Обработка персональных данных

Политика защиты и обработки персональных данных

Действует с 1 января 2023 г.

1. Общие положения

1.1. Настоящая политика защиты и обработки Персональных данных (далее – «Политика») разработана в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Закон о персональных данных»), а также иными применимыми нормативно-правовыми актами и действует в отношении всех Персональных данных, которые Индивидуальный предприниматель Сидоров Дмитрий Анатольевич (ИНН 772377357435; ОГРНИП 310774603600752; адрес регистрации: 111673, г. Москва, ул. Новокосинская, д. 10, к. 1, кв. 230; почтовый адрес: 143900, Московская обл., г. Балашиха, мкр. Купавна, ДНП Купавушка, д. 000; e-mail: skk@kinostore.ru; тел. 8 (499) 500-96-27) (далее – «Оператор») может получить от Субъекта ПД.

1.2. Оператор обеспечивает защиту обрабатываемых ПД от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Закона о персональных данных.

1.3. Оператор имеет право вносить изменения в Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией Политики.

1.4. Актуальная версия Политики расположена в свободном доступе в сети Интернет по адресу https://kinostore.ru/policy.

2. Термины и принятые сокращения

2.1. Персональные данные (ПД) (ранее и далее) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту ПД), в том числе фамилия, имя, отчество, номер телефона и т. п. В случае фактического обращения Субъекта ПД за услугами и (или) товарами Оператора необходимыми для исполнения договора персональными данными так же могут являться адресные данные Субъекта ПД.

2.2. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.

2.3. Автоматизированная обработка ПД – обработка ПД с помощью средств вычислительной техники.

2.4. Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств.

2.5. Блокирование ПД – временное прекращение обработки ПД (за исключением случаев, если обработка необходима для уточнения ПД).

2.6. Уничтожение ПД – действия, в результате которых становится невозможным восстановить содержание ПД в ИСПД и (или) в результате которых уничтожаются материальные носители ПД.

2.7. Сайт (ранее и далее) – совокупность связанных между собой веб-страниц, размещенных в сети Интернет по уникальному адресу (URL): https://kinostore.ru/, а также на всех поддоменах, располагающихся на домене kinostore.ru.

2.8. Пользователь Сайта (или Пользователь) – любое физическое лицо, использующее Сайт в определяемых им целях, но в пределах, установленных целью и содержанием Сайта.

2.9. Субъект персональных данных — физическое лицо, к которому относятся обрабатываемые Оператором персональные данные, включая Пользователя Сайта, Покупателя, Получателя товара или Подарочного сертификата, заявителя по обращению или возврату, а также плательщика.

2.10. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3. ПД и иные данные, оставленные Субъектом ПД и Пользователем

3.1. Пользователь и Субъект ПД как обладатели ПД осознают, что за исключением случаев, установленных Политикой и законодательством Российской Федерации, Оператор не принимает участие в формировании содержания информации, размещенной Пользователем и Субъектом ПД.

4. Обработка Персональных данных

4.1. Персональные данные могут быть получены Оператором:

4.1.1. непосредственно от Субъекта персональных данных;

4.1.2. от Покупателя, если данные другого физического лица необходимы для доставки товара, направления Подарочного сертификата или исполнения иного договора, по которому такое физическое лицо является Получателем или выгодоприобретателем;

4.1.3. от банка-эквайера, оператора платёжной системы, службы доставки или другого лица, участвующего в исполнении договора, в объёме, предусмотренном законодательством и соответствующим договором;

4.1.4. из информационных систем Оператора при использовании Сайта и совершении операций, включая технические сведения об устройстве, интернет-соединении, сеансе и платёжной операции.

4.2. Обработка персональных данных осуществляется:

4.2.1. с согласия Субъекта персональных данных — в случаях, когда такое согласие требуется законодательством;

4.2.2. для заключения и исполнения договора, стороной, Получателем либо выгодоприобретателем по которому является Субъект персональных данных;

4.2.3. для выполнения обязанностей Оператора, установленных законодательством Российской Федерации;

4.2.4. для осуществления прав и законных интересов Оператора или третьих лиц, включая предупреждение мошенничества, обеспечение безопасности расчётов и защиту имущества Оператора, при условии, что при этом не нарушаются права и свободы Субъекта персональных данных.

4.3. Целями обработки ПД являются обратная связь с Субъектом ПД, исполнение Оператором обязательств перед Субъектом ПД, сбор аналитики (файлы Cookie):

Цели обработки ПД	Категории и перечень ПД	Категории Субъектов ПД	Правовое основание	Способы обработки ПД	Сроки обработки и хранения ПД
Оформление и исполнение заказов.	Фамилия, имя и отчество; телефон; электронная почта; адрес доставки; сведения о заказе; номер сертификата; содержание сообщения, указанного Покупателем для Получателя.	Покупатели, Получатели товаров и Подарочных сертификатов.	Заключение и исполнение договора, стороной или выгодоприобретателем по которому является Субъект персональных данных.	Смешанный.	В течение срока исполнения договора и пяти лет после его исполнения, если иной срок не установлен законодательством.
Проведение расчётов и возврат денежных средств.	Фамилия, имя и отчество; контактные данные; сведения о заказе и заявлении; банковские реквизиты счёта; замаскированный номер банковской карты; сумма и дата операции; идентификаторы платёжной операции; уникальный код сертификата.	Покупатели, плательщики, Законные держатели сертификатов и заявители по возвратам.	Исполнение договора, выполнение обязанностей, предусмотренных законодательством, осуществление прав и законных интересов Оператора.	Смешанный.	Пять лет после завершения расчёта или рассмотрения обращения, если более длительный срок не требуется в связи с судебным спором или требованиями законодательства.
Подтверждение личности и полномочий заявителя при возврате денежных средств.	Фамилия, имя и отчество; вид документа, удостоверяющего личность; серия и номер документа в минимально необходимом объёме; дата проверки документа; банковские реквизиты счёта заявителя; сведения, подтверждающие право на сертификат.	Заявители по возвратам и их представители.	Исполнение договора, статья 312 Гражданского кодекса Российской Федерации, осуществление прав и законных интересов Оператора.	Смешанный.	Пять лет после завершения возврата или разрешения спора.
Предупреждение, выявление и расследование несанкционированных и мошеннических операций.	IP-адрес; дата и точное время операции; сведения о браузере и устройстве; идентификаторы cookie и пользовательской сессии; история заказов; связанные номера телефонов и адреса электронной почты; замаскированный номер карты; банк-эмитент; идентификаторы платёжной операции; сведения о прохождении 3-D Secure.	Пользователи Сайта, Покупатели и плательщики.	Осуществление прав и законных интересов Оператора и третьих лиц при условии соблюдения прав и свобод Субъекта персональных данных.	Автоматизированный и смешанный.	Три года после совершения последней связанной операции либо до окончательного разрешения возникшего спора.
Обратная связь и рассмотрение обращений.	Фамилия, имя и отчество; электронная почта; номер телефона; содержание обращения и приложенные заявителем документы.	Лица, обратившиеся к Оператору.	Согласие Субъекта, исполнение договора либо выполнение обязанностей Оператора.	Смешанный.	Пять лет.
Веб-аналитика и обеспечение работоспособности Сайта.	IP-адрес, online-ID, cookie, сведения о браузере и устройстве, информация о действиях на Сайте.	Пользователи Сайта.	Согласие, предоставленное посредством cookie-баннера.	Автоматизированный.	Не более одного года.

Перечень третьих лиц

Получатель / сервис	Цель передачи	Правовое основание	Категория передаваемых ПД
АО «ТБанк» (ИНН 7710140679)	Приём и обработка платежей по заказам	ст. 6 п. 1 пп. 5 152-ФЗ, исполнение договора купли-продажи	ФИО, сумма заказа, адрес e-mail, masked-PAN
АО «СДЭК-Логистик»	Доставка заказов	ст. 6 п. 1 пп. 5 152-ФЗ	ФИО, телефон, адрес доставки, номер заказа
ФГУП «Почта России»	Доставка заказов	ст. 6 п. 1 пп. 5 152-ФЗ	ФИО, телефон, адрес доставки, номер заказа
ООО «НПФ ИТ-Маркет» (Boxberry)	Доставка заказов	ст. 6 п. 1 пп. 5 152-ФЗ	ФИО, телефон, адрес доставки, номер заказа
ООО «ФирстБайт» (FirstVDS / firstbyte.ru)	Хостинг и хранение данных	договор хостинга	все данные, размещённые в ИСПД
ООО «Яндекс» (Яндекс.Метрика)	Веб-аналитика, улучшение интерфейса	согласие субъекта (cookie-баннер)	online-ID, IP-адрес, информация о браузере

4.3.1. В рамках стандартной процедуры возврата Оператор не получает и не хранит фотографию или полную копию документа, удостоверяющего личность. При личном предъявлении оригинала документа сотрудник Оператора осуществляет визуальную проверку и фиксирует только факт и дату проверки, вид документа и его реквизиты в минимально необходимом объёме.

4.3.2. Если в исключительном случае для разрешения спора требуется получение копии документа, Оператор до её получения сообщает Субъекту цель, правовое основание, состав данных, срок хранения и безопасный канал передачи. Направление копии паспорта по обычной электронной почте не требуется.

4.3.3. При обработке персональных данных Получателя, предоставленных Покупателем, Оператор использует их исключительно для исполнения договора, по которому Получатель является выгодоприобретателем. Электронное письмо или сообщение Получателю должно содержать информацию об Операторе и ссылку на настоящую Политику.

4.4. Порядок хранения ПД:

4.4.1. ПД, обрабатываемые автоматизированным способом, получаются, проходят дальнейшую обработку и передаются на хранение в электронном виде;

4.4.2. ПД, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках;

4.4.3. не допускается хранение и размещение документов, содержащих ПД, в открытых электронных каталогах, в том числе в файлообменниках;

4.4.4. ПД, обрабатываемые смешанным способом, хранятся в бумажном виде в специальном сейфе, а в электронном виде – с учетом положений п.п. 4.4.2, 4.4.3 Политики.

4.5. Субъект может в любой момент отозвать свое согласие на обработку ПД, направив Оператору уведомление на адрес электронной почты skk@kinostore.ru.

4.6. Уничтожение ПД:

4.6.1. ПД на электронных носителях уничтожаются путем стирания или форматирования носителя;

4.6.2. ПД на бумажных носителях уничтожаются путем измельчения документов;

4.6.3. факт уничтожения ПД подтверждается документально актом об уничтожении носителей.

4.7. Оператор передаёт ПД третьим лицам, указанным в таблице выше, в объёме, необходимом для исполнения Договора.

5. Обработка персональной информации при помощи файлов cookie

5.1. Файлы cookie, передаваемые Сайтом оборудованию Пользователя и оборудованием Пользователя Сайту, могут использоваться Оператором для предоставления Пользователю персонализированных сервисов, для таргетирования рекламы, которая показывается Пользователю, в статистических и исследовательских целях, а также для улучшения Сайта.

5.2. Пользователь осознает, что оборудование и программное обеспечение, используемые им для посещения сайтов в сети Интернет могут обладать функцией запрещения операций с файлами cookie (для любых или определенных сайтов), а также функцией удаления ранее полученных файлов cookie.

5.3. В случае размещения на Сайте счетчиков, в том числе Яндекс.Метрика, они могут использоваться для анализа файлов cookie Пользователя, для сбора и обработки статистической информации об использовании Сайта, а также для обеспечения работоспособности Сайта в целом или их отдельных функций в частности. Технические параметры работы счетчиков определяются Сайтом и могут изменяться без предварительного уведомления Пользователя.

5.4. Подтверждая свое ознакомление с Политикой, Пользователь и (или) Субъект ПД подтверждает свое согласие на обмен файлами cookie между оборудованием Пользователя (Субъекта ПД) и Сайтом.

6. Защита персональных данных

6.1. В соответствии с требованиями законодательства РФ Оператором создана система защиты ПД (далее – СЗПД), состоящая из подсистем правовой, организационной и технической защиты.

6.2. Подсистема правовой защиты представляет собой комплекс правовых и нормативных документов, обеспечивающих создание и функционирование СЗПД.

6.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе со сторонними лицами.

6.4. Подсистема технической защиты включает в себя комплекс физических, технических, программных, программно-аппаратных средств, обеспечивающих защиту ПД.

6.5. Основными мерами защиты ПД, используемыми Оператором, являются:

6.5.1. определение актуальных угроз безопасности ПД при их обработке в ИСПД и разработка мер и мероприятий по защите ПД;

6.5.2. разработка политики в отношении обработки ПД;

6.5.3. установление правил доступа к ПД, обрабатываемым в ИСПД, а также обеспечение регистрации и учета всех действий, совершаемых с ПД в ИСПД;

6.5.4. соблюдение условий, обеспечивающих сохранность ПД и исключающих несанкционированный к ним доступ;

6.5.5. обнаружение фактов несанкционированного доступа к ПД и принятие мер;

6.5.6. восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

6.6. Порядок реагирования на инциденты безопасности ПД

6.6.1. Обнаружение инцидента

Ответственный за ПД получает автоматическое оповещение SIEM/IDS или сообщение сотрудника.

Фиксируется время, канал и краткое описание события в «Журнале инцидентов».

6.6.2. Классификация

Устанавливается категория ПД, объём утёкших данных, затронуто ли ≥ 100 000 записей.

Определяется уровень критичности (Низкий / Средний / Высокий).

6.6.3. Локализация и устранение

Немедленное блокирование скомпрометированных учётных записей или узлов.

Установка обновлений/патчей, смена паролей, ротация ключей API.

6.6.4. Уведомление Роскомнадзора и субъектов ПД

При критичности «Средний» или «Высокий» — уведомление РКН в течение 24 часов (ст. 22¹ 152-ФЗ).

Сообщение включает: описание инцидента, объём и категории ПД, принятые меры.

При необходимости пользователям рассылается e-mail-уведомление.

6.6.5. Расследование и отчёт

В течение 72 часов формируется внутренний отчёт с корневыми причинами и планом предотвращения повторения.

Отчёт хранится 5 лет.

6.6.6. Пост-инцидент-ревью

Обновляются регламенты, правила доступа, политики паролей.

Проводится внеплановый инструктаж сотрудников.

6.7. Ответственный за организацию обработки ПД

Фамилия Имя Отчество: Сидоров Дмитрий Анатольевич
E-mail для обращений: order@kinostore.ru
Телефон: 8 499 500-96-27
Ответственный обеспечивает:
• соблюдение Политики и актов РФ;
• проведение внутренних проверок;
• взаимодействие с Роскомнадзором и субъектами ПД.

7. Трансграничная оговорка

7.1. Оператор не осуществляет трансграничную передачу ПД. Адресом хранения ПД является: г. Москва, ул. Новоостаповская, д. 6Б.

8. Основные права Субъекта ПД и обязанности Оператора

8.1. Субъект имеет право на доступ к его ПД и в том числе следующим сведениям:

8.1.1. подтверждение факта обработки ПД Оператором;

8.1.2. правовые основания и цели обработки ПД;

8.1.3. цели и применяемые Оператором способы обработки ПД;

8.1.4. наименование и реквизиты Оператора;

8.1.5. сроки обработки ПД, в том числе сроки их хранения;

8.1.6. порядок осуществления Субъектом ПД прав, предусмотренных Законом о персональных данных.

8.2. Субъект ПД имеет право на обращение к Оператору и направление ему запросов, а также на обжалование действий или бездействия Оператора.

8.3. Оператор обязан:

8.3.1. опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПД, к сведениям о реализуемых требованиях к защите ПД;

8.3.2. принимать необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД;

8.3.3. давать ответы на запросы и обращения Субъектов ПД, их представителей и уполномоченного органа по защите прав Субъектов ПД.