Положение о политике в отношении обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые обществом с ограниченной ответственностью «Сивур» (ООО «Сивур») (далее — Оператор). Издание Политики является одной из мер по обеспечению защиты персональных данных, предусмотренных абзацем третьим пункта 3 статьи 17 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее — Закон).

1. Общие положения

Оператор: общество с ограниченной ответственностью «Сивур», УНП 193667988.
Место нахождения (юридический адрес): 220004, г. Минск, ул. Кальварийская, д. 25, пом. 200.
Почтовый адрес для направления корреспонденции: 220079, Республика Беларусь, г. Минск, а/я 147.
Контактный e-mail: ritiko.by@yandex.by; адрес интернет-сайта: ritiko.by

Политика применяется к обработке персональных данных клиентов (потенциальных клиентов), посетителей интернет-сайта Ritiko.by (далее — интернет-сайт) и салона, представителей контрагентов и иных лиц, указанных в Приложении 1 к Политике, в том числе при оформлении заказов, создании учётной записи, записи на примерку, отправке обращений и использовании файлов cookie.

Порядок обработки файлов cookie дополнительно определяется Политикой в отношении обработки файлов cookie, размещённой на интернет-сайте. Политика не применяется к обработке персональных данных работников (бывших работников, кандидатов на трудоустройство) Оператора, а также при осуществлении видеонаблюдения — такая обработка регулируется отдельными локальными правовыми актами Оператора.

Основные термины (персональные данные, обработка персональных данных, субъект персональных данных, оператор, уполномоченное лицо, обезличивание, предоставление, распространение, трансграничная передача) используются в значениях, определённых статьёй 1 Закона.

Во исполнение пункта 4 статьи 17 Закона Оператор обеспечивает неограниченный доступ к Политике путём её размещения на интернет-сайте. Политика вступает в силу с даты её утверждения.

2. Категории субъектов и перечень обрабатываемых персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

посетители интернет-сайта (в том числе пользователи, не совершившие заказ);
покупатели и арендаторы товаров, заказчики услуг пошива и подгонки;
пользователи, создавшие учётную запись (личный кабинет);
лица, записавшиеся на примерку или обратившиеся за консультацией (по телефону, через формы интернет-сайта, в мессенджерах Viber, WhatsApp, в социальной сети Instagram);
лица, направившие обращения (в том числе внесённые в книгу замечаний и предложений) и заявления по вопросам обработки персональных данных;
индивидуальные предприниматели и представители юридических лиц — контрагентов Оператора.

Обрабатываются следующие персональные данные:

фамилия, имя, отчество (если таковое имеется) (указываются при оформлении заказа и в личном кабинете);
номер телефона;
адрес электронной почты;
адрес доставки (при выборе доставки);
сведения о заказах (состав, сумма, дата), сведения об оплате (сумма, дата, способ оплаты, номер заказа);
параметры фигуры (мерки) и пожелания к изделию — при оказании услуг пошива и подгонки;
данные документа, удостоверяющего личность, — при заключении договора аренды (проката), если это предусмотрено его условиями;
дата и время записи на примерку, содержание обращений и переписки;
логин и пароль от личного кабинета (пароль хранится в зашифрованном (хешированном) виде);
технические данные, автоматически передаваемые браузером: IP-адрес, сведения об устройстве и браузере, файлы cookie (см. Политику в отношении обработки файлов cookie).

Оператор не обрабатывает специальные персональные данные и не собирает данные о несовершеннолетних осознанно.

Конкретный перечень персональных данных, обрабатываемых для каждой цели, приведён в Приложении 1 к Политике.

3. Цели обработки персональных данных

оформление, подтверждение и исполнение заказов (продажа, аренда, пошив, подгонка);
запись на примерку и её проведение в салоне;
связь с покупателем по вопросам заказа, консультирование, информирование о статусе;
доставка заказов и обеспечение проведения платежей;
предоставление доступа к личному кабинету и отображение истории заказов;
рассмотрение обращений и запросов, в том числе заявлений субъектов персональных данных, а также запросов государственных органов;
заключение и исполнение договоров с контрагентами;
ведение бухгалтерского и налогового учёта;
улучшение работы интернет-сайта и анализ посещаемости (аналитические данные — только при наличии согласия).

Оператор обрабатывает только те персональные данные, которые необходимы для достижения заявленных целей, и не допускает их избыточной обработки. Обработка персональных данных, несовместимая с первоначально заявленными целями, не допускается.

4. Правовые основания обработки персональных данных

Обработка персональных данных осуществляется на следующих правовых основаниях:

согласие субъекта персональных данных (аналитические файлы cookie; рекламные файлы cookie — в случае их использования);
обработка персональных данных при заключении и исполнении договора, стороной которого является субъект персональных данных (продажа, аренда, пошив, подгонка, запись на примерку, использование личного кабинета на условиях Пользовательского соглашения) — абзац пятнадцатый статьи 6 Закона;
выполнение обязанностей (полномочий), предусмотренных законодательными актами (бухгалтерский и налоговый учёт, ответы на обращения граждан и юридических лиц, рассмотрение заявлений субъектов персональных данных, исполнение запросов государственных органов) — абзац двадцатый статьи 6 Закона.

Согласие предоставляется путём совершения активного действия (выбор категорий файлов cookie в баннере). Согласие может быть отозвано в любое время — см. раздел 7.

До получения согласия Оператор предоставляет субъекту персональных данных информацию, предусмотренную пунктом 5 статьи 5 Закона, и разъясняет его права, механизм их реализации, а также последствия дачи согласия или отказа в даче такого согласия (документы «Условия обработки персональных данных» и «Права субъекта персональных данных» , размещённые на интернет-сайте, а также разделы 4 и 7 настоящей Политики).

Отзыв согласия не влечёт удаления персональных данных, обрабатываемых по иным основаниям, предусмотренным Законом и иными законодательными актами, и не влияет на законность обработки, осуществлённой до отзыва согласия.

5. Сроки хранения персональных данных

Персональные данные хранятся не дольше, чем этого требуют цели их обработки:

данные учётной записи — до её удаления субъектом персональных данных либо Оператором в случаях, предусмотренных Пользовательским соглашением;
данные о заказах — 3 года после проведения налоговыми органами проверки соблюдения налогового законодательства, а если проверка не проводилась — 10 лет после окончания срока действия (исполнения) договора;
данные обращений — 5 лет с даты последнего обращения (для обращений, внесённых в книгу замечаний и предложений, — 5 лет после окончания ведения книги); заявления субъектов персональных данных — 1 год;
данные о записи на примерку и переписка по консультациям, не завершившимся заключением договора, — 1 год с даты последнего обращения;
файлы cookie — согласно срокам, указанным в Политике в отношении обработки файлов cookie.

По достижении целей обработки, истечении сроков хранения либо при отзыве согласия персональные данные удаляются или обезличиваются, если иное не предусмотрено законодательными актами. Документы, содержащие персональные данные, уничтожаются в порядке, установленном законодательством об архивном деле и делопроизводстве. Сроки хранения по каждой цели обработки указаны в Приложении 1 к Политике.

6. Передача персональных данных третьим лицам

Оператор не продаёт и не передаёт персональные данные третьим лицам для целей, не связанных с исполнением заказа. Предоставление персональных данных третьим лицам и поручение их обработки уполномоченным лицам возможно в следующих случаях:

сервисам аналитики (Google Analytics, Яндекс.Метрика) — идентификаторы файлов cookie и сведения о посещении интернет-сайта, только при наличии согласия на аналитические файлы cookie;
курьерским службам и операторам почтовой связи (службам доставки) — в объёме, необходимом для доставки заказа;
банкам и платёжным сервисам (в том числе при оплате через систему «Расчёт» (ЕРИП) и банковскими платёжными карточками) — в объёме, необходимом для проведения платежа;
уполномоченным лицам, обрабатывающим персональные данные по поручению Оператора (хостинг-провайдер интернет-сайта, сервис электронной почты), — перечень приведён в Приложении 2 к Политике;
государственным органам — по их запросам в случаях, предусмотренных законодательными актами.

Обработка персональных данных уполномоченным лицом осуществляется на основании договора с Оператором, который содержит цели обработки, перечень действий с персональными данными, обязанности по соблюдению конфиденциальности и меры по обеспечению защиты персональных данных в соответствии со статьёй 17 Закона (статья 7 Закона). Ответственность перед субъектом персональных данных за действия уполномоченного лица несёт Оператор.

При обращении субъекта персональных данных к Оператору через мессенджеры Viber, WhatsApp или социальную сеть Instagram персональные данные дополнительно обрабатываются владельцами указанных сервисов в соответствии с их политиками конфиденциальности. Субъект персональных данных самостоятельно выбирает данный канал связи и вправе использовать телефон или электронную почту.

Трансграничная передача персональных данных осуществляется:

в Российскую Федерацию (ООО «Яндекс»: сервисы Яндекс.Метрика и Яндекс 360) — в государство, на территории которого обеспечивается надлежащий уровень защиты прав субъектов персональных данных;
в Соединённые Штаты Америки (Google LLC: сервис Google Analytics) — в государство, на территории которого надлежащий уровень защиты прав субъектов персональных данных не обеспечивается, — только на основании согласия субъекта персональных данных на аналитические файлы cookie, данного при условии информирования о рисках;
почтовым сервисам, обслуживающим адрес электронной почты, указанный субъектом персональных данных (Gmail, Outlook и др.), — при направлении ему сообщений в рамках исполнения договора (абзац третий пункта 1 статьи 9 Закона).

В связи с передачей персональных данных в государства, на территории которых не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, Оператор информирует о существовании следующих рисков:

отсутствие специального законодательства, регулирующего обработку персональных данных, в том числе требований по соблюдению таких норм;
отсутствие независимого уполномоченного государственного органа по защите прав субъектов персональных данных;
ограниченный круг прав субъектов персональных данных;
использование ненадлежащих способов получения персональных данных, незаконная обработка персональных данных, в результате чего персональные данные могут стать доступными неограниченному кругу лиц.

7. Права субъектов персональных данных

Субъект персональных данных имеет право:

получать информацию, касающуюся обработки своих персональных данных (о месте нахождения Оператора, подтверждение факта обработки, сами персональные данные и источник их получения, правовые основания и цели обработки, срок, на который дано согласие, наименование и место нахождения уполномоченных лиц, иную информацию, предусмотренную законодательством);
получать информацию о предоставлении своих персональных данных третьим лицам — один раз в календарный год бесплатно;
требовать внесения изменений в свои персональные данные, если они являются неполными, устаревшими или неточными, с приложением подтверждающих документов (их копий), а также самостоятельно изменять их в личном кабинете;
требовать бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки, предусмотренных Законом и иными законодательными актами;
отозвать согласие на обработку персональных данных в любое время без объяснения причин (если обработка осуществляется на основании согласия);
обжаловать действия (бездействие) и решения Оператора, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных (Национальный центр защиты персональных данных Республики Беларусь) в порядке, установленном законодательством об обращениях граждан и юридических лиц; решение уполномоченного органа может быть обжаловано в суд.

Для реализации своих прав субъект персональных данных подаёт Оператору заявление в письменной форме (нарочно или почтой по адресу: 220079, г. Минск, а/я 147) либо в виде электронного документа, подписанного электронной цифровой подписью, на адрес ritiko.by@yandex.by. Отозвать согласие можно также в той форме, в которой оно было получено.

Заявление должно содержать:

фамилию, собственное имя, отчество (если таковое имеется), адрес места жительства (места пребывания);
дату рождения;
идентификационный номер (при его отсутствии — номер документа, удостоверяющего личность), если эти сведения указывались при даче согласия или обработка осуществляется без согласия;
изложение сути требований;
личную подпись либо электронную цифровую подпись.

Заявление о предоставлении информации, касающейся обработки персональных данных, рассматривается в течение 5 рабочих дней, иные заявления — в течение 15 дней после их получения. Порядок реализации прав и последствия дачи согласия или отказа в его даче разъяснены в документе «Права субъекта персональных данных» , размещённом на интернет-сайте, а также в разделах 4 и 7 настоящей Политики.

8. Обязанности Оператора

Оператор обязан:

разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;
получать согласие субъекта персональных данных, за исключением случаев, предусмотренных Законом и иными законодательными актами;
обеспечивать защиту персональных данных в процессе их обработки;
предоставлять субъекту персональных данных информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, вносить изменения, прекращать обработку и удалять персональные данные в случаях и порядке, предусмотренных Законом;
принимать меры по обеспечению достоверности обрабатываемых персональных данных;
уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трёх рабочих дней после того, как Оператору стало известно о таких нарушениях;
исполнять требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных;
исполнять иные обязанности, предусмотренные Законом и иными законодательными актами.

9. Меры по обеспечению безопасности персональных данных

Оператор принимает правовые, организационные и технические меры по обеспечению безопасности персональных данных, в том числе: назначение структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, издание документов, определяющих политику Оператора в отношении обработки персональных данных, ознакомление работников с положениями законодательства о персональных данных и локальными правовыми актами Оператора, установление порядка доступа к персональным данным, ограничение доступа, применение шифрования при передаче данных (HTTPS), резервное копирование, учёт носителей и контроль доступа к ним, техническую и криптографическую защиту персональных данных в соответствии с классификацией информационных ресурсов (систем).

10. Заключительные положения

Оператор вправе изменять настоящую Политику. Актуальная редакция размещается на этой странице с указанием даты последнего изменения и вступает в силу с момента размещения, если иное не предусмотрено новой редакцией. Контроль за исполнением Политики осуществляет лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных.

Вопросы, касающиеся обработки персональных данных и не урегулированные Политикой, регулируются законодательством Республики Беларусь.

По всем вопросам, связанным с обработкой персональных данных, можно обратиться по адресу ritiko.by@yandex.by.

Приложение 1 к Политике — перечень обрабатываемых персональных данных в ООО «Сивур»

Цель обработки	Категории субъектов	Перечень персональных данных	Правовое основание	Срок хранения
Заключение и исполнение договоров розничной купли-продажи (в том числе дистанционной), аренды (проката) изделий, пошива и подгонки	Покупатели, арендаторы, заказчики — физические лица	Фамилия, имя, отчество (если имеется), номер телефона, e-mail, адрес доставки, сведения о заказе, мерки и пожелания к изделию, сведения об оплате; при аренде — данные документа, удостоверяющего личность (если предусмотрено договором)	Договор (абзац пятнадцатый статьи 6 Закона)	3 года после проведения налоговой проверки, а если проверка не проводилась — 10 лет после окончания срока действия договора
Регистрация и использование личного кабинета на интернет-сайте	Пользователи интернет-сайта	Фамилия, имя, номер телефона, e-mail, логин, пароль (в хешированном виде), история заказов	Пользовательское соглашение (абзац пятнадцатый статьи 6 Закона)	До удаления личного кабинета; сведения о заказах — в сроки, указанные выше
Запись на примерку, консультирование по телефону, через формы интернет-сайта, в мессенджерах и социальных сетях	Лица, обратившиеся к Оператору	Имя, номер телефона, e-mail или учётные данные мессенджера, дата и время примерки, содержание переписки	Заключаемый договор (абзац пятнадцатый статьи 6 Закона)	1 год с даты последнего обращения
Доставка заказов	Покупатели, получатели заказов	Фамилия, имя, номер телефона, адрес доставки, номер заказа	Договор (абзац пятнадцатый статьи 6 Закона)	В сроки хранения данных о заказе
Обеспечение проведения платежей (система «Расчёт» (ЕРИП), банковские платёжные карточки)	Покупатели, заказчики	Фамилия, имя, отчество, сумма и идентификатор платежа, номер заказа, номер телефона, e-mail	Договор (абзац пятнадцатый статьи 6 Закона)	5 лет с момента осуществления платежа
Рассмотрение обращений граждан и юридических лиц, в том числе внесённых в книгу замечаний и предложений	Лица, направившие обращение; иные лица, чьи данные указаны в обращении	Фамилия, собственное имя, отчество (если имеется) либо инициалы, адрес места жительства (места пребывания), суть обращения, иные данные, указанные в обращении	Абзац двадцатый статьи 6 Закона, Закон Республики Беларусь «Об обращениях граждан и юридических лиц»	5 лет с даты последнего обращения; для книги замечаний и предложений — 5 лет после окончания её ведения
Рассмотрение заявлений субъектов персональных данных	Заявители	Фамилия, имя, отчество (если имеется), адрес места жительства (места пребывания), дата рождения, идентификационный номер, иные данные, указанные в заявлении	Абзац двадцатый статьи 6 Закона	1 год
Заключение и исполнение договоров с контрагентами	Индивидуальные предприниматели; представители юридических лиц	Фамилия, имя, отчество (если имеется), должность, контактный телефон, e-mail; для ИП — также УНП, адрес, банковские реквизиты	Для ИП — договор (абзац пятнадцатый статьи 6 Закона); для представителей юридических лиц — абзац двадцатый статьи 6 Закона, статья 49, пункт 5 статьи 186 Гражданского кодекса Республики Беларусь	3 года после проведения налоговой проверки, а если проверка не проводилась — 10 лет после окончания срока действия договора
Обеспечение функционирования интернет-сайта (необходимые файлы cookie)	Посетители интернет-сайта	Идентификатор сессии, токены защиты форм и корзины, сведения о выборе настроек cookie	Пользовательское соглашение (абзац пятнадцатый статьи 6 Закона)	В соответствии с Политикой в отношении обработки файлов cookie
Анализ посещаемости интернет-сайта (аналитические файлы cookie)	Посетители интернет-сайта	Идентификаторы файлов cookie, IP-адрес, сведения об устройстве и браузере, посещённые страницы, дата и время посещения	Согласие субъекта персональных данных	До отзыва согласия, но не более сроков, указанных в Политике в отношении обработки файлов cookie
Исполнение запросов государственных органов	Лица, в отношении которых поступил запрос	Определяется содержанием запроса	Абзац двадцатый статьи 6 Закона, иные законодательные акты	В соответствии со сроками хранения соответствующей переписки

Приложение 2 к Политике — перечень уполномоченных лиц, обрабатывающих персональные данные по поручению ООО «Сивур»

Наименование, УНП (ИНН)	Место нахождения	Цели обработки	Перечень персональных данных
ООО «Активные технологии», УНП 690277669	220030, г. Минск, ул. Ленина, д. 50, офис 301	Хранение данных интернет-сайта, обеспечение его функционирования	Все данные, вводимые на интернет-сайте и хранящиеся в его базе данных
ООО «ЯНДЕКС» (сервис Яндекс 360), ИНН 7736207543	Российская Федерация, 119021, г. Москва, ул. Льва Толстого, д. 16	Услуги электронной почты (ritiko.by@yandex.by)	Адрес электронной почты, содержание сообщений и иные данные, указанные в переписке
ОАО «Технобанк», УНП 100706562	220002, г. Минск, ул. Кропоткина, д. 44	Обеспечение технической возможности проведения платежей	Фамилия, имя, сумма и идентификатор платежа, номер заказа, e-mail, номер телефона