1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27 июля 2006 года № 152‑ФЗ «О персональных данных» (далее — «ФЗ‑152») и определяет порядок обработки и обеспечения безопасности персональных данных физических лиц, посещающих сайт cdplay.ru (далее — «Сайт»).

1.2. В Политике используются основные понятия, приведённые в статье 3 ФЗ‑152:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту персональных данных);
• оператор — юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых данных;
• обработка персональных данных — любое действие с персональными данными (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение);
• автоматизированная обработка — обработка персональных данных с использованием средств вычислительной техники;
• распространение – действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
• предоставление – действия, направленные на раскрытие персональных данных определённому лицу или кругу лиц;
• блокирование – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения данных);
• уничтожение – действия, при которых восстановление содержания персональных данных становится невозможным;
• обезличивание – действия, при которых невозможно определить принадлежность персональных данных конкретному лицу без дополнительной информации.

1.3. Оператором персональных данных является владелец Сайта cdplay.ru. Контактные данные оператора для обращений представлены в разделе 10 настоящей Политики.

1.4. Настоящая Политика действует в отношении всех персональных данных, которые оператор получает от субъектов персональных данных (пользователей Сайта, клиентов, представителей контрагентов) в рамках использования Сайта, заключения и исполнения договоров, а также выполнения других обязанностей, возложенных законодательством.

2. Цели обработки персональных данных

2.1. Персональные данные обрабатываются оператором исключительно для достижения конкретных, заранее определённых и законных целей, соответствующих деятельности интернет‑магазина cdplay.ru. Согласно принципам статьи 5 ФЗ‑152, обработка должна быть ограничена достижением таких целей и не допускается для несовместимых целей.

2.2. Основные цели обработки:

• регистрация пользователей на Сайте и создание аккаунта;
• оформление заказов, заключение и исполнение договоров купли‑продажи;
• доставка товаров, обмен и возврат;
• обеспечение обратной связи, ответ на запросы пользователей, направление уведомлений;
• участие пользователей в бонусных и программах лояльности;
• информирование о товарах, услугах, специальных предложениях (при наличии согласия);
• выполнение требований законодательства Российской Федерации и уведомление уполномоченных органов;
• иные законные цели, непосредственно связанные с деятельностью интернет‑магазина.

3. Правовые основания обработки персональных данных

3.1. Обработка персональных данных осуществляется на законной и справедливой основе и допускается в случаях, предусмотренных статьёй 6 ФЗ‑152. К таким правовым основаниям относятся:

• получение согласия субъекта персональных данных на обработку его данных;
• необходимость обработки для заключения и исполнения договора, стороной которого является субъект персональных данных (например, оформление и доставка заказа);
• выполнение обязанностей, возложенных на оператора законодательством Российской Федерации;
• защита жизни, здоровья или иных жизненно важных интересов субъекта, если получение согласия невозможно;
• осуществление прав и законных интересов оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются;
• иные основания, предусмотренные статьёй 6 ФЗ‑152.

3.2. Оператор получает согласие на обработку персональных данных свободно, своей волей и в интересе субъекта, согласие должно быть конкретным, информированным и сознательным. Согласие может быть отозвано в любой момент; в этом случае оператор прекращает обработку, за исключением случаев, когда существует иное правовое основание для обработки.

3.3. Если персональные данные разрешены субъектом для распространения, согласие на их распространение оформляется отдельно от иных согласий. Оператор обязан предоставить субъекту возможность определить перечень данных по каждой категории, разрешённой к распространению.

3.4. Специальные категории персональных данных (о расовой или национальной принадлежности, политических взглядах, религиозных убеждениях, здоровье или интимной жизни) обрабатываются только в случаях, прямо предусмотренных статьёй 10 ФЗ‑152.

3.5. Оператор, являющийся юридическим лицом, до начала обработки обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять обработку, за исключением случаев, перечисленных в части 2 статьи 22 ФЗ‑152. В уведомлении указываются сведения о цели обработки, категориях данных и субъектах, правовом основании, мерах защиты и т.п..

3.6. Оператор назначает лицо, ответственное за организацию обработки персональных данных, которое осуществляет внутренний контроль за соблюдением законодательства, доводит до сведения работников требования к защите персональных данных и организует обработку обращений и запросов субъектов.

4. Объём и категории обрабатываемых данных

4.1. Объём обрабатываемых персональных данных соответствует заявленным целям и не является избыточным.

4.2. В зависимости от целей обработки оператор может запрашивать и обрабатывать следующие категории данных:

• фамилия, имя, отчество;
• контактная информация: номер телефона, адрес электронной почты, адрес доставки;
• сведения, необходимые для выполнения договора: реквизиты заказов, информация об оплате и доставке;
• данные, предоставляемые пользователем при участии в программах лояльности (например, дата рождения, предпочтения);
• иные сведения, которые субъект добровольно предоставляет оператору в процессе использования Сайта.

4.3. Категории субъектов персональных данных:

• пользователи Сайта, регистрирующиеся для оформления заказов;
• клиенты (покупатели) интернет‑магазина;
• представители контрагентов и курьерских служб;
• иные лица, персональные данные которых обрабатываются оператором в рамках исполнения договоров или требований законодательства.

4.4. Оператор не обрабатывает специальные категории персональных данных и биометрические данные, за исключением случаев, прямо предусмотренных законом.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется с соблюдением принципов, установленных статьёй 5 ФЗ‑152: законность и справедливая основа; ограничение обработки достижением конкретных, заранее определённых целей; недопустимость объединения баз данных, обработка которых осуществляется в несвязанных целях; соответствие объёма данных заявленным целям; обеспечение точности, актуальности и достоверности данных; хранение в форме, позволяющей определить субъекта не дольше, чем этого требуют цели обработки; уничтожение или обезличивание данных после достижения целей либо по утрате необходимости в их достижении.

5.2. Оператор применяет смешанный способ обработки: автоматизированную с использованием информационных систем и неавтоматизированную (например, при оформлении бумажных накладных). При автоматизированной обработке применяются средства защиты информации в соответствии с требованиями законодательства; при неавтоматизированной обработке соблюдаются меры физической безопасности и организационного контроля.

5.3. Передача персональных данных третьим лицам допускается только на основании договора или закона и в пределах, необходимых для достижения целей обработки. Оператор может передавать персональные данные:

• курьерским и почтовым службам — для доставки заказов;
• платёжным системам и банкам — для проведения оплаты;
• сервисам обратной связи и партнёрам, предоставляющим услуги в рамках заключённых соглашений;
• уполномоченным государственным органам — в случаях, установленных законодательством.

В каждом случае оператор обеспечивает соблюдение конфиденциальности и принимает меры по защите передаваемых данных. Оператор вправе поручить обработку персональных данных другому лицу на основании договора; такое лицо обязано соблюдать принципы и правила обработки.

5.4. Персональные данные могут быть переданы за пределы Российской Федерации (трансграничная передача) только в государства, обеспечивающие адекватную защиту прав субъектов, либо при наличии согласия субъекта и соблюдении требований статьи 12 ФЗ‑152. Оператор информирует субъекта о планируемой трансграничной передаче и условиях обеспечения безопасности данных.

5.5. Оператор обеспечивает конфиденциальность персональных данных. Согласно статье 7 ФЗ‑152, операторы и иные лица, получившие доступ к персональным данным, не вправе раскрывать их третьим лицам без согласия субъекта, если иное не предусмотрено федеральным законом.

6. Актуализация, исправление, удаление и уничтожение персональных данных

6.1. Субъект персональных данных имеет право требовать от оператора уточнения, блокирования или уничтожения его персональных данных в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

6.2. Для реализации указанного права субъект направляет оператору обращение в письменной форме или в форме электронного документа, подписанного электронной подписью, с указанием сведений, подтверждающих факт обработки персональных данных оператором (например, номер договора, дату заключения и т.п.).

6.3. Оператор рассматривает обращение и принимает меры по актуализации, блокированию или уничтожению данных. Уточнение или удаление выполняется в сроки, установленные законодательством. При отсутствии законодательных сроков оператор рассматривает обращение и направляет ответ субъекту не позднее 30 календарных дней со дня поступления запроса (ориентируясь на положения статьи 14 ФЗ‑152, предусматривающие возможность повторного обращения не ранее 30 дней после первоначального).

6.4. Уничтожение персональных данных осуществляется способами, исключающими возможность восстановления информации. Оператор применяет средства, прошедшие в установленном порядке процедуру оценки соответствия средств защиты информации, что предусмотрено статьёй 19 ФЗ‑152.

7. Ответы на запросы субъектов персональных данных

7.1. Субъект персональных данных имеет право на получение от оператора информации о факте обработки его персональных данных, целях и правовых основаниях обработки, способах обработки, наименовании и месте нахождения оператора, сроках обработки и хранении данных, сведения о трансграничной передаче и иных данных, предусмотренных пунктами 1–10 части 7 статьи 14 ФЗ‑152.

7.2. Запрос должен содержать:

• номер основного документа, удостоверяющего личность субъекта или его представителя;
• сведения о дате выдачи документа и органе, его выдавшем;
• сведения, подтверждающие участие субъекта в отношениях с оператором (номер договора, дату заключения договора, условное обозначение) либо иные сведения, подтверждающие факт обработки персональных данных оператором;
• подпись субъекта или его представителя.

Запрос может быть направлен в форме электронного документа, подписанного электронной подписью.

7.3. Оператор предоставляет запрашиваемую информацию в доступной форме и без раскрытия персональных данных, относящихся к другим субъектам, за исключением случаев, когда имеются законные основания для раскрытия таких данных.

7.4. В случае отказа в удовлетворении запроса оператор направляет мотивированный ответ с указанием причин отказа. Субъект вправе обжаловать отказ в уполномоченный орган по защите прав субъектов персональных данных или в суд.

8. Меры по обеспечению безопасности персональных данных

8.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

8.2. В целях обеспечения безопасности оператор осуществляет:

• определение актуальных угроз безопасности персональных данных в информационных системах;
• применение организационных и технических мер, соответствующих установленным уровням защищённости;
• применение средств защиты информации, прошедших процедуру оценки соответствия;
• учет машинных носителей персональных данных, предотвращение несанкционированного доступа и восстановление данных в случае утраты;
• установление правил доступа к персональным данным и ведение регистрации действий с ними;
• контроль принимаемых мер и уровня защищённости информационных систем.

8.3. Оператор обеспечивает обучение работников, допущенных к обработке персональных данных, и информирует их о положениях законодательства и локальных актов. Лицо, ответственное за организацию обработки, осуществляет внутренний контроль за соблюдением требований ФЗ‑152 и организует приём и обработку обращений субъектов.

8.4. Доступ к персональным данным имеют только уполномоченные сотрудники, исполняющие служебные обязанности. Указанные лица подписывают обязательства о неразглашении конфиденциальной информации. Оператор применяет антивирусную защиту, межсетевые экраны, систему резервного копирования и иные технические средства для предотвращения утечек и несанкционированного доступа.

9. Срок хранения персональных данных

9.1. Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки. По достижении целей обработки или при утрате необходимости в их достижении данные подлежат уничтожению или обезличиванию, если иное не предусмотрено федеральным законом.

9.2. В отдельных случаях законы Российской Федерации могут устанавливать обязательные сроки хранения документов и данных (например, в сфере бухгалтерского учёта и налоговой отчётности). В таких случаях оператор хранит данные в течение установленного срока, после чего уничтожает или обезличивает их.

10. Заключительные положения

10.1. Настоящая Политика является общедоступным документом и размещается на Сайте cdplay.ru. Оператор вправе вносить изменения в Политику. При внесении изменений вносятся актуальные сведения о дате последнего обновления. Новая редакция Политики вступает в силу с момента её размещения на Сайте.

10.2. Контактные сведения для обращений субъектов персональных данных:

• Электронная почта: admin@cdplay.ru
• Почтовый адрес: Крым, г. Симферополь, ул. Балаклавская 68, магазин CDPLAY

10.3. Все отношения, связанные с обработкой персональных данных и не урегулированные настоящей Политикой, регулируются положениями ФЗ‑152, а также иными нормативными правовыми актами Российской Федерации в области персональных данных.

10.4. Настоящая Политика опубликована и действует с момента размещения на сайте cdplay.ru