами данных в части, связанной с доставкой, и несут ответственность за защиту данных на своём участке.
Продавец товара (ИП Давыдов Р.Ю.) — как фактический отправитель товара. Поскольку ИП находится в РФ, имеет место трансграничная передача (см. раздел 9 ниже). Однако ИП Давыдов применяет аналогичные меры защиты данных и использует их только для выполнения заказа.
Платежные системы/банки — при онлайн-оплате данные о платеже направляются процессинговым центрам (например, банковскому эквайеру). Эти организации действуют в соответствии с требованиями стандарта безопасности (PCI DSS) и законами РК о платежах, получая только информацию, необходимую для проведения платежа. Персональные данные карты (номер, CVV и пр.) не поступают в распоряжение Оператора.
Сервис рассылки сообщений — при рассылке уведомлений email или SMS, могут привлекаться специализированные сервисы (например, почтовый сервис, SMS-шлюз). Им передаются контактные данные (email, телефон) и текст сообщения. Такие сервисы не вправе использовать данные получателей для других целей.
6.3. Передача данных внутри группы компаний: Если интернет-магазин Reywood.kz привлекает аффилированные лица (например, материнскую компанию, филиал) для обработки данных, такая передача не считается разглашением третьим лицам. Например, IT-поддержка сайта может осуществляться подрядчиком, который имеет ограниченный доступ к базе данных. С такими лицами Оператор заключает договор о конфиденциальности и об обработке персональных данных, обязывая соблюдать требования Закона о персональных данных.
6.4. Отзыв согласия и отказ от рассылки: Пользователь, ранее давший согласие на обработку своих данных в маркетинговых целях (рассылки), может в любое время отозвать такое согласие. Отзыв не влияет на законность обработки до момента отзыва. Для отказа от рассылки Пользователь может воспользоваться ссылкой «Отписаться» в электронном письме либо направить запрос на email Оператора с указанием своего контактного адреса/номера, который нужно исключить из списка. Оператор обязуется оперативно исключить данные Пользователя из рассылочных списков. Если Пользователь желает полностью удалить свои персональные данные из системы (при отсутствии незавершенных договоров), он может направить соответствующее требование — Оператор рассмотрит его в порядке, предусмотренном разделом 10 (права субъекта).
7. Использование файлов Cookies и прочих технологий
7.1. Cookies: Сайт Reywood.kz использует файлы cookies для обеспечения корректной работы и улучшения удобства Пользователей. Cookies позволяют «узнавать» Пользователя при повторном посещении, сохранять его предпочтения (например, содержимое корзины, выбранный язык), а также собирать агрегированную статистику о использовании сайта.
7.2. Cookies не содержат персональных данных, но могут связываться с ними (например, при входе в аккаунт с помощью cookies хранится сессия, связанная с учетной записью Пользователя). Используя Сайт, Пользователь тем самым соглашается на использование cookies. Если Пользователь желает отключить cookies, он может сделать это в настройках своего браузера, однако некоторые функции Сайта могут стать недоступны.
7.3. Сторонние аналитические сервисы: Оператор может использовать сервисы веб-аналитики, такие как Google Analytics, Яндекс.Метрика и пр., для сбора обезличенной статистики о посещаемости. Эти сервисы с помощью cookies собирают сведения о том, какие страницы просматривал Пользователь, откуда он пришел, какие действия выполнял. Полученные данные не содержат имени или контактных данных, и используются в обобщенном виде для анализа тенденций, улучшения структуры и контента Сайта. Например, на основании таких данных Оператор может понять, какие товары наиболее просматриваемые, и улучшить каталог. Пользователь может при желании отключить сбор таких данных, установив в браузере соответствующие блокирующие плагины (напр. Google Analytics Opt-out).
7.4. Лог-файлы и IP-адреса: При каждом обращении к Сайту наши серверы автоматически записывают техническую информацию — IP-адрес устройства Пользователя, время обращения, запрашиваемый адрес страницы, идентификатор браузера и ОС. Эти данные используются для выявления проблем в работе, обеспечения безопасности (например, блокировка подозрительной активности, защиты от DDoS) и для общих статистических сводок (география посетителей и т.п.). Оператор не стремится установить личность по IP-адресу и не соотносит эти технические данные с конкретными персональными данными Пользователя.
8. Меры по защите персональных данных
8.1. Организационные меры: Внутри организации Оператора установлен порядок обращения с персональными данными. Назначено ответственное лицо за организацию обработки персональных данных (в соответствии с требованием закона). Сотрудники, допущенные к обработке персональных данных Покупателей (менеджеры, курьеры и пр.), проинструктированы о положениях законодательства о защите данных и несут персональную ответственность за несоблюдение конфиденциальности. Доступ сотрудников к данным ограничен их должностными обязанностями (принцип «необходимого минимума»).
8.2. Технические меры: Оператор применяет сертифицированные средства защиты информации для предотвращения несанкционированного доступа, такие как: межсетевые экраны (firewall), антивирусные средства, системы обнаружения вторжений. Данные хранятся в защищённых центрах обработки данных на территории Казахстана — в электронных базах, находящихся на серверах в серверных помещениях в РК. Передача конфиденциальных сведений осуществляется по защищённым протоколам (HTTPS, TLS). Регулярно проводятся резервное копирование и обновление программного обеспечения, чтобы исключить уязвимости.
8.3. Аудит и контроль: Оператор периодически проводит проверку условий обработки персональных данных и мер безопасности. Проводится анализ угроз безопасности персональных данных и при необходимости актуализация технических мер. Если выявляются случаи нарушения или утечки данных, Оператор принимает меры для их устранения и минимизации последствий, а также уведомляет уполномоченные органы и субъектов данных в случаях, установленных законодательством.
8.4. Хранение персональных данных: Персональные данные в электронном виде хранятся в базе, размещенной на серверах Оператора на территории РК, что соответствует требованиям закона об информатизации (ст.36 п.8 Закона «Об информатизации») о локализации баз данных с персональными данными граждан РК. Бумажные носители (если используются, например, распечатанные заявления на возврат или накладные с данными покупателей) хранятся в запираемых шкафах, доступ к ним имеют только уполномоченные сотрудники. Сроки хранения определяются целями обработки и требованиями законодательства. По истечении сроков данные подлежат безопасному уничтожению (электронные — удаляются из базы с невозможностью восстановления; бумажные — уничтожаются путем шредирования).
8.5. Оператор гарантирует, что применяемые меры достаточны для обеспечения требуемого уровня защищенности персональных данных в соответствии с законодательством РК. Вместе с тем, Пользователь должен осознавать, что ни один способ передачи данных через Интернет не может быть абсолютно безопасным. Оператор стремится защитить персональные данные, но не может гарантировать абсолютной безопасности при условиях, не зависящих от него (например, если Пользователь сам разгласил данные логина/пароля третьим лицам).
9. Трансграничная передача персональных данных
9.1. Так как интернет-магазин Reywood.kz взаимодействует с иностранным Продавцом (ИП в Российской Федерации) и осуществляет доставку через международные курьерские службы, в процессе деятельности возможна трансграничная передача персональных данных пользователей — то есть передача данных на территорию иностранного государства (РФ).
9.2. Адекватность защиты в иностранных государствах: В соответствии с требованиями Закона РК «О персональных данных…», перед началом трансграничной передачи Оператор обязан убедиться, что иностранное государство, на территорию которого передаются данные, обеспечивает надлежащую защиту прав субъектов персональных данных. Российская Федерация имеет законодательство о персональных данных, схожее с казахстанским, и обеспечивает требуемый уровень защиты. Курьерские службы (например, СДЭК) также обязуются защищать полученные ими данные в соответствии со своими политиками конфиденциальности.
9.3. Условия трансграничной передачи: Если же возникнет необходимость передачи данных в страну, не отвечающую требованиям адекватности, Оператор осуществит такую передачу только при наличии письменного согласия субъекта данных либо если передача необходима для исполнения договора с самим субъектом (например, доставка товара по заказу Покупателя за границу, что относится к исполнению договора). Предоставляя свои данные и оформляя заказ, Пользователь выражает согласие на возможную трансграничную передачу данных для целей доставки и обслуживания заказа (как указано в Разделе 8.4 оферты).
9.4. Оператор фиксирует факт трансграничной передачи (какие данные и кому переданы, дата передачи) и обеспечивает соблюдение иностранным получателем обязательств по использованию данных строго в оговоренных целях. При необходимости Оператор заключает с иностранным получателем (ИП или службой доставки) соглашение о конфиденциальности, предусматривающее защиту данных не ниже, чем того требуют законы РК.
10. Права субъекта персональных данных
10.1. Право на доступ и информацию: Пользователь (субъект персональных данных) вправе запросить у Оператора информацию о факте и обрабатываемых персональных данных, относящихся к нему. Оператор при обращении субъекта обязан предоставить: подтверждение факта обработки, перечень данных, цель, источники получения, правовые основания, сроки обработки, а также сведения о передаче данных третьим лицам. Предоставление такой информации производится бесплатно в срок, установленный законодательством (как правило, в течение 15 календарных дней с даты обращения, если запрос не требует длительного сбора информации).
10.2. Право на уточнение, блокирование или уничтожение: Если Пользователь обнаружил, что его персональные данные являются неполными, неточными или неактуальными, он вправе потребовать от Оператора их уточнения или обновления. Также, в случаях, предусмотренных законом, субъект может требовать временно приостановить обработку (блокировать) или уничтожить свои персональные данные, если они обрабатываются незаконно либо более не нужны для целей обработки. Например, если Пользователь отозвал согласие, а других оснований для обработки нет — данные должны быть удалены.
10.3. Право на отзыв согласия: Когда обработка персональных данных осуществляется на основании согласия субъекта, субъект вправе в любое время отозвать свое согласие, направив Оператору соответствующее уведомление (в письменном виде или по email). Оператор прекращает обработку, основанную на согласии, и уведомляет субъекта. Однако, если обработка также необходима для исполнения договора (например, незавершенный заказ) или предусмотрена законом, Оператор может продолжить обработку на других законных основаниях, уведомив об этом субъекта.
10.4. Право на обращение в уполномоченный орган или суд: Если субъект персональных данных считает, что Оператор нарушает его права при обработке данных, он может обратиться с жалобой в уполномоченный государственный орган по защите прав субъектов персональных данных (в РК — Компетентный орган в сфере защиты персональных данных при Министерстве цифрового развития, либо Комитет по защите прав потребителей при нарушении потребительских прав в части персональных данных). Также субъект вправе обратиться за защитой нарушенных прав в судебном порядке.
10.5. Порядок реализации прав: Для осуществления своих прав Пользователь может направить письменный запрос Оператору (курьером или почтой на юр.адрес ТОО «Рейвуд») либо электронное обращение на email: info@reywood.kz. Запрос должен содержать ФИО субъекта, описание требования, подпись (для письменного) или электронную цифровую подпись (если предусмотрено) либо иной идентификационный признак. Оператор обязан рассмотреть обращение субъекта и дать мотивированный ответ или удовлетворить требование в срок не более 15 рабочих дней. В случае отказа в удовлетворении (полностью или частично) Оператор в ответе разъясняет основания отказа со ссылкой на нормы закона.
10.6. Оператор оставляет за собой право отказать в предоставлении информации или в выполнении требования субъекта только в случаях, предусмотренных законодательством (например, если запрос касается персональных данных другого лица без надлежащих полномочий, либо если удаление данных невозможно по причине обязанности хранения их по закону). В любом случае субъект имеет право обжаловать действия (бездействие) Оператора в уполномоченном органе или суде.
11. Заключительные положения
11.1. Настоящая Политика утверждена руководством Оператора и вступает в силу с момента ее публикации на Сайте. Актуальная редакция Политики всегда доступна Пользователям по прямой ссылке в нижней части главной страницы (футере) Сайта. Политика может время от времени обновляться (например, при изменении законодательства или практик обработки данных).
11.2. Новая редакция Политики вступает в силу с момента ее размещения (если иное не указано в самой новой редакции). Продолжение использования Сайта Пользователем после вступления изменений в силу означает принятие новой редакции. Оператор рекомендует регулярно просматривать Политику на предмет изменений.
11.3. Все вопросы, связанные с настоящей Политикой и обработкой персональных данных на Сайте, можно направлять на контактный email Оператора: info@reywood.kz. Пользователь также может обратиться по телефону службы поддержки +7 778 017 18 23.
