Положение о защите персональных данных Заказчиков ООО «Минестроне»

Политика конфиденциальности

1. Общие положения

1.1. Назначение документа

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые ООО «Минестроне» (далее — «Оператор»).

1.2. Основные понятия

В настоящей Политике используются следующие термины и определения:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными.
• Оператор — юридическое лицо или индивидуальный предприниматель, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных.
• Субъект персональных данных — физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.
• Сайт — совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети интернет по сетевому адресу https://si-ristorante.ru/
• Мобильное приложение — программное обеспечение для мобильных устройств iOS/Android.

1.3. Сфера действия

Настоящая Политика применяется ко всей информации, которую Оператор может получить о посетителях веб-сайта и пользователях мобильных приложений.

2. Правовые основания обработки персональных данных

2.1. Правовые основания

Оператор обрабатывает персональные данные на следующих правовых основаниях:

• исполнение договора, стороной которого является субъект персональных данных;
• согласие на обработку персональных данных;
• обработка необходима для исполнения обязанностей, предусмотренных законодательством РФ;
• обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц.

2.2. Нормативные документы

Политика Оператора в области обработки персональных данных определяется следующими нормативными документами:

• Конституция Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• иные нормативные правовые акты РФ в области защиты персональных данных.

3. Принципы обработки персональных данных

3.1. Основные принципы

Обработка персональных данных осуществляется на основе следующих принципов:

• законности и справедливой основы;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
• недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработки только тех персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
• недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки;
• обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;
• уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей.

4. Цели обработки персональных данных

4.1. Основные цели

Оператор осуществляет обработку персональных данных в следующих целях:

• Заключение и исполнение договора – обработка персональных данных для оформления заказов, организации самовывоза или доставки товаров, консультирования по вопросам приобретения товаров, приема платежей и информирования о статусе заказа.
• Обеспечение функционирования веб-сайта и личного кабинета – обработка персональных данных для идентификации пользователей, предоставления доступа к личному кабинету, анализа посещаемости сайта и улучшения пользовательского опыта.
• Маркетинговая деятельность – обработка персональных данных в целях анализа покупательского поведения, прогнозирования спроса, направления рекламных сообщений и формирования персонализированных предложений при наличии согласия субъекта.
• Осуществление обратной связи и технической поддержки – обработка персональных данных для рассмотрения обращений, устранения технических проблем, повышения качества обслуживания и информирования об изменениях в работе сервиса.

5. Категории субъектов и перечень обрабатываемых персональных данных

5.1. Категории субъектов

Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетители веб-сайта;
• пользователи мобильных приложений;
• зарегистрированные пользователи;
• покупатели/заказчики услуг;
• контрагенты и их представители;
• соискатели вакансий.

5.2. Перечень персональных данных

В зависимости от категории субъекта и целей обработки, Оператор может обрабатывать следующие персональные данные:

Для всех посетителей:

• IP-адрес;
• информация из cookies;
• информация о браузере;
• время доступа;
• реферер (адрес предыдущей страницы).
•  

Для зарегистрированных пользователей дополнительно:

• Имя
• Номер телефона
• Адрес
• Электронный адрес

Для покупателей/заказчиков дополнительно:

• Имя
• Номер телефона
• Адрес

Поведенческая информация (с отдельного согласия):

• данные о просмотренных страницах;
• время, проведенное на страницах;
• клики и взаимодействия с элементами интерфейса;
• история поисковых запросов на Сайте;
• добавление товаров в корзину и избранное.

5.3. Специальные категории данных

Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

5.4. Биометрические данные

Оператор не осуществляет обработку биометрических персональных данных (сведения, которые характеризуют физиологические и биологические особенности человека).

5.5. Согласие на обработку персональных данных

Согласие на обработку персональных данных предоставляется субъектом:

• путем проставления отметки в соответствующем поле формы на Сайте/в Приложении;
• путем совершения конклюдентных действий;
• в письменной форме в случаях, предусмотренных законодательством.

Важно:

1. Согласие на обработку персональных данных оформляется отдельным документом и не может быть включено в состав других документов (договоров, соглашений и т.п.).
2. Для каждой цели обработки получается отдельное согласие.
3. Согласие должно быть конкретным, информированным и сознательным.
4. Оператор обязан предоставить субъекту возможность ознакомиться с настоящей Политикой до получения его согласия.

5.6. Формы согласий

Оператор использует следующие формы согласий:

• согласие на обработку персональных данных (базовое);
• согласие на получение рекламной информации;
• согласие на обработку данных в маркетинговых целях;
• согласие на передачу данных третьим лицам (при необходимости);
• согласие на трансграничную передачу данных (при использовании зарубежных сервисов).
•  

5.7. Согласие на использование файлов cookie

Сервис использует файлы cookie и аналогичные технологии. Продолжая использование Сервиса, Пользователь соглашается с использованием указанных технологий. При первом посещении Сайта отображается уведомление об использовании файлов cookie с возможностью настройки предпочтений.

6. Порядок и условия обработки персональных данных

6.1. Способы обработки

Обработка персональных данных осуществляется следующими способами:

• с использованием средств автоматизации;
• без использования средств автоматизации (при непосредственном участии человека).

6.2. Действия с персональными данными

Оператор осуществляет следующие действия с персональными данными:

• сбор;
• запись;
• систематизация;
• хранение;
• уточнение (обновление, изменение);

6.3. Передача третьим лицам

Оператор не передает персональные данные третьим лицам без согласия субъекта персональных данных, за исключением случаев, когда:

• передача предусмотрена российским законодательством;
• это необходимо для исполнения договора с субъектом;
• получено согласие субъекта на передачу данных;
• передача осуществляется в рамках поручения на обработку.

6.4. Поручение обработки

При поручении обработки персональных данных другому лицу, Оператор включает в договор условия о соблюдении конфиденциальности и обеспечении безопасности персональных данных при их обработке.

6.5. Трансграничная передача

Оператор НЕ осуществляет трансграничную передачу персональных данных.

В случае возникновения необходимости трансграничной передачи персональных данных, Оператор обязуется:

1. Получить письменное согласие субъекта на трансграничную передачу его персональных данных;
2. До начала осуществления трансграничной передачи уведомить Роскомнадзор о намерении осуществлять такую передачу;
3. Получить от иностранного получателя гарантии обеспечения адекватной защиты прав субъектов персональных данных;
4. Убедиться, что иностранное государство обеспечивает адекватную защиту прав субъектов персональных данных;
5. Прекратить передачу данных в случае получения запрета от Роскомнадзора.

6.7. Локализация данных

В соответствии с требованиями части 5 статьи 18 Федерального закона № 152-ФЗ, при сборе персональных данных, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

Оператор гарантирует:

• все персональные данные граждан РФ хранятся и обрабатываются исключительно на серверах, расположенных на территории РФ;
• используются только российские дата-центры, соответствующие требованиям законодательства;
• не используются облачные сервисы и хранилища, серверы которых расположены за пределами РФ.

1. 7. Права субъектов персональных данных

7.1. Основные права

Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных;
• требовать уточнения своих персональных данных, их блокирования или уничтожения;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора;
• на защиту своих прав и законных интересов;
• на возмещение убытков и/или компенсацию морального вреда.

7.2. Порядок реализации прав

Для реализации своих прав субъект персональных данных может обратиться к Оператору следующими способами:

• направить письменное обращение по адресу: г. Екатеринбург, ул. Луначарского, д. 173 А, пом. 104
• направить обращение в электронной форме на адрес: it@resta.rest

7.3. Сроки ответа

Оператор обязан сообщить субъекту персональных данных или его представителю информацию об осуществляемой обработке его персональных данных в течение 10 рабочих дней с даты получения соответствующего запроса.

7.4. Журнал учета обращений

Все обращения субъектов персональных данных фиксируются в журнале учета с указанием:

• даты поступления обращения;
• сути запроса;
• принятых мер;
• даты и содержания ответа. Журнал хранится в течение 3 лет.

7.5. Отзыв согласия

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных путем направления письменного заявления Оператору. В случае отзыва согласия Оператор вправе продолжить обработку без согласия при наличии оснований, указанных в законодательстве.

7.6. Удаление персональных данных

Удаление персональных данных производится:

• по достижении целей обработки;
• в случае отзыва согласия субъектом;
• по требованию субъекта при отсутствии законных оснований для продолжения обработки;
• в иных случаях, предусмотренных законодательством.

Для удаления персональных данных необходимо направить запрос на электронную почту: it@resta.rest

1. 8. Меры по обеспечению безопасности персональных данных

8.1. Основные меры

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

8.2. Организационные меры

• назначение ответственного за организацию обработки персональных данных;
• издание локальных актов по вопросам обработки персональных данных;
• ознакомление работников с требованиями законодательства и локальными актами;
• организация учета и хранения материальных носителей персональных данных;
• определение угроз безопасности персональных данных;
• разработка системы защиты персональных данных.

8.3. Технические меры

• применение средств защиты информации;
• оценка эффективности принимаемых мер;
• обнаружение фактов несанкционированного доступа;
• восстановление персональных данных;
• установление правил доступа к персональным данным;
• контроль за принимаемыми мерами.

8.4. Уровень защищенности

Оператор обеспечивает уровень защищенности персональных данных в соответствии с требованиями законодательства и с учетом актуальных угроз безопасности информации.

1. 9. Использование файлов  cookie и технологий отслеживания

9.1. Файлы cookie

Сайт и мобильные приложения используют файлы cookie для:

• идентификации посетителей;
• сохранения настроек и предпочтений;
• анализа использования Сервиса;
• таргетирования рекламы;
• обеспечения безопасности.

9.2. Типы файлов cookie

• Технические (обязательные) — необходимы для работы Сайта;
• Функциональные — запоминают предпочтения пользователя;
• Аналитические — собирают информацию об использовании Сайта;
• Рекламные — используются для показа релевантной рекламы.

9.3. Управление файлами cookie

Пользователь может отключить использование файлов cookie в настройках браузера, однако это может привести к недоступности некоторых функций Сайта.

9.4. Сервисы аналитики

ВАЖНОЕ УВЕДОМЛЕНИЕ О СЕРВИСАХ АНАЛИТИКИ:

Оператор использует только российские сервисы веб-аналитики (Яндекс.Метрика), которые обрабатывают данные на территории РФ.

При использовании зарубежных сервисов аналитики (Google Analytics, Firebase и др.) Оператор:

1. Уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу данных;
2. Получает отдельное согласие пользователей на использование таких сервисов;
3. Обеспечивает анонимизацию IP-адресов;
4. Гарантирует, что передаются только обезличенные данные, не позволяющие идентифицировать пользователя.

1. 10. Обработка персональных данных несовершеннолетних

10.1. Возрастные ограничения

Оператор не осуществляет целенаправленную обработку персональных данных несовершеннолетних лиц младше 18 лет.

10.2. Согласие законных представителей

В случае если будет установлено, что персональные данные несовершеннолетнего младше 18 лет были предоставлены без согласия законных представителей, такие данные будут незамедлительно удалены.

1. 11. Актуализация, исправление, удаление персональных данных

11.1. Актуализация данных

Субъект персональных данных может в любой момент изменить (обновить, дополнить) предоставленные им персональные данные через личный кабинет или путем направления соответствующего запроса Оператору.

11.2. Удаление данных

Субъект может потребовать удаления своих персональных данных:

• если данные являются неполными, устаревшими, неточными;
• если данные были получены незаконно;
• если отсутствует необходимость в достижении цели обработки.

11.3. Порядок удаления

Для удаления персональных данных необходимо:

• использовать соответствующий функционал в личном кабинете (при наличии);
• направить запрос на электронную почту: it@resta.rest с темой «Удаление персональных данных».

1. 12. Порядок действий при инцидентах с персональными данными 

12.1. Обязанности при утечке данных

В случае выявления факта утечки (неправомерной или случайной передачи) персональных данных, Оператор обязан:

• В течение 24 часов — уведомить Роскомнадзор о факте утечки в свободной форме;
• В течение 72 часов — провести внутреннее расследование и направить в Роскомнадзор повторное уведомление о результатах расследования;
• Незамедлительно — принять меры по устранению последствий утечки;
• По возможности — уведомить субъектов, чьи данные были скомпрометированы.

12.2. Внутренний регламент реагирования

Оператор имеет утвержденный регламент действий при инцидентах безопасности, включающий:

• алгоритм обнаружения и фиксации инцидента;
• порядок проведения внутреннего расследования;
• меры по минимизации ущерба;
• процедуру уведомления заинтересованных лиц.

12.3. Журнал учета инцидентов

Все инциденты с персональными данными фиксируются в специальном журнале с указанием:

• даты и времени инцидента;
• категории и объема затронутых данных;
• принятых мер реагирования;
• результатов расследования.

1. 13. Ответственность за нарушение норм обработки персональных данных

13.1. Ответственность Оператора

Оператор несет ответственность за нарушение норм, регулирующих обработку и защиту персональных данных, в соответствии с законодательством РФ.

13.2. Контрольные органы

Контроль за соблюдением требований законодательства в области персональных данных осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

1. 14. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

14.1. Изменение Политики

Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента ее размещения на Сайте. О существенных изменениях Оператор уведомляет пользователей путем размещения соответствующего уведомления на Сайте.

14.2. Действующая редакция

Действующая редакция Политики находится на Сайте по адресу: https://si-ristorante.ru/userfiles/si-persdannie.pdf

14.3. Применимое законодательство

К настоящей Политике и отношениям между Оператором и субъектом персональных данных применяется законодательство Российской Федерации.

14.4. Обратная связь

По вопросам, касающимся обработки персональных данных, можно обращаться:

• по электронной почте: it@resta.rest
• по почтовому адресу: г. Екатеринбург, ул. Луначарского, д. 173 А, пом. 104
• по телефону:  +7 (343) 239-52-41
• через форму обратной связи на Сайте.