Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее Политика) разработана в соответствии со статьёй 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее Закон) и определяет порядок и условия обработки персональных данных пользователей сайта mysoma.ru и связанного с ним Telegram-бота (далее вместе Сервис «СОМА» или Сервис).

1.2. Оператором персональных данных является ООО «ФАРМБИОТЕХ» (ИНН 4205431333, ОГРН 1254200011504, адрес: 650000, Кемеровская область - Кузбасс, г. Кемерово, ул. Притомская Набережная, д. 25, кв. 43), e-mail для обращений info@mysoma.ru (далее Оператор).

1.3. Политика является общедоступным документом и размещена на сайте mysoma.ru. Политика действует в отношении всех персональных данных, которые Оператор получает через Сервис.

1.4. Обработка персональных данных осуществляется на основе принципов законности, ограничения обработки конкретными и заранее определёнными целями, соответствия состава данных заявленным целям, точности данных и их хранения не дольше, чем этого требуют цели обработки.

2. Основные термины

2.1. Персональные данные. Любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Специальная категория персональных данных. В целях Политики это сведения о состоянии здоровья субъекта, обрабатываемые в соответствии со статьёй 10 Закона.

2.3. Обработка персональных данных. Любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.

2.4. Пользователь. Физическое лицо, которое использует Сервис, в том числе без регистрации.

2.5. Личный кабинет. Раздел Сервиса, доступный Пользователю после регистрации и входа.

2.6. Обезличенные данные. Данные, по которым без дополнительной информации невозможно определить принадлежность конкретному субъекту.

3. Категории субъектов персональных данных

3.1. Оператор обрабатывает персональные данные следующих субъектов: посетители сайта, проходящие анкету подбора; зарегистрированные пользователи; покупатели, оформившие заказ; пользователи, оставившие адрес электронной почты для сообщения о поступлении продукта; пользователи, подключившие Telegram-бота.

4. Цели обработки, состав данных и правовые основания

4.1. Регистрация и ведение личного кабинета. Данные: адрес электронной почты, имя, номер телефона, пароль (хранится только в виде хеша, исходный пароль Оператору недоступен), код подтверждения электронной почты. Основание: согласие субъекта (пункт 1 части 1 статьи 6 Закона) и исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6 Закона).

4.2. Подбор добавок к питанию по анкете. Данные: цели, особенности сна, уровень стресса, питание, физическая активность, пол, возраст, а также сведения о состоянии здоровья: постоянный приём лекарственных препаратов, диагнозы, беременность и грудное вскармливание, аллергии, принимаемые добавки. Основание: согласие субъекта, а для сведений о состоянии здоровья отдельное согласие в письменной форме в соответствии с пунктом 1 части 2 статьи 10 Закона.

4.3. Оформление и исполнение заказа, доставка товара. Данные: имя, номер телефона, способ доставки (СДЭК или Ozon), адрес доставки или пункт выдачи, комментарий к заказу, состав заказа, история заказов, применённый промокод. Основание: согласие субъекта и заключение и исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6 Закона).

4.4. Сообщение о поступлении продукта. Данные: адрес электронной почты, а также имя и номер телефона, если Пользователь указал их по желанию, и название выбранного продукта. Основание: согласие субъекта на обработку персональных данных и отдельное согласие на получение сообщения о начале продаж (статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).

4.5. Сопровождение курса приёма. Данные: отметки приёма (дата, утро или вечер), сведения о сроке окончания курса, информация о скидке на следующий заказ. Основание: согласие субъекта и исполнение договора.

4.6. Напоминания о приёме в Telegram (по желанию Пользователя). Данные: идентификатор чата Telegram, номер заказа, названия продуктов, время приёма. Основание: согласие субъекта.

4.7. Исполнение обязанностей, установленных законодательством, в том числе в сфере бухгалтерского и налогового учёта и защиты прав потребителей. Данные: сведения о заказах и покупателях в объёме, предусмотренном законодательством. Основание: пункт 2 части 1 статьи 6 Закона.

4.8. Рассмотрение обращений субъектов. Данные: сведения, указанные субъектом в обращении, и контактные данные для ответа. Основание: пункт 2 части 1 статьи 6 Закона.

4.9. Оператор не использует персональные данные для принятия решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права, исключительно на основании автоматизированной обработки. Результаты подбора носят информационный характер.

5. Сведения о состоянии здоровья

5.1. Сведения о состоянии здоровья собираются только в анкете подбора и обрабатываются только при наличии отдельного согласия Пользователя в письменной форме, выраженного в электронном виде. Согласие оформляется отдельным документом «Согласие на обработку сведений о состоянии здоровья».

5.2. Анкету можно пройти без регистрации. В этом случае ответы и результат подбора хранятся без привязки к имени, электронной почте и телефону. При регистрации Пользователь может привязать результат к своему личному кабинету.

5.3. Рекомендация по подбору формируется автоматически программой, установленной на сервере Сервиса в Российской Федерации. Сведения о состоянии здоровья третьим лицам и внешним сервисам искусственного интеллекта не передаются.

5.4. Результат подбора является справочной информацией и не является медицинским заключением или диагнозом.

5.5. Доступ к ответам анкеты имеют только уполномоченные сотрудники Оператора и только в объёме, необходимом для технической поддержки Пользователя. Они обязаны соблюдать конфиденциальность.

6. Перечень действий и способы обработки

6.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в случаях, указанных в разделе 9 Политики, блокирование, удаление, уничтожение.

6.2. Обработка осуществляется смешанным способом, с использованием средств автоматизации и без них, с передачей по внутренней сети Оператора и по сети Интернет.

7. Cookie и технические данные

7.1. На сайте отображается уведомление об использовании cookie. Сервис использует только технические данные браузера. С помощью технологии localStorage в браузере Пользователя хранятся содержимое корзины, данные входа в личный кабинет и случайный идентификатор сессии для собственной статистики посещений.

7.2. Эти данные нужны для работы Сервиса. Пользователь может удалить их средствами браузера, после чего потребуется повторный вход, а корзина будет очищена.

7.3. Сервис ведёт обезличенную статистику посещений и действий: просмотры страниц, начало и окончание анкеты, добавление товара в корзину, оформление заказа. Статистика используется для улучшения Сервиса и хранится 24 месяца.

7.4. Сторонние счётчики и системы веб-аналитики на сайте не используются.

8. Хранение данных

8.1. Все персональные данные Пользователей хранятся на сервере, расположенном в Российской Федерации.

8.2. Для хранения заказов и учётных данных Оператор не использует зарубежные облачные сервисы и электронные таблицы сторонних компаний.

9. Передача персональных данных третьим лицам

9.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных в настоящем разделе, и случаев, предусмотренных законодательством Российской Федерации.

9.2. Службы доставки. Для доставки заказа Оператор передаёт выбранной Пользователем службе доставки (СДЭК или Ozon) имя, номер телефона, адрес доставки или пункт выдачи и сведения о составе отправления только в объёме, необходимом для доставки. Служба доставки обрабатывает эти данные в соответствии с требованиями Закона и обязана соблюдать конфиденциальность.

9.3. Сервис отправки электронной почты. Для отправки кода подтверждения, служебных писем и сообщений о поступлении продукта адрес электронной почты передаётся сервису отправки электронной почты, который обрабатывает данные по поручению Оператора.

9.4. Лицам, которым Оператор поручает обработку, передаётся только тот объём данных, который нужен для выполнения поручения. Поручение содержит перечень действий, цели обработки, обязанность соблюдать конфиденциальность и меры защиты в соответствии со статьёй 19 Закона.

9.5. Сведения о состоянии здоровья (ответы анкеты) третьим лицам не передаются.

9.6. Государственным органам персональные данные предоставляются только по основаниям и в порядке, предусмотренным законодательством Российской Федерации.

10. Telegram-бот

10.1. Подключение Telegram-бота добровольно и происходит по инициативе Пользователя. Пользователь сам привязывает свой аккаунт Telegram к личному кабинету.

10.2. Telegram является иностранным сервисом. При использовании бота сообщения передаются через инфраструктуру Telegram. Через бота Оператор передаёт только идентификатор чата, номер заказа, названия продуктов и время приёма. Сведения из анкеты, адрес, телефон и электронная почта через бота не передаются.

10.3. Бот присылает напоминания о приёме в 08:00 и 18:00 по московскому времени. Пользователь может остановить напоминания командой /stop в боте или в личном кабинете.

10.4. Обработка данных в самом мессенджере Telegram осуществляется его владельцем по его собственным правилам. Пользователь, который не хочет пользоваться иностранным сервисом, может отмечать приём в личном кабинете без подключения бота.

11. Локализация

11.1. В соответствии с частью 5 статьи 18 Закона запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

11.2. Все данные Сервиса, включая учётные записи, ответы анкеты, заказы, адреса электронной почты для сообщений о поступлении, отметки приёма и статистику, хранятся на сервере, расположенном в Российской Федерации.

12. Сроки обработки и хранения

12.1. Данные учётной записи и личного кабинета хранятся до удаления аккаунта Пользователем или до отзыва согласия.

12.2. Результаты анкеты, которые не привязаны к аккаунту, хранятся 6 месяцев с даты прохождения анкеты.

12.3. Данные для сообщения о поступлении продукта (адрес электронной почты и, если указаны, имя и номер телефона) хранятся до отправки сообщения о поступлении выбранного продукта или до отзыва согласия, в зависимости от того, что наступит раньше.

12.4. Обезличенная статистика хранится 24 месяца.

12.5. Сведения о заказах хранятся в течение сроков, установленных законодательством о бухгалтерском и налоговом учёте.

12.6. По истечении сроков хранения, при достижении целей обработки, при отзыве согласия или по требованию субъекта персональные данные уничтожаются в сроки, предусмотренные статьёй 21 Закона, если иное не предусмотрено федеральным законом.

13. Права субъекта персональных данных

13.1. Субъект вправе получить сведения об обработке своих персональных данных, перечисленные в части 7 статьи 14 Закона, в том числе о целях, способах, сроках обработки и лицах, которым данные передаются.

13.2. Субъект вправе требовать уточнения, блокирования или уничтожения своих персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели обработки.

13.3. Субъект вправе отозвать согласие на обработку персональных данных, в том числе отдельно согласие на обработку сведений о состоянии здоровья и согласие на получение сообщения о старте продаж.

13.4. Субъект вправе обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке.

13.5. Оператор отвечает на запрос субъекта в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.

14. Отзыв согласия и удаление данных

14.1. Отозвать согласие или потребовать удаления данных можно письмом на info@mysoma.ru с адреса электронной почты, указанного при регистрации или при подписке на сообщение о поступлении, или письменным заявлением по адресу Оператора: 650000, Кемеровская область - Кузбасс, г. Кемерово, ул. Притомская Набережная, д. 25, кв. 43. В обращении нужно указать имя и адрес электронной почты или телефон, указанные в Сервисе.

14.2. Напоминания в Telegram Пользователь отключает командой /stop или в личном кабинете. Отписаться от сообщения о поступлении можно ответным письмом на info@mysoma.ru.

14.3. После получения отзыва согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, если иное не предусмотрено договором или федеральным законом. Сведения о заказах, хранение которых обязательно по законодательству, хранятся до истечения установленного срока и для других целей не используются.

14.4. Отзыв согласия на обработку сведений о состоянии здоровья приводит к удалению ответов анкеты о здоровье. При этом Пользователь может продолжать покупать товары в каталоге.

15. Меры по защите персональных данных

15.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона, в том числе:

назначает лицо, ответственное за организацию обработки персональных данных;

издаёт локальные акты по вопросам обработки персональных данных и знакомит с ними работников, допущенных к обработке;

определяет угрозы безопасности персональных данных и уровень их защищённости в информационной системе в соответствии с требованиями Правительства Российской Федерации;

предоставляет доступ к персональным данным, в том числе к ответам анкеты и панели управления заказами, только уполномоченным работникам в объёме, необходимом для их обязанностей;

хранит пароли пользователей только в виде хеша;

ведёт учёт машинных носителей, контролирует принимаемые меры и уровень защищённости информационной системы;

обнаруживает факты несанкционированного доступа и уведомляет Роскомнадзор об инцидентах в сроки, установленные частью 3.1 статьи 21 Закона.

16. Заключительные положения

16.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента размещения на сайте mysoma.ru, если в ней не указано иное. Дата последнего изменения указана в начале документа.

16.2. Контакты Оператора по вопросам обработки персональных данных: ООО «ФАРМБИОТЕХ» (ИНН 4205431333, ОГРН 1254200011504, адрес: 650000, Кемеровская область - Кузбасс, г. Кемерово, ул. Притомская Набережная, д. 25, кв. 43), e-mail info@mysoma.ru.