1. Общие положения
1.1. Настоящая Политика в отношении обработки и защиты персональных данных (далее — «Политика») определяет основные принципы, цели, условия и способы обработки персональных данных, а также меры по обеспечению информационной безопасности, предпринимаемые Индивидуальным предпринимателем Агеевой Мирославой (далее — «Оператор»), в отношении пользователей веб-сайта https://hair-mira-kirov43.life/ (далее — «Сайт»), сервиса онлайн-бронирования и Личного кабинета клиента.
1.2. Политика разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), с учетом изменений, внесенных Федеральным законом от 14.07.2022 № 266-ФЗ, а также в соответствии с Рекомендациями Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных.
1.3. Основные понятия, используемые в Политике:
- Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
- Оператор — ИП Агеева Мирослава, самостоятельно организующая и осуществляющая обработку персональных данных, а также определяющая цели обработки, состав обрабатываемых данных и совершаемые действия (операции);
- Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение;
- Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники и серверов баз данных;
- Субъект персональных данных — посетители Сайта, клиенты Студии колористики, лица, оформляющие предварительную онлайн-запись, и зарегистрированные пользователи Личного кабинета.
2. Правовые основания обработки персональных данных
2.1. Обработка персональных данных осуществляется Оператором на строгой законной и справедливой основе. Правовыми основаниями обработки ПДн являются:
- Конституция Российской Федерации (ст. 23, 24);
- Гражданский кодекс Российской Федерации (часть 1 ст. 435, 437, 438 «Публичная оферта», глава 39 «Возмездное оказание услуг», ст. 779–783);
- Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»;
- Правила бытового обслуживания населения в Российской Федерации (утв. Постановлением Правительства РФ от 21.09.2020 № 1514);
- Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18);
- Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Согласие субъекта персональных данных на обработку его персональных данных, предоставляемое в электронной форме при отправке веб-форм на Сайте;
- Пользовательское соглашение и Публичная оферта на оказание услуг студии.
3. Дифференцированные цели обработки персональных данных
В соответствии с требованиями Приказа Роскомнадзора от 28.10.2022 № 180 обработка персональных данных Оператором строго ограничена достижением конкретных, заранее определенных и законных целей. Для каждой цели определены категории данных, категории субъектов, правовые основания и сроки хранения:
| № | Конкретная цель обработки | Категории субъектов | Состав обрабатываемых ПДн | Срок обработки и уничтожения |
|---|---|---|---|---|
| 1 |
Онлайн-запись и оказание парикмахерских услуг Резервирование слотов в графике мастеров, подтверждение бронирования, связь с клиентом, исполнение публичного договора оферты. |
Клиенты и гости студии (физические лица) | Имя (ФИО), контактный номер телефона, ссылка/аккаунт ВКонтакте (VK ID), выбранная услуга, дата и время записи, комментарий к записи | Срок действия договора оферты + 3 года после последнего визита (срок исковой давности по ГК РФ) |
| 2 |
Личный кабинет и программа лояльности Ведение профиля гостя, учет накопительной скидки (5%–15%), сохранение истории посещений и формул окрашивания. |
Авторизованные пользователи ЛК | Имя, фамилия, номер телефона, VK ID, аватар профиля, дата рождения, история визитов, общая сумма трат (total_spent), размер скидки |
До момента самостоятельного удаления аккаунта пользователем либо отзыва согласия на обработку данных |
| 3 |
Рекламно-информационные рассылки Информирование о сезонных спецпредложениях, персональных промокодах и поздравления с днем рождения (по ст. 18 38-ФЗ). |
Субъекты, давшие отдельное явное согласие на рекламу | Имя, номер телефона, дата рождения, контактные идентификаторы (ВКонтакте, SMS) | До момента отзыва субъектом отдельного согласия на получение рекламы (по кнопке отписки или обращению) |
| 4 |
Веб-аналитика и стабильность Сайта Статистический анализ посещаемости, оптимизация интерфейса, предотвращение атак и защита от сетевых угроз. |
Все посетители веб-сайта студии | Технические данные: IP-адрес, сетевые cookie, параметры браузера (User-Agent), разрешение экрана, источники переходов (Яндекс.Метрика) | До 180 дней с момента последнего посещения страницы (срок действия cookie-согласия) |
4. Категории субъектов и объем обрабатываемых данных
4.1. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Оператор не обрабатывает избыточные персональные данные.
4.2. Специальные категории персональных данных: В соответствии со ст. 10 152-ФЗ Оператор не осуществляет обработку специальных категорий данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни. Сведения об индивидуальной чувствительности к химическим препаратам или аллергических реакциях сообщаются клиентом добровольно исключительно в целях безопасности выполнения окрашивания.
4.3. Биометрические персональные данные: В соответствии со ст. 11 152-ФЗ Оператор не обрабатывает биометрические данные в целях установления личности субъекта. Фотографии и видеозаписи результатов окрашивания и стрижек размещаются в портфолио Сайта исключительно с предварительного устного или письменного согласия клиента.
5. Порядок и условия обработки персональных данных
5.1. Обработка персональных данных осуществляется Оператором следующими способами:
- Автоматизированная обработка персональных данных с использованием программно-аппаратных комплексов и СУБД SQLite;
- Неавтоматизированная обработка персональных данных (на бумажных носителях при заполнении карт окрашивания);
- Смешанная обработка с передачей служебной информации по защищенным каналам связи (протокол HTTPS/TLS).
5.2. Действия, совершаемые Оператором с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
5.3. Оператор и иные лица, получившие доступ к персональным данным, обязаны соблюдать конфиденциальность и не раскрывать персональные данные третьим лицам без согласия субъекта, если иное не предусмотрено федеральным законом.
6. Локализация баз данных и отсутствие трансграничной передачи
6.1. Серверная инфраструктура и база данных проекта размещены в защищенном дата-центре на территории РФ (г. Москва).
6.2. Трансграничная передача данных не осуществляется: Оператор не осуществляет передачу персональных данных на территорию иностранных государств. Для исключения утечки сетевых идентификаторов все используемые на Сайте веб-шрифты (Cormorant Garamond, Montserrat) и программные библиотеки локализованы непосредственно на сервере студии (self-hosted).
7. Передача данных третьим лицам и поручение обработки
7.1. Оператор не продает, не сдает в аренду и не передает персональные данные в коммерческих целях третьим организациям.
7.2. В соответствии с ч. 3 ст. 6 152-ФЗ Оператор вправе поручить обработку персональных данных третьим лицам на основании заключаемых с ними договоров при условии соблюдения конфиденциальности и требований безопасности:
- Провайдер хостинга и вычислительных мощностей: предоставление серверных мощностей в РФ для работы базы данных и веб-сервера;
- ООО «ВК» (VK ID SDK, ОГРН 1027739850962): обеспечение безопасной сквозной авторизации клиентов в Личном кабинете по защищенному протоколу OAuth 2.0;
- ООО «Яндекс» (Яндекс.Метрика, ОГРН 1027700229193): сбор и анализ обезличенной веб-статистики функционирования Сайта;
- Сервис Telegram Messenger (Telegram Bot API): оперативная доставка защищенных уведомлений о поступивших записях мастеру студии.
7.3. Передача данных государственным органам (МВД, ФНС, судам) допускается исключительно по официальным мотивированным запросам в случаях, прямо установленных законодательством РФ.
8. Сроки хранения и порядок уничтожения персональных данных
8.1. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором.
8.2. Регламент уничтожения по Приказу Роскомнадзора от 28.10.2022 № 179:
- При достижении целей обработки, истечении срока согласия или поступлении отзыва согласия персональные данные подлежат безвозвратному уничтожению в срок, не превышающий 30 (тридцати) календарных дней.
- Уничтожение персональных данных в электронных базах данных осуществляется путем безвозвратного удаления записей с перезаписью освободившегося дискового пространства (zero-fill/vacuum SQLite), делающим невозможным последующее восстановление информации.
- Уничтожение бумажных документов (при наличии) осуществляется путем механического измельчения в промышленном шредере (уровень секретности DIN 66399 не ниже P-4).
- По факту уничтожения составляется Акт об уничтожении персональных данных, содержащий выгрузку из журнала регистрации событий информационной системы, в соответствии с требованиями Приказа РКН № 179.
9. Права субъектов персональных данных
9.1. В соответствии со ст. 14–17 Федерального закона № 152-ФЗ субъект персональных данных имеет право:
- Получать полную информацию, касающуюся обработки его персональных данных, включая правовые основания, цели, способы обработки и сроки хранения;
- Требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными или незаконно полученными;
- Отозвать данное ранее согласие на обработку персональных данных в любой момент, направив письменное заявление или электронное уведомление;
- В любой момент отказаться от получения рекламных сообщений (ст. 18 38-ФЗ), направив запрос мастеру или воспользовавшись настройками профиля;
- Обжаловать неправомерные действия или бездействие Оператора в территориальный орган Роскомнадзора (Управление РКН по Кировской области) или в судебном порядке.
9.2. Запросы и обращения субъектов ПДн рассматриваются Оператором в срок, не превышающий 10 (десяти) рабочих дней с момента получения обращения.
10. Меры по обеспечению безопасности персональных данных
10.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий в соответствии со ст. 19 152-ФЗ и Постановлением Правительства РФ от 01.11.2012 № 1119:
- Назначено лицо, ответственное за организацию обработки и обеспечение безопасности персональных данных;
- Утверждены локальные акты по вопросам обработки персональных данных и защиты конфиденциальной информации;
- Применяется протокол шифрования TLS/HTTPS для всего сетевого трафика между браузером клиента и сервером;
- Доступ к административной панели защищен надежной аутентификацией с использованием криптографических JWT-токенов с ограниченным сроком действия;
- Осуществляется разграничение прав доступа к базе данных SQLite и изоляция процессов;
- Настроено регулярное автоматическое резервное копирование базы данных на изолированное защищенное хранилище;
- Осуществляется постоянный аудит кода и антивирусный контроль серверной операционной системы.
11. Заключительные положения и контакты Оператора
11.1. Настоящая Политика является открытым и общедоступным документом. Действующая редакция Политики постоянно размещена в сети Интернет по постоянному адресу: https://hair-mira-kirov43.life/privacy.html.
11.2. Оператор оставляет за собой право вносить изменения в Политику. Новая редакция вступает в силу с момента ее публикации на Сайте.
11.3. Юридические реквизиты и контактные данные Оператора для направления запросов, обращений и отзывов согласий: