Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей сайта https://rickmortyshop.ru и связанных с ним страниц (далее — Сайт). Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными применимыми актами Российской Федерации.

Политика действует в отношении данных, которые Оператор получает от пользователей Сайта, покупателей, получателей заказов и лиц, обращающихся в службу поддержки. Она не распространяется на сайты третьих лиц, на которые пользователь переходит по внешним ссылкам.

Оператор обрабатывает только данные, необходимые для заявленных целей, не объединяет базы, созданные для несовместимых целей, и не принимает решений, порождающих юридические последствия для пользователя, исключительно на основании автоматизированной обработки.

2. Сведения об Операторе

• ◆Оператор: [укажите полное наименование ООО / ФИО индивидуального предпринимателя].
• ◆ИНН: [укажите ИНН].
• ◆ОГРН / ОГРНИП: [укажите ОГРН / ОГРНИП].
• ◆Адрес: [укажите адрес регистрации оператора].
• ◆Обращения по персональным данным: [укажите email для обращений по персональным данным].

3. Какие данные обрабатываются

• ◆Данные аккаунта: выбранный логин, хеш пароля, отображаемое имя, телефон и email, если пользователь добавил их в профиль. Открытый пароль Оператор не хранит.
• ◆Данные заказа: имя и фамилия, телефон, необязательный email, город, адрес или пункт выдачи, состав и стоимость заказа, комментарий, способ доставки, номера и статусы заказа, оплаты и отправления.
• ◆Данные обращений: содержание сообщения, указанные пользователем контакты и история взаимодействия по вопросу.
• ◆Технические данные: IP-адрес, дата и время запроса, адрес запрошенной страницы, тип браузера и устройства, технические журналы безопасности, идентификатор защищённой сессии.
• ◆Локальные данные на устройстве: содержимое корзины хранится в localStorage браузера. Сессионный cookie toynado_session используется для входа в аккаунт.
• ◆Избранное: идентификаторы выбранных товаров и время добавления. Для гостя список хранится в localStorage, после входа переносится в аккаунт пользователя.
• ◆Оператор не запрашивает специальные категории персональных данных, биометрические данные, данные банковской карты, коды из SMS и пароли от сторонних сервисов.

4. Цели и правовые основания

• ◆Создание аккаунта, вход, ведение профиля и предоставление истории заказов — по запросу пользователя, для исполнения пользовательского соглашения и на основании отдельно выраженного согласия, когда оно требуется.
• ◆Приём, подтверждение и исполнение заказа, доставка, оплата, возврат и претензионная работа — для заключения и исполнения договора с пользователем, а также исполнения обязанностей, установленных законом.
• ◆Направление кассового чека и обязательных уведомлений о заказе — для исполнения требований законодательства и договора. Рекламные сообщения без отдельного предварительного согласия не направляются.
• ◆Предотвращение мошенничества, защита аккаунтов и Сайта, расследование сбоев — для исполнения обязанностей Оператора по обеспечению безопасности и защиты его законных интересов при соблюдении прав пользователя.
• ◆Ответы на обращения и реализация прав субъекта персональных данных — для исполнения требований закона и обработки запроса пользователя.

5. Операции и способы обработки

Обработка может включать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу уполномоченным получателям, блокирование, удаление и уничтожение данных. Обработка осуществляется с использованием средств автоматизации и, когда это необходимо для заказа или обращения, без их использования.

Оператор не распространяет персональные данные неопределённому кругу лиц и не продаёт их. Общедоступными данные пользователя не становятся.

6. Получатели и поручение обработки

• ◆Сотрудники и подрядчики Оператора — только в объёме, необходимом для исполнения их обязанностей, при соблюдении конфиденциальности.
• ◆Служба доставки СДЭК, Ozon Доставка или иной выбранный перевозчик — имя и телефон получателя, адрес или код пункта выдачи, сведения о составе и статусе отправления. При выборе Ozon Доставки номер используется также для проверки наличия аккаунта Ozon.
• ◆Платёжный оператор и оператор онлайн-кассы — сумма, номер заказа и контакты, необходимые для платежа и чека. Полные реквизиты карты Сайт не получает и не хранит.
• ◆Поставщики хостинга, базы данных, защиты и технической поддержки — в пределах поручения Оператора и договорных требований к безопасности.
• ◆Государственные органы — только в случаях и порядке, прямо предусмотренных законодательством Российской Федерации.

7. Сроки хранения и уничтожение

• ◆Аккаунт и данные профиля — пока аккаунт используется, затем до 30 дней после подтверждённого запроса на удаление, если иной срок не требуется по закону или действующему договору.
• ◆Заказы, расчёты, возвраты и претензии — в течение исполнения договора и сроков хранения документов, установленных гражданским, налоговым и бухгалтерским законодательством.
• ◆Защищённая сессия входа — до 30 дней с момента создания либо до выхода из аккаунта; истёкшие сессии удаляются.
• ◆Корзина и гостевое избранное на устройстве — до их очистки пользователем, выхода из аккаунта или удаления данных сайта в настройках браузера.
• ◆После достижения цели данные удаляются или обезличиваются в срок, предусмотренный законом, если отсутствует другое законное основание для их хранения. Если Оператор создаёт резервные копии, данные в них прекращают использоваться и удаляются по циклу перезаписи, установленному Оператором.

8. Cookies и локальное хранилище

Сайт использует только технически необходимые средства хранения: HttpOnly-cookie для безопасной авторизации и localStorage для корзины и гостевого избранного. Cookie авторизации имеет срок до 30 дней, атрибут SameSite=Lax и передаётся только по HTTPS в рабочей среде. Он недоступен JavaScript-коду страницы.

На дату редакции Политики Сайт не устанавливает рекламные cookies и не подключает системы поведенческой аналитики. Если такие технологии появятся, Оператор предварительно обновит Политику и запросит отдельное согласие там, где оно требуется.

Пользователь может удалить cookie и локальные данные в настройках браузера. После удаления cookie потребуется повторный вход, после удаления localStorage очистится локальная корзина.

9. Локализация и трансграничная передача

При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации, кроме предусмотренных законом случаев.

Трансграничная передача допускается только после выполнения требований статьи 12 Федерального закона № 152-ФЗ, включая предварительное уведомление Роскомнадзора и оценку условий защиты у иностранного получателя. До выполнения этих требований Оператор не вправе передавать персональные данные через иностранные сервисы.

10. Защита персональных данных

• ◆Разграничение доступа по ролям покупателя и администратора, проверка полномочий на сервере.
• ◆Хеширование паролей алгоритмом scrypt с индивидуальной солью; хранение только хеша сессионного токена.
• ◆HttpOnly, SameSite и Secure-атрибуты cookie в рабочей среде, параметризованные запросы к базе данных и ограничение сроков сессии.
• ◆Обновление программного обеспечения, ограничение доступа сотрудников и подрядчиков, а также резервное копирование и журналирование, если эти механизмы используются в рабочей инфраструктуре.
• ◆При инциденте Оператор принимает меры по локализации последствий и уведомляет Роскомнадзор в сроки и порядке, установленные законом.

11. Права пользователя

• ◆Получить сведения об обработке своих персональных данных и копию относящихся к нему данных.
• ◆Потребовать уточнения, блокирования или удаления неполных, устаревших, неточных, незаконно полученных либо не нужных для заявленной цели данных.
• ◆Отозвать согласие. Отзыв не влияет на законность обработки до его получения и не прекращает обработку, для которой у Оператора остаётся другое законное основание.
• ◆Отказаться от рекламных сообщений без прекращения получения сервисных уведомлений по заказу.
• ◆Обжаловать действия Оператора в Роскомнадзор или в суд.

12. Как направить запрос

Запрос можно направить по адресу [укажите email для обращений по персональным данным] либо почтой по адресу [укажите адрес регистрации оператора]. Укажите ФИО, способ связи, суть требования и сведения, позволяющие подтвердить, что данные относятся к вам. Оператор вправе запросить разумное подтверждение личности, но не просит сообщать пароль, код из SMS или полные данные банковской карты.

Оператор отвечает и исполняет обоснованное требование в сроки, установленные Федеральным законом № 152-ФЗ. Если данные должны храниться для исполнения закона, договора или защиты прав в споре, Оператор объясняет основание и ограничивает их обработку соответствующей целью.

13. Согласие и данные третьих лиц

Когда обработка основана на согласии, оно запрашивается отдельно от оферты и иных документов. Текст согласия доступен на отдельной странице Сайта до отправки формы.

Указывая сведения другого получателя заказа, пользователь подтверждает наличие законного основания сообщить их Оператору и обязан ознакомить получателя с настоящей Политикой.

14. Изменение Политики

Оператор пересматривает Политику при изменении процессов или законодательства. Новая редакция действует с момента публикации, если в ней не указана более поздняя дата. Существенные изменения, затрагивающие цели обработки или права пользователей, доводятся до сведения доступным способом и, когда требуется, сопровождаются получением нового согласия.