Положення про обробку й захист персональних даних у базах персональних даних, власником яких є Продавець
Зміст:
1. Загальні поняття та сфера застосування
2. Перелік баз персональних даних
3. Мета обробки персональних даних
4. Порядок обробки персональних даних: отримання згоди, повідомлення про права та дії з персональними даними суб’єкта персональних даних
5. Місцезнаходження бази персональних даних
6. Умови розкриття інформації про персональні дані третім особам
7. Захист персональних даних: способи захисту, відповідальна особа, працівники, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних, строк зберігання персональних даних
8. Права суб’єкта персональних даних
9. Порядок роботи із запитами суб’єкта персональних даних
10. Державна реєстрація бази персональних даних
11. Додаткові положення щодо використання даних у рамках Google Shopping / Google Merchant Center
1. Загальні поняття та сфера застосування
1.1. Визначення термінів:
• База персональних даних — іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних.
• Відповідальна особа — визначена Продавцем особа, яка організовує роботу, пов’язану із захистом персональних даних під час їх обробки відповідно до чинного законодавства України.
• Володілець бази персональних даних (Продавець) — фізична або юридична особа, якій законом або за згодою суб’єкта персональних даних надано право на обробку таких даних, яка затверджує мету обробки та встановлює склад цих даних і процедури їх обробки.
• Державний реєстр баз персональних даних — єдина державна інформаційна система збору, накопичення та обробки відомостей про зареєстровані бази персональних даних.
• Загальнодоступні джерела персональних даних — довідники, адресні книги, реєстри, списки, каталоги та інші систематизовані збірники відкритої інформації, розміщені й опубліковані з відома суб’єкта персональних даних.
• Згода суб’єкта персональних даних — будь-яке документоване, добровільне волевиявлення фізичної особи щодо надання дозволу на обробку її персональних даних.
• Знеособлення персональних даних — вилучення (приховування) відомостей, які дають змогу ідентифікувати особу.
• Обробка персональних даних — будь-яка дія або сукупність дій, пов’язаних зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (у т.ч. передачею), знеособленням, знищенням відомостей про фізичну особу.
• Персональні дані — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути ідентифікована конкретно.
• Розпорядник бази персональних даних — фізична чи юридична особа, якій володілець бази персональних даних або закон надав право обробляти ці дані.
• Суб’єкт персональних даних — фізична особа, стосовно якої здійснюється обробка персональних даних.
• Третя особа — будь-яка особа, за винятком суб’єкта персональних даних, володільця або розпорядника бази персональних даних і державного органу з питань захисту персональних даних, якій передаються персональні дані згідно із законом.
• Особливі категорії даних — персональні дані про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях чи професійних спілках, а також дані, що стосуються здоров’я чи статевого життя.
1.2. Це Положення є обов’язковим для застосування Відповідальною особою та співробітниками Продавця, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних під час виконання своїх службових обов’язків.
2. Перелік баз персональних даних
2.1. Продавець є власником таких баз персональних даних:
• База персональних даних контрагентів (у т.ч. покупців, партнерів).
3. Мета обробки персональних даних
3.1. Метою обробки персональних даних у системі є:
• Забезпечення реалізації цивільно-правових відносин.
• Надання, отримання та здійснення розрахунків за придбані товари та послуги відповідно до Податкового кодексу України, Закону України «Про бухгалтерський облік та фінансову звітність в Україні».
• Виконання обов’язків Продавця щодо оформлення і відправлення замовлень, комунікації з покупцями (зокрема, телефонної, електронної, поштової тощо).
• Виконання вимог, встановлених політиками Google Merchant Center / Google Shopping, зокрема: підтвердження достовірності інформації про товари, цін, наявності та здійснення необхідних комунікацій з покупцями.
3.2. Дані можуть також оброблятися з метою:
• Покращення якості обслуговування, аналізу користувацького досвіду, удосконалення інтерфейсу сайту й сервісів.
• Ведення маркетингових кампаній, зокрема розміщення реклами в Google Shopping та інших рекламних мережах за умови відповідності такої діяльності чинному законодавству України та політикам Google.
4. Порядок обробки персональних даних: отримання згоди, повідомлення про права та дії з персональними даними суб’єкта персональних даних
4.1. Згода суб’єкта персональних даних має бути добровільним волевиявленням фізичної особи щодо надання дозволу на обробку її персональних даних відповідно до зазначених у цьому Положенні цілей.
4.2. Згода суб’єкта персональних даних може бути надана в таких формах:
• Документ на паперовому носії з реквізитами, що дають змогу ідентифікувати документ і фізичну особу.
• Електронний документ, який містить необхідні реквізити (зокрема, електронний підпис чи інші ідентифікатори).
• Відмітка (check-box) на електронній сторінці сайту, де суб’єкт персональних даних заздалегідь ознайомлюється з політикою обробки даних.
4.3. Згода суб’єкта персональних даних надається під час:
• Оформлення замовлення (у т.ч. реєстрації на сайті або заповнення відповідних форм).
• Вступу у договірні (цивільно-правові) відносини відповідно до чинного законодавства.
• Прямої взаємодії з сайтом/застосунком (наприклад, активації маркетингових розсилок, користувацьких опитувань тощо).
4.4. Повідомлення суб’єкта персональних даних про включення його персональних даних до бази, права, визначені Законом України «Про захист персональних даних», мету збору даних та осіб, яким передаються його персональні дані, здійснюється під час збору персональних даних (наприклад, у момент заповнення форми, реєстрації на сайті чи укладення договору).
4.5. Обробка особливих категорій персональних даних (расове чи етнічне походження, політичні, релігійні переконання, членство в партіях чи профспілках, дані про здоров’я чи статеве життя) забороняється та не здійснюється Продавцем.
5. Місцезнаходження бази персональних даних
5.1. Бази персональних даних, зазначені в розділі 2 цього Положення, зберігаються за адресою (місцезнаходженням) Продавця та/або в захищених дата-центрах, які використовуються Продавцем та відповідають вимогам безпеки.
6. Умови розкриття інформації про персональні дані третім особам
6.1. Порядок доступу до персональних даних третіх осіб визначається умовами згоди суб’єкта персональних даних або згідно з вимогами чинного законодавства.
6.2. Доступ до персональних даних третій особі не надається, якщо ця особа відмовляється брати на себе зобов’язання щодо забезпечення вимог Закону України «Про захист персональних даних» або не може їх забезпечити.
6.3. Суб’єкт відносин, пов’язаних з персональними даними, подає запит щодо доступу (надалі – «запит») до персональних даних володільцю бази персональних даних. Запит повинен містити інформацію, передбачену чинним законодавством (ПІБ, реквізити тощо).
6.4. Строк вивчення запиту не перевищує 10 робочих днів з дня його надходження. У цей період Продавець повідомляє заявника, чи буде запит задоволено, чи дані не можуть бути надані зі зазначенням підстави.
6.5. Якщо запит задовольняється, потрібні дані надаються протягом 30 календарних днів з дня надходження запиту, якщо інше не встановлено законом.
6.6. У разі відстрочення або відмови у доступі до персональних даних Продавець повідомляє заявника з поясненням причин відмови чи відстрочення.
7. Захист персональних даних: способи захисту, відповідальна особа, працівники, які здійснюють обробку та/або мають доступ до персональних даних, строк зберігання
7.1. Продавець забезпечує захист персональних даних шляхом впровадження системних і програмно-технічних засобів, що запобігають втраті, крадіжці, несанкціонованому доступу, знищенню чи спотворенню даних. Обрані засоби захисту відповідають міжнародним і національним стандартам.
7.2. Відповідальна особа призначається наказом Продавця та організовує роботу з захисту персональних даних згідно з законом. Її обов’язки визначаються посадовою інструкцією.
7.3. Відповідальна особа зобов’язана:
• Знати законодавство України у сфері захисту персональних даних.
• Розробляти процедури доступу до персональних даних для співробітників відповідно до їхніх обов’язків.
• Забезпечувати виконання працівниками вимог законодавства та внутрішніх документів із захисту персональних даних.
• Проводити контроль за дотриманням вимог захисту персональних даних.
• Повідомляти керівництво про виявлені порушення.
• Забезпечувати зберігання документів, що підтверджують надання згоди суб’єктами персональних даних.
7.4. Для виконання своїх обов’язків відповідальна особа має право отримувати необхідні документи, робити їх копії, надавати пропозиції щодо покращення роботи, вимагати пояснень від працівників тощо.
7.5. Працівники, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних, зобов’язані дотримуватися законодавства, не розголошувати персональні дані та не порушувати права суб’єктів таких даних.
7.6. Особи, що мають доступ до персональних даних, у разі порушення вимог Закону України «Про захист персональних даних» несуть відповідальність згідно з чинним законодавством.
7.7. Персональні дані зберігаються не довше, ніж це потрібно для вказаних у розділі 3 цілей, але у будь-якому разі не довше строків, встановлених законом та/або згодою суб’єкта персональних даних.
8. Права суб’єкта персональних даних
8.1. Суб’єкт персональних даних має право:
• Знати про місцезнаходження бази персональних даних, її призначення, найменування та місцезнаходження володільця або розпорядника.
• Отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються персональні дані.
• На доступ до своїх персональних даних.
• Отримувати відповідь про те, чи зберігаються його дані в базі, і отримувати зміст цих даних не пізніше ніж через 30 календарних днів з дня запиту (якщо інше не передбачено законом).
• Пред’являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних, якщо дані обробляються незаконно або є неточними.
• На захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення.
• Звертатися з питань захисту прав щодо персональних даних до відповідних органів.
• Застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.
9. Порядок роботи із запитами суб’єкта персональних даних
9.1. Суб’єкт персональних даних має право отримувати будь-які відомості про себе без зазначення мети запиту, крім випадків, установлених законом.
9.2. Доступ суб’єкта до даних про себе здійснюється безоплатно (якщо інше не встановлено законом).
9.3. Запит суб’єкта персональних даних має містити:
• ПІБ, місце проживання (перебування) та реквізити документа, що посвідчує особу.
• Інші відомості, що дозволяють ідентифікувати особу.
• Відомості про базу персональних даних або володільця/розпорядника, до якого подається запит.
• Перелік персональних даних, що запитуються.
9.4. Строк розгляду запиту становить до 10 робочих днів з дня його надходження, протягом яких суб’єкту повідомляють про задоволення запиту або про відмову з обґрунтуванням причин.
9.5. Якщо запит задовольняється, надання даних здійснюється протягом 30 календарних днів з дня отримання запиту.
10. Державна реєстрація бази персональних даних
10.1. Державна реєстрація баз персональних даних здійснюється відповідно до статті 9 Закону України «Про захист персональних даних» та інших нормативно-правових актів.
11. Додаткові положення щодо використання даних у рамках Google Shopping / Google Merchant Center
11.1. Збір даних для відображення в Google Shopping
Продавець може передавати деякі дані про товари та транзакції до Google Merchant Center (GMC) з метою відображення товарних оголошень (Google Shopping). Ці дані можуть включати:
• Найменування товару, характеристики, ціну, зображення.
• Інформацію про наявність і вартість доставки.
• Особисті дані покупця (наприклад, контактні дані та адресу доставки) – виключно в обсязі, потрібному для виконання замовлення, обробки платежів і дотримання вимог Google (наприклад, для відстеження конверсій чи динамічного ремаркетингу, якщо це передбачено функціоналом GMC).
11.2. Використання та поширення даних
• Персональні дані можуть використовуватися для підтвердження замовлень і комунікацій з покупцями відповідно до політик Google Merchant Center (наприклад, щоб надавати інформацію про статус замовлення).
• Продавець не передає персональні дані стороннім особам з метою, не пов’язаною з виконанням замовлень, без відповідної згоди або законної підстави.
• Продавець здійснює захист отриманих даних відповідно до цього Положення та вимог Google щодо безпеки даних.
11.3. Файли cookie та технології відстеження
• Для коректної роботи сайту, відстеження результативності реклами в Google Ads та відображення товарних оголошень у Google Shopping можуть використовуватися файли cookie, пікселі відстеження та аналогічні технології.
• Користувачі можуть керувати налаштуваннями файлів cookie у своєму браузері, однак у разі вимкнення деяких типів cookie робота сайту або відображення товарів у Google Shopping може бути обмежена.
11.4. Взаємодія з платіжними системами та кур’єрськими службами
• Для обробки платежів та доставки замовлень Продавець може співпрацювати з платіжними системами і службами доставки. У такому разі лише необхідний мінімум персональних даних (наприклад, ПІБ, телефон, адреса) передається відповідним партнерам на підставі договорів та вимог законодавства.
• Усі контрагенти зобов’язуються дотримуватися відповідних заходів безпеки та конфіденційності даних.
11.5. Відповідність політикам Google та законодавству
• Продавець зобов’язується додержуватися політик Google Merchant Center, зокрема щодо достовірності інформації про товари, прозорості, повернення коштів, доставки та ін.
• Використання даних здійснюється у спосіб, що не суперечить чинному законодавству України та політикам Google.
11.6. У разі виникнення питань щодо обробки даних у рамках Google Shopping, суб’єкт персональних даних може звернутися до Продавця за контактами, вказаними на сайті, або скористатися процедурами, викладеними в цьому Положенні.