Политика обработки персональных данных

1. Оператор и основные понятия

1.1. Оператором персональных данных является ИП Сапронова Диана Александровна, адрес: г. Бердянск, ул. Орджоникидзе, д. 95, кв. 87 — далее «Оператор».

1.2. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

1.3. Термины, не определённые в Политике, применяются в значении, установленном 152-ФЗ.

1.4. Политика распространяется на все персональные данные, которые Оператор получает от пользователей сайта, мобильного приложения и по телефону службы доставки.

2. Правовые основания обработки

2.1. Оператор обрабатывает персональные данные на основании:

• согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ) — при регистрации, оформлении заказа и подписке на рассылки;
• необходимости исполнения договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ) — при доставке заказа;
• требований законодательства: Гражданского кодекса РФ, Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», Федерального закона от 22.05.2003 № 54-ФЗ о применении контрольно-кассовой техники, Налогового кодекса РФ (п. 2 ч. 1 ст. 6 152-ФЗ).

2.2. Согласие даётся свободно, своей волей и в своём интересе, является конкретным, предметным, информированным, сознательным и однозначным. Отдельное согласие берётся на получение рекламных рассылок (ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»): отказ от рассылки не мешает пользоваться сервисом.

3. Цели обработки

• регистрация и ведение личного кабинета, идентификация пользователя при входе;
• приём, оформление, оплата и доставка заказов, связь с получателем по заказу;
• оформление возвратов и рассмотрение обращений, претензий и жалоб;
• начисление и списание бонусов, проверка промокодов и участие в акциях;
• исполнение обязанностей по налоговому и кассовому законодательству;
• улучшение работы сервиса и обезличенная статистика посещений;
• направление рекламных и информационных сообщений — только при отдельном согласии.

4. Категории данных и субъектов

4.1. Оператор обрабатывает данные клиентов и посетителей сайта в объёме:

• имя, указанное пользователем;
• номер мобильного телефона;
• адрес электронной почты — если указан;
• дата рождения — если указана пользователем для участия в акциях;
• адрес доставки, комментарий к адресу, координаты точки доставки;
• состав, сумма и история заказов, статус оплаты;
• фотография профиля — если загружена пользователем;
• технические данные: IP-адрес, сведения об устройстве и браузере, файлы cookie, дата и время обращения к сайту, идентификатор push-уведомлений.

4.2. Оператор не обрабатывает специальные категории персональных данных (раса, национальность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные.

4.3. Сервис не предназначен для лиц младше 18 лет; данные несовершеннолетних Оператор осознанно не собирает.

5. Порядок и способы обработки

5.1. Обработка ведётся смешанным способом — с использованием средств автоматизации и без них — с соблюдением конфиденциальности.

5.2. Базы данных, содержащие персональные данные граждан Российской Федерации, расположены на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

5.3. Трансграничная передача персональных данных Оператором не осуществляется.

5.4. Решения, порождающие юридические последствия, исключительно на основании автоматизированной обработки Оператор не принимает (ст. 16 152-ФЗ).

6. Передача данных третьим лицам

6.1. Оператор передаёт персональные данные только в объёме, необходимом для исполнения заказа и работы сервиса, и требует от получателей соблюдения конфиденциальности:

• системе автоматизации ресторана (iiko, ООО «Айко») — имя, телефон, адрес доставки, состав и время заказа;
• курьерской службе и курьерам — имя, телефон, адрес доставки;
• оператору платежей ЮKassa (НКО «ЮMoney») — сумма заказа и данные, необходимые для проведения платежа и формирования кассового чека; реквизиты банковской карты вводятся на стороне платёжного сервиса и Оператору не передаются;
• сервису подсказки адресов DaData (ООО «Дадата») — вводимая строка адреса;
• сервису карт Яндекс — координаты и адрес доставки для отображения карты;
• оператору SMS-рассылки и сервису push-уведомлений — номер телефона либо идентификатор устройства для доставки сообщений о заказе;
• государственным органам — по мотивированному запросу в случаях и порядке, установленных законом.

6.2. Оператор не продаёт персональные данные и не передаёт их для сторонней рекламы.

7. Сроки обработки и хранения

7.1. Данные обрабатываются до достижения цели обработки, отзыва согласия или удаления аккаунта — в зависимости от того, что наступит раньше.

7.2. Сведения о совершённых заказах и расчётах хранятся в течение сроков, установленных налоговым и бухгалтерским законодательством (не менее 5 лет), даже если согласие отозвано: их хранение основано на законе (п. 2 ч. 1 ст. 6 152-ФЗ).

7.3. По достижении целей или прекращении оснований данные уничтожаются либо обезличиваются в сроки, установленные ст. 21 152-ФЗ.

8. Права субъекта персональных данных

8.1. Пользователь вправе:

• получать сведения об обработке своих персональных данных (ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не нужны для заявленной цели;
• отозвать согласие на обработку (ч. 2 ст. 9 152-ФЗ);
• отказаться от рекламных рассылок в любой момент;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

8.2. Обращение направляется на support@ti-di.ru либо передаётся лично по адресу кафе. В обращении указываются номер основного документа, удостоверяющего личность, сведения о взаимоотношениях с Оператором и подпись субъекта (ч. 3 ст. 14 152-ФЗ). Ответ даётся в течение 10 рабочих дней.

8.3. Отзыв согласия означает прекращение обработки и удаление аккаунта, кроме данных, которые Оператор обязан хранить по закону (п. 7.2).

9. Защита данных

9.1. Оператор принимает меры, предусмотренные ст. 18.1 и 19 152-ФЗ, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных;
• ограничивает доступ сотрудников к данным по принципу необходимости;
• использует защищённое соединение (HTTPS) и хранит пароли только в виде хеша;
• ведёт журнал согласий: кто, когда и с какой редакцией документа согласился;
• обеспечивает резервное копирование и восстановление данных;
• уведомляет уполномоченный орган и субъекта об инцидентах в сроки, установленные ч. 3.1 ст. 21 152-ФЗ.

10. Файлы cookie

10.1. Сайт использует файлы cookie. Порядок их использования и отказа от них описан в Политике использования cookie.

11. Изменение Политики

11.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на этой странице, если иное не указано в её тексте.

11.2. Действующая редакция всегда доступна по адресу https://ti-di.ru/legal/privacy.