Положение об обработке и защите персональных данных в базах персональных данных, владельцем которых является Продавец
Содержание:
1. Общие понятия и сфера применения
2. Перечень баз персональных данных
3. Цель обработки персональных данных
4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действия с персональными данными субъекта персональных данных
5. Местонахождение базы персональных данных
6. Условия раскрытия информации о персональных данных третьим лицам
7. Защита персональных данных: способы защиты, ответственное лицо, сотрудники, непосредственно осуществляющие обработку и/или имеющие доступ к персональным данным, срок хранения
8. Права субъекта персональных данных
9. Порядок работы с запросами субъекта персональных данных
10. Государственная регистрация базы персональных данных
11. Дополнительные положения по использованию данных в рамках Google Shopping / Google Merchant Center
1. Общие понятия и сфера применения
1.1. Определения терминов:
• База персональных данных — именованная совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных.
• Ответственное лицо — определенное лицо, которое организует работу, связанную с защитой персональных данных при их обработке в соответствии с законодательством Украины.
• Владелец базы персональных данных (Продавец) — физическое или юридическое лицо, которому законом или по согласию субъекта персональных данных предоставлено право на обработку таких данных, которое утверждает цель обработки и определяет состав данных и процедуры их обработки.
• Государственный реестр баз персональных данных — единая государственная информационная система сбора, накопления и обработки сведений о зарегистрированных базах персональных данных.
• Общедоступные источники персональных данных — справочники, адресные книги, реестры, списки, каталоги и другие систематизированные сборники открытой информации, размещенные и опубликованные с ведома субъекта персональных данных.
• Согласие субъекта персональных данных — любое задокументированное, добровольное волеизъявление физического лица о предоставлении разрешения на обработку его персональных данных.
• Обезличивание персональных данных — изъятие (скрытие) сведений, позволяющих идентифицировать личность.
• Обработка персональных данных — любое действие или совокупность действий, связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, обновлением, использованием и распространением (в т.ч. передачей), обезличиванием, уничтожением сведений о физическом лице.
• Персональные данные — сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть идентифицировано конкретно.
• Распорядитель базы персональных данных — физическое или юридическое лицо, которому владелец базы персональных данных или закон предоставил право обрабатывать эти данные.
• Субъект персональных данных — физическое лицо, в отношении которого осуществляется обработка персональных данных.
• Третье лицо — любое лицо, за исключением субъекта персональных данных, владельца или распорядителя базы персональных данных и госоргана по вопросам защиты персональных данных, которому передаются персональные данные согласно закону.
• Особые категории данных — персональные данные о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях или профсоюзах, а также данные, касающиеся здоровья или половой жизни.
1.2. Настоящее Положение обязательно для ответственного лица и сотрудников Продавца, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей.
2. Перечень баз персональных данных
2.1. Продавец является владельцем следующих баз персональных данных:
• База персональных данных контрагентов (в т.ч. покупателей, партнеров).
3. Цель обработки персональных данных
3.1. Целями обработки персональных данных в системе являются:
• Обеспечение реализации гражданско-правовых отношений.
• Предоставление, получение и осуществление расчетов за приобретенные товары и услуги в соответствии с Налоговым кодексом Украины, Законом Украины «О бухгалтерском учете и финансовой отчетности в Украине».
• Выполнение обязательств Продавца по оформлению и отправке заказов, коммуникации с покупателями (по телефону, электронной почте, почтовой связи и др.).
• Соблюдение требований, установленных политиками Google Merchant Center / Google Shopping, в частности: подтверждение достоверности информации о товарах, ценах, наличии и осуществление необходимых коммуникаций с покупателями.
3.2. Данные также могут обрабатываться для:
• Улучшения качества обслуживания, анализа пользовательского опыта, совершенствования интерфейса сайта и сервисов.
• Проведения маркетинговых кампаний, включая размещение рекламы в Google Shopping и других рекламных сетях, при условии, что такая деятельность соответствует законодательству Украины и политикам Google.
4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действия с персональными данными субъекта
4.1. Согласие субъекта персональных данных должно быть добровольным волеизъявлением физического лица на обработку его персональных данных в соответствии с целями, указанными в данном Положении.
4.2. Согласие субъекта персональных данных может быть дано в следующих формах:
• Документ на бумажном носителе с реквизитами, позволяющими идентифицировать документ и физическое лицо.
• Электронный документ, содержащий необходимые реквизиты (включая электронную подпись или другие идентификаторы).
• Отметка (check-box) на электронной странице сайта, где субъект предварительно знакомится с политикой обработки данных.
4.3. Согласие субъекта персональных данных предоставляется при:
• Оформлении заказа (в т.ч. регистрации на сайте или заполнении соответствующих форм).
• Вступлении в договорные (гражданско-правовые) отношения в соответствии с действующим законодательством.
• Прямом взаимодействии с сайтом/приложением (например, при активации маркетинговой рассылки, пользовательских опросов и т.д.).
4.4. Уведомление субъекта персональных данных о включении его данных в базу, о его правах, цели сбора, а также о лицах, которым могут передаваться эти данные, осуществляется при сборе персональных данных (например, в момент заполнения формы, регистрации на сайте или заключения договора).
4.5. Обработка особых категорий персональных данных (расовое или этническое происхождение, политические, религиозные убеждения и т.д.) запрещена и Продавцом не осуществляется.
5. Местонахождение базы персональных данных
5.1. Базы персональных данных, указанные в разделе 2 настоящего Положения, хранятся по адресу (местонахождению) Продавца и/или в защищенных дата-центрах, используемых Продавцом в соответствии с требованиями безопасности.
6. Условия раскрытия информации о персональных данных третьим лицам
6.1. Порядок доступа к персональным данным третьих лиц определяется условиями согласия субъекта персональных данных или в соответствии с требованиями действующего законодательства.
6.2. Доступ к персональным данным третьему лицу не предоставляется, если данное лицо отказывается брать на себя обязательства по соблюдению Закона Украины «О защите персональных данных» или не способно их обеспечить.
6.3. Субъект отношений, связанных с персональными данными, подает запрос о доступе (далее – «запрос») к персональным данным владельцу базы персональных данных. Запрос должен содержать информацию, предусмотренную действующим законодательством (ФИО, реквизиты и т.д.).
6.4. Срок рассмотрения запроса не превышает 10 рабочих дней со дня его получения. В этот период Продавец уведомляет заявителя, будет ли запрос удовлетворен, или данные не могут быть предоставлены с указанием основания.
6.5. Если запрос удовлетворяется, необходимые данные предоставляются в течение 30 календарных дней со дня получения запроса, если иное не установлено законом.
6.6. В случае отсрочки или отказа в доступе к персональным данным Продавец уведомляет заявителя с разъяснением причин отказа или отсрочки.
7. Защита персональных данных: способы защиты, ответственное лицо, сотрудники, имеющие доступ, срок хранения
7.1. Продавец обеспечивает защиту персональных данных путем внедрения системных и программно-технических средств, предотвращающих утрату, кражу, несанкционированный доступ, уничтожение или искажение данных. Выбранные средства защиты соответствуют международным и национальным стандартам.
7.2. Ответственное лицо назначается приказом Продавца и организует работу по защите персональных данных согласно закону. Его обязанности определяются должностной инструкцией.
7.3. Ответственное лицо обязано:
• Знать законодательство Украины в сфере защиты персональных данных.
• Разрабатывать процедуры доступа к персональным данным для сотрудников согласно их обязанностям.
• Обеспечивать соблюдение сотрудниками требований законодательства и внутренних документов о защите персональных данных.
• Осуществлять контроль за соблюдением требований защиты персональных данных.
• Уведомлять руководство о выявленных нарушениях.
• Обеспечивать хранение документов, подтверждающих предоставление субъектом данных согласия на обработку его персональных данных.
7.4. Для выполнения своих обязанностей ответственное лицо имеет право получать необходимые документы, делать их копии, вносить предложения по улучшению работы, требовать объяснений от сотрудников и т.д.
7.5. Сотрудники, непосредственно осуществляющие обработку и/или имеющие доступ к персональным данным, обязаны соблюдать законодательство, не разглашать персональные данные и не нарушать права субъектов данных.
7.6. Лица, имеющие доступ к персональным данным и нарушившие требования Закона Украины «О защите персональных данных», несут ответственность в соответствии с действующим законодательством.
7.7. Персональные данные хранятся не дольше, чем это необходимо для целей, указанных в разделе 3, но в любом случае не дольше сроков, установленных законом и/или согласием субъекта персональных данных.
8. Права субъекта персональных данных
8.1. Субъект персональных данных имеет право:
• Знать о местонахождении базы персональных данных, ее назначении, названии и адресе владельца или распорядителя.
• Получать информацию об условиях предоставления доступа к персональным данным, в т.ч. о третьих лицах, которым такие данные передаются.
• На доступ к своим персональным данным.
• Получать ответ о том, хранятся ли его данные в базе, и получать содержание этих данных не позднее 30 календарных дней со дня запроса (если иное не предусмотрено законом).
• Предъявлять мотивированное требование об изменении или уничтожении своих данных, если данные обрабатываются незаконно или являются неточными.
• На защиту своих персональных данных от незаконной обработки и случайной потери, уничтожения.
• Обращаться по вопросам защиты своих прав в соответствующие органы.
• Применять средства правовой защиты в случае нарушения законодательства о защите персональных данных.
9. Порядок работы с запросами субъекта персональных данных
9.1. Субъект персональных данных имеет право получить любые сведения о себе без указания цели запроса, кроме случаев, установленных законом.
9.2. Доступ субъекта к данным о себе осуществляется бесплатно (если иное не установлено законом).
9.3. Запрос субъекта персональных данных должен содержать:
• ФИО, место проживания (пребывания) и реквизиты документа, удостоверяющего личность.
• Другие сведения, позволяющие идентифицировать личность.
• Информацию о базе персональных данных или владельце/распорядителе, к которому подается запрос.
• Перечень персональных данных, которые запрашиваются.
9.4. Срок рассмотрения запроса составляет до 10 рабочих дней с даты его получения, в течение которых субъект уведомляется об удовлетворении запроса или об отказе с указанием причины.
9.5. Если запрос удовлетворен, данные предоставляются в течение 30 календарных дней со дня получения запроса.
10. Государственная регистрация базы персональных данных
10.1. Государственная регистрация баз персональных данных осуществляется в соответствии со статьей 9 Закона Украины «О защите персональных данных» и другими нормативно-правовыми актами.
11. Дополнительные положения по использованию данных в рамках Google Shopping / Google Merchant Center
11.1. Сбор данных для отображения в Google Shopping
Продавец может передавать некоторые данные о товарах и транзакциях в Google Merchant Center (GMC) с целью отображения товарных объявлений (Google Shopping). Эти данные могут включать:
• Наименование товара, характеристики, цену, изображение.
• Информацию о наличии и стоимости доставки.
• Личные данные покупателя (например, контактные данные и адрес доставки) – исключительно в объеме, необходимом для выполнения заказа, обработки платежей и соблюдения требований Google (например, для отслеживания конверсий или динамического ремаркетинга, если это предусмотрено функционалом GMC).
11.2. Использование и распространение данных
• Персональные данные могут использоваться для подтверждения заказов и коммуникаций с покупателями в соответствии с политиками Google Merchant Center (например, предоставление информации о статусе заказа).
• Продавец не передает персональные данные третьим лицам с целью, не связанной с выполнением заказов, без соответствующего согласия или законных оснований.
• Продавец осуществляет защиту полученных данных в соответствии с настоящим Положением и требованиями Google по безопасности данных.
11.3. Файлы cookie и технологии отслеживания
• Для корректной работы сайта, отслеживания эффективности рекламы в Google Ads и отображения товарных объявлений в Google Shopping могут использоваться файлы cookie, пиксели отслеживания и аналогичные технологии.
• Пользователи могут управлять настройками cookie в своем браузере, однако при отключении некоторых типов cookie работа сайта или отображение товаров в Google Shopping может быть ограничено.
11.4. Взаимодействие с платежными системами и курьерскими службами
• Для обработки платежей и доставки заказов Продавец может сотрудничать с платежными системами и службами доставки. В этом случае только необходимый минимум персональных данных (ФИО, телефон, адрес и т.д.) передается соответствующим партнерам на основании договоров и требований законодательства.
• Все контрагенты обязаны соблюдать соответствующие меры безопасности и конфиденциальности данных.
11.5. Соответствие политикам Google и законодательству
• Продавец обязуется придерживаться политик Google Merchant Center, в том числе касательно достоверности информации о товарах, прозрачности, возврата денежных средств, доставки и др.
• Использование данных осуществляется таким образом, чтобы не противоречить действующему законодательству Украины и политикам Google.
11.6. В случае возникновения вопросов об обработке данных в рамках Google Shopping, субъект персональных данных может обратиться к Продавцу по контактам, указанным на сайте, или воспользоваться процедурами, изложенными в настоящем Положении.