Политика обработки персональных данных
Студия массажа «Вточку»
Индивидуальный предприниматель Рыскулов Алмаз Анварович

1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее – «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности индивидуальным предпринимателем Рыскуловым Алмазом Анваровичем (ОГРНИП: 326028000063037, ИНН: 022202957871; Республика Башкортостан, Зианчуринский район, село Ишемгул; далее – «Оператор» или «Вточку»).
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Закон») и является общедоступным документом, публикуемым в порядке ч. 2 ст. 18.1 Закона.
1.3. Политика распространяется на обработку персональных данных, осуществляемую Оператором как с использованием средств автоматизации, так и без их использования, в том числе на данные, получаемые через сайт Оператора (далее – «Сайт»), в студии массажа Оператора, по телефону и в мессенджерах.
1.4. Актуальная редакция Политики размещена в сети Интернет на Сайте Оператора.

2. Принципы обработки
2.1. Оператор обрабатывает персональные данные на законной и справедливой основе, ограничивается достижением конкретных, заранее определенных и законных целей и не допускает обработки, несовместимой с этими целями.
2.2. Содержание и объем обрабатываемых данных соответствуют заявленным целям. Избыточные по отношению к целям данные не обрабатываются.
2.3. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных, исключительно на основании автоматизированной обработки (ст. 16 Закона).
2.4. Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона), в том числе сведения о состоянии здоровья, и не обрабатывает биометрические персональные данные (ст. 11 Закона). Сведения о противопоказаниях, сообщаемые клиентом мастеру до начала оказания услуг, не фиксируются ни на бумажных носителях, ни в информационных системах Оператора.
2.5. Оператор не осуществляет самостоятельную трансграничную передачу персональных данных. Особенности обработки данных на платформе Tilda указаны в разделе 7 настоящей Политики.
2.6. Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации (ч. 5 ст. 18 Закона).

3. Категории субъектов, состав данных, цели и правовые основания
Оператор обрабатывает персональные данные следующих категорий субъектов:
Категория субъектов
Состав данных
Цели обработки
Правовое основание
Клиенты услуг (покупатели)
фамилия и имя; номер телефона; адрес электронной почты; сведения о заказах, оплатах и возвратах
заключение и исполнение договора возмездного оказания услуг; оформление сертификатов и абонементов; запись на сеанс; расчеты и возвраты; рассмотрение обращений
п. 5 ч. 1 ст. 6 Закона – исполнение договора, стороной которого является субъект, и совершение действий по его заключению по инициативе субъекта
Получатели сертификатов и абонементов (третьи лица)
имя; номер телефона
выпуск сертификата на имя получателя; идентификация получателя при обращении за услугами; запись на сеанс
п. 5 ч. 1 ст. 6 Закона – исполнение договора, по которому субъект является выгодоприобретателем (ст. 430 ГК РФ)
Посетители Сайта
данные о посещении: идентификаторы файлов cookie, IP-адрес, сведения о браузере и устройстве, действия на страницах
обеспечение работы Сайта; анализ посещаемости и улучшение Сайта
для технически необходимых данных – п. 5 ч. 1 ст. 6 Закона; для аналитических – п. 1 ч. 1 ст. 6 Закона, согласие субъекта, выражаемое в баннере на Сайте
Посетители Сайта, заполняющие формы (POP IT-формы)
имя; номер телефона; адрес электронной почты; иные данные, указанные субъектом в полях формы
запись на сеанс; обратная связь; заказ сертификата или абонемента; обработка обращений
для форм, связанных с заключением договора, – п. 5 ч. 1 ст. 6 Закона; для форм обратной связи – п. 1 ч. 1 ст. 6 Закона (согласие субъекта)
Лица, обращающиеся к Оператору
фамилия, имя, отчество; контактные данные; содержание обращения
рассмотрение обращений, в том числе обращений субъектов персональных данных
п. 2 и п. 5 ч. 1 ст. 6 Закона
Работники и лица, работающие по договорам гражданско-правового характера
в объеме, предусмотренном трудовым законодательством и законодательством о бухгалтерском учете
кадровый учет; исполнение обязанностей, возложенных на Оператора законодательством; расчеты
п. 2 ч. 1 ст. 6 Закона; ст. 86–90 ТК РФ
Представители контрагентов
фамилия, имя, отчество; должность; контактные данные
заключение и исполнение договоров с контрагентами
п. 5 ч. 1 ст. 6 Закона


4. Источники получения персональных данных
4.1. Персональные данные клиентов, посетителей Сайта и лиц, обращающихся к Оператору, Оператор получает непосредственно от этих лиц.
4.2. Персональные данные получателей сертификатов и абонементов Оператор получает от клиентов, приобретающих услуги в пользу этих лиц. В соответствии с п. 2 ч. 4 ст. 18 Закона обязанность уведомления субъекта о получении его персональных данных не от него самого не возникает, поскольку данные обрабатываются во исполнение договора, по которому субъект является выгодоприобретателем.
4.3. Публичной офертой на клиента возложена обязанность уведомить получателя о передаче Оператору его имени и номера телефона. Оператор не направляет получателю уведомлений о приобретении сертификата в его пользу.

5. Лица, привлекаемые к обработке по поручению Оператора
5.1. Оператор вправе поручать обработку персональных данных другим лицам с согласия субъекта, если иное не предусмотрено законом, на основании договора, предусматривающего обязанность такого лица соблюдать конфиденциальность и требования к безопасности (ч. 3 ст. 6 Закона). Ответственность перед субъектом за действия указанных лиц несет Оператор.
5.2. К обработке привлекаются:
Лицо
Состав передаваемых данных
Назначение



Сервис учета клиентов и онлайн-записи YCLIENTS
имя и номер телефона клиента и получателя сертификата
учет клиентов и запись на сеанс
Российский провайдер серверных мощностей (ЦОД расположены на территории РФ)
данные, содержащиеся в информационных системах Оператора
размещение информационных систем
Сервис анализа посещаемости Яндекс Метрика
данные о посещении Сайта; при оформлении заказа дополнительно передаются идентификатор посетителя, время и сумма заказа без имени, номера телефона и адреса электронной почты
анализ посещаемости Сайта; обработка только при наличии согласия посетителя
Платформа Tilda Publishing
данные, вводимые посетителями в формы на Сайте
размещение Сайта; хранение данных форм; техническая поддержка
5.3. Все указанные лица, за исключением Tilda Publishing (см. раздел 7), обрабатывают персональные данные на территории Российской Федерации.

6. Сроки обработки и хранения
6.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки (ч. 7 ст. 5 Закона). По достижении целей либо в случае утраты необходимости в их достижении данные подлежат уничтожению или обезличиванию.
6.2. Оператором установлены следующие сроки:
Данные
Срок
Имя и номер телефона получателя сертификата при незавершенной оплате
24 часа с момента ввода
Данные клиента при незавершенной оплате
14 календарных дней с момента ввода
Код подтверждения номера телефона
15 минут с момента формирования; хранится в виде необратимого преобразования
Данные по оплаченным заказам
до истечения 12 месяцев с даты окончания срока действия сертификата или абонемента, после чего обезличиваются
Данные, обрабатываемые на основании согласия
до достижения целей обработки либо до отзыва согласия

6.3. Уничтожение персональных данных производится способом, исключающим возможность их восстановления, с составлением акта в случаях, предусмотренных требованиями уполномоченного органа.

7. Платформа Tilda Publishing
7.1. Роль платформы Tilda Publishing
7.1.1. Сайт Оператора размещён на платформе Tilda Publishing (далее – «Платформа»). В зависимости от страны профиля аккаунта Оператора на Платформе обработку данных могут осуществлять ООО «Тильда Паблишинг» или иные лица, указанные в политике конфиденциальности Tilda.
7.1.2. При сборе персональных данных через формы на Сайте Оператор является оператором персональных данных, а платформа Tilda действует по поручению Оператора в порядке ч. 3 ст. 6 Закона. Поручение считается заключённым автоматически при регистрации Оператора на Платформе.
7.1.3. Tilda обрабатывает персональные данные, собираемые через формы, в следующих целях: обеспечение функционирования Сайта, хранение данных форм в инфраструктуре Платформы, передача данных Оператору, обеспечение защиты форм от спама.
7.1.4. Tilda также обрабатывает собственные данные (данные редактора сайта, статистику Платформы) в качестве самостоятельного оператора. Эта обработка регулируется политикой конфиденциальности Tilda и не входит в предмет настоящей Политики.
7.2. POP IT-формы на Сайте
7.2.1. На Сайте используются формы ввода данных (далее – «Формы»), в том числе: форма записи на сеанс массажа, форма обратной связи, форма заказа сертификата или абонемента.
7.2.2. Под каждой Формой размещён чекбокс (галочка) с текстом: «Я даю согласие на обработку персональных данных на условиях Политики» со ссылкой на настоящую Политику. Чекбокс не отмечен по умолчанию.
7.2.3. Для форм, используемых при оформлении заказа (запись на сеанс, покупка сертификата), обработка данных осуществляется на основании п. 5 ч. 1 ст. 6 Закона (исполнение договора, стороной которого является субъект) — отдельное согласие в этом случае может не требоваться, поскольку без данных невозможно оказание услуги.
7.2.4. Для форм обратной связи и иных форм, не связанных с заключением договора, обработка осуществляется на основании согласия субъекта (п. 1 ч. 1 ст. 6 Закона), выражаемого путём проставления галочки.
7.2.5. Данные, введённые в Формы, передаются в инфраструктуру Tilda, а затем доступны Оператору в личном кабинете. Состав данных, собираемых через формы, определяется Оператором самостоятельно исходя из функциональных возможностей Платформы.
7.3. Cookie-файлы и аналитика Tilda
7.3.1. Tilda устанавливает на опубликованных сайтах cookie-файлы для аналитики и обеспечения работы Платформы, в том числе идентификаторы посетителя и сессии.
7.3.2. Указанные cookie-файлы, за исключением строго необходимых (анти-спам, балансировка нагрузки), устанавливаются только после получения согласия посетителя через баннер на Сайте. Для этого в Tilda предусмотрены специальные блоки для отображения баннера cookie.
7.3.3. До нажатия кнопки «Принять» аналитические скрипты не загружаются.
7.4. Трансграничная передача данных Tilda
7.4.1. В соответствии с политикой конфиденциальности Tilda, обработка данных может осуществляться с привлечением серверов, расположенных в Европейском союзе, США и Казахстане. Tilda также осуществляет трансграничную передачу персональных данных в указанные юрисдикции.
7.4.2. Для пользователей с российской страной профиля Tilda применяет отдельный порядок обработки, при котором данные преимущественно хранятся на серверах в Российской Федерации.
7.4.3. Оператор не осуществляет самостоятельную трансграничную передачу персональных данных. Передача данных в инфраструктуру Tilda осуществляется в рамках поручения на обработку и не является трансграничной передачей со стороны Оператора, поскольку Tilda действует по поручению Оператора.
7.4.4. В случае если страна профиля Оператора на Платформе изменена с российской на иную, обработка данных может осуществляться с трансграничной передачей в соответствии с политикой Tilda. Оператор обязан уведомить субъектов персональных данных об изменении порядка обработки путём публикации новой редакции настоящей Политики.

8. Файлы cookie и анализ посещаемости Сайта
8.1. Сайт использует файлы cookie и иные технологии, позволяющие получать сведения о посещении. Файлы cookie, не являющиеся технически необходимыми, устанавливаются только после получения согласия посетителя, выражаемого путем нажатия кнопки «Принять» в баннере, отображаемом при первом посещении Сайта.
8.2. До получения согласия сервисы анализа посещаемости на Сайте не загружаются и файлы cookie, не являющиеся технически необходимыми, не устанавливаются.
8.3. Перечень используемых файлов cookie, сроки их хранения и порядок отказа определены Политикой в отношении файлов cookie, размещенной на Сайте.
8.4. При завершении оформления заказа Оператор передает сервису анализа посещаемости присвоенный этим сервисом идентификатор посетителя, время и сумму заказа. Имя, номер телефона и адрес электронной почты клиента и получателя сертификата такому сервису не передаются. Содержимое полей ввода в формах Сайта исключено из записи действий посетителя.

9. Права субъектов персональных данных и порядок их реализации
9.1. Субъект персональных данных вправе получать сведения, предусмотренные ч. 7 ст. 14 Закона, требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, отозвать согласие на обработку, а также обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.
9.2. Запросы, требования и отзывы согласия направляются по адресу электронной почты Оператора либо по почтовому адресу Оператора, указанному в п. 1.1 Политики. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона.
9.3. Оператор рассматривает поступившие запросы и требования в сроки, установленные Законом, и сообщает заявителю о результатах их рассмотрения.
9.4. Отзыв согласия на обработку данных, обрабатываемых для исполнения договора, не прекращает такую обработку, поскольку она осуществляется на ином правовом основании.
9.5. Получатель сертификата вправе потребовать прекращения обработки своих персональных данных. В этом случае сертификат может быть переоформлен на иное лицо по заявлению клиента либо использован самим клиентом.

10. Меры по обеспечению безопасности персональных данных
10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона, в том числе:
назначает лицо, ответственное за организацию обработки персональных данных;
утверждает локальные акты по вопросам обработки персональных данных и устанавливает правила доступа к ним;
осуществляет внутренний контроль соответствия обработки требованиям Закона;
знакомит работников, непосредственно осуществляющих обработку, с положениями законодательства о персональных данных и локальными актами Оператора;
применяет средства защиты информации, обеспечивающие установленный уровень защищенности персональных данных при их обработке в информационных системах;
обеспечивает учет машинных носителей, обнаружение фактов несанкционированного доступа и восстановление данных, измененных или уничтоженных вследствие такого доступа.
10.2. Доступ к персональным данным предоставляется работникам и привлеченным лицам в объеме, необходимом для выполнения их обязанностей.

11. Заключительные положения
11.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция с указанием даты размещается на Сайте Оператора.
11.2. Разъяснения по вопросам обработки персональных данных можно получить, обратившись к Оператору по адресу электронной почты Оператора.

Индивидуальный предприниматель Рыскулов Алмаз Анварович
______________ / Рыскулов А. А.