1. Общие положения
1.1. Оператор персональных данных — индивидуальный предприниматель Лавренюк Екатерина Александровна, ОГРНИП 326619600206480, ИНН 614004166208 (далее — Оператор).
1.2. Адрес для обращений по вопросам персональных данных: hello@dejavuaroma.ru.
1.3. Политика применяется к сайту dejavuaroma.ru и личному кабинету на нем, оформлению, оплате, исполнению и доставке заказов, возвратам, а также обращениям по электронной почте, через чат на сайте и сообщество «дежавю» во ВКонтакте.
1.4. Оператор обрабатывает персональные данные в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными применимыми требованиями законодательства Российской Федерации.
2. Какие данные обрабатываются
2.1. При оформлении заказа: имя получателя, номер телефона, адрес электронной почты, регион, населенный пункт, выбранный способ доставки, адрес или пункт выдачи, комментарий к заказу, если он указан.
2.2. Вместе с заказом обрабатываются его идентификатор и номер, состав и количество товаров, стоимость товаров и доставки, итоговая сумма, дата создания, статусы заказа, оплаты, отправки письма и возврата денежных средств, если возврат оформляется. При предоставлении отдельного согласия перед переходом в Чекаут Яндекс Пэй также фиксируются идентификатор события согласия, дата и время, версия документа и состав корзины. Такая запись не связывается с заказом только по совпадению товаров: оно не подтверждает, что отметку установил именно этот покупатель.
2.3. Оформление заказа и онлайн-оплата проходят в размещенном на стороне Яндекс Пэй чекауте. Пользователь вводит или подтверждает там контактные, доставочные и платежные сведения. Данные, необходимые Продавцу для оформления и исполнения заказа, передаются Оператору через Yandex Commerce Protocol. Полный номер карты, срок ее действия и CVV/CVC Оператор не получает и не хранит.
2.4. При обращении по электронной почте, через чат на сайте или ВКонтакте могут обрабатываться имя или обращение пользователя, email, телефон, идентификатор или ссылка на профиль, содержание сообщения и сведения о заказе — в объеме, который пользователь сообщает сам.
2.5. Для работы сайта и защиты форм могут обрабатываться технические сведения: IP-адрес, дата и время запроса, адрес страницы, сведения о браузере, устройстве и операционной системе, технические идентификаторы. Чтобы ограничить подбор кодов и массовые запросы, IP-адрес и email также используются в виде необратимого хэша.
2.6. Яндекс Метрика получает технические идентификаторы браузера, сведения об устройстве и браузере, источнике перехода, посещенных страницах и действиях на сайте. На сайте включены Вебвизор и карта кликов: Метрика записывает, как посетитель прокручивает страницы, перемещает курсор и нажимает на элементы, чтобы находить ошибки и неудобные места. Ввод в поля форм, кроме поиска по каталогу, не записывается, а личный кабинет и чат целиком скрыты от записи. После оплаты заказа Чекаут Яндекс Пэй передает в этот же счетчик Метрики идентификатор заказа, его состав и сумму. Сервис использует cookies и localStorage. Содержание полей, которые пользователь заполняет непосредственно в Чекауте Яндекс Пэй, Оператор не передает в параметры аналитических событий.
2.7. При использовании встроенного чата обрабатываются содержание переписки, технический идентификатор диалога, время сообщений и сведения, необходимые для доставки сообщений и отображения их статуса. Если пользователь по желанию оставляет в чате адрес электронной почты для ответа, он обрабатывается на основании отдельного согласия.
2.8. В личном кабинете обрабатываются адрес электронной почты, по которому выполняется вход, а также имя, телефон и адрес доставки, если пользователь их укажет, список избранных товаров и привязанные к кабинету заказы. Для входа на email отправляется одноразовый код; он хранится только в виде хэша и действует 10 минут. Прошлый заказ привязывается к кабинету по его номеру и телефону, только если email и телефон в заказе совпадают с данными кабинета.
2.9. В браузере пользователя хранятся сведения, необходимые для работы сайта; их перечень приведен в разделе 9.
2.10. Оператор не запрашивает специальные категории персональных данных и биометрические данные. Пользователю не следует передавать такие сведения через формы или сообщения.
3. Цели и правовые основания обработки
- ответ на обращение и консультация по ассортименту;
- оформление заказа по инициативе пользователя;
- заключение и исполнение договора розничной купли-продажи;
- связь по заказу, организация оплаты и подтверждение ее статуса;
- организация доставки, возврата, обмена и рассмотрение претензий;
- отправка сервисных писем, непосредственно связанных с заказом;
- предоставление личного кабинета по запросу пользователя: вход по коду из письма, сохранение контактных и доставочных данных, избранного и истории заказов;
- исполнение обязанностей, установленных законодательством Российской Федерации;
- обеспечение стабильной и безопасной работы сайта и серверной инфраструктуры;
- получение статистики посещаемости, анализ работы сайта, поиск ошибок и улучшение интерфейса.
3.1. Для собственной обработки Оператором данных, необходимых для оформления заказа по инициативе пользователя, заключения и исполнения договора розничной купли-продажи, а также для работы личного кабинета, который пользователь создает сам для оформления и отслеживания своих заказов, правовым основанием является пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ. В иных случаях основаниями могут быть выполнение обязанностей, возложенных на Оператора законом, законные интересы Оператора при условии соблюдения прав и свобод пользователя либо отдельное согласие, когда оно требуется законодательством.
3.2. Если для конкретной цели требуется именно согласие пользователя и отсутствует другое предусмотренное законом основание, такое согласие запрашивается отдельно от оферты и иных подтверждаемых пользователем документов или действий. Перед переходом из корзины сайта dejavuaroma.ru в Чекаут Яндекс Пэй пользователь самостоятельно устанавливает отдельную отметку со ссылкой на согласие на обработку персональных данных.
3.3. Для веб-аналитики Оператор исходит из законного интереса в обеспечении стабильной работы интернет-магазина, понимании использования сайта, выявлении проблем интерфейса и его улучшении. Контактные данные не используются для рекламных или маркетинговых рассылок без отдельного согласия.
4. Действия с данными и способы обработки
Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу в случаях и объеме, необходимых для указанных целей, блокирование, удаление и уничтожение персональных данных.
Обработка выполняется с использованием средств автоматизации и без них. Оператор не публикует персональные данные и не предоставляет к ним доступ неограниченному кругу лиц.
5. Инфраструктура и сервисы
5.1. Серверная обработка заказов и личных кабинетов выполняется в Yandex Cloud. Cloud Functions принимают запросы Чекаута Яндекс Пэй, обрабатывают статусы оплаты и возвратов и обслуживают личный кабинет. Основная база — YDB Serverless; в ней хранятся сведения о заказах, контактные и доставочные данные, данные личных кабинетов и технические статусы. Секреты интеграций хранятся отдельно от кода с использованием Yandex Lockbox.
5.2. Для сервисных писем, которые направляет Оператор по заказу, в том числе уведомлений о возврате, и для писем с кодом входа в личный кабинет используется Yandex Cloud Postbox. Ему передаются email получателя и содержание соответствующего сервисного сообщения. Подтверждение заказа и оплаты также может направляться средствами Яндекс Пэй. Для переписки по адресу hello@dejavuaroma.ru и ответов на email, добровольно оставленный пользователем в чате, используется Почта VK WorkSpace; ей передаются адрес получателя и содержание соответствующей переписки.
5.3. Публичная часть сайта размещается с использованием Yandex Object Storage в инфраструктуре Yandex Cloud. При выдаче сайта могут обрабатываться технические сведения, необходимые для доставки контента, безопасности и диагностики, но база заказов и данные чекаута в публичном хранилище сайта не размещаются.
5.4. Универсальный чекаут работает через Yandex Commerce Protocol (YCP). В соответствии с актуальными условиями YCP Оператор как оператор персональных данных поручает ООО «Яндекс» обработку данных конечных пользователей в объеме, необходимом для работы выбранной функциональности. Яндекс требует от Оператора обеспечить надлежащее законное основание для такой передачи и последующей обработки и уведомить пользователей об этой обработке.
5.5. Онлайн-оплата в чекауте проводится с использованием Яндекс Пэй. В отношениях по условиям сервиса Яндекс Пэй для партнеров Оператор и ООО «Финансовые и платежные технологии» выступают самостоятельными операторами персональных данных в отношении данных, которые каждый из них обрабатывает. Яндекс Пэй обрабатывает данные на собственных правовых основаниях в соответствии с условиями сервиса Яндекс Пэй для пользователей и политикой конфиденциальности Яндекс Пэй. Платежные реквизиты карты обрабатываются на стороне Яндекс Пэй; Оператор не получает и не хранит полный номер карты, срок ее действия и CVV/CVC.
5.6. Для доставки сведения о получателе передаются выбранной службе доставки в необходимом объеме: имя, телефон, выбранный пункт выдачи и параметры отправления, а Яндекс Доставке также адрес электронной почты. Ozon получает эти сведения автоматически после подтверждения оплаты, Яндекс Доставка — когда Оператор оформляет отправление. В Чекауте Яндекс Пэй доступны доставка Ozon и Яндекс Доставка, обе только в пункты выдачи.
5.7. Встроенный чат работает без отдельного стороннего сервиса онлайн-чата. Сообщения и технические сведения о диалоге обрабатываются серверной функцией «дежавю» в Yandex Cloud и сохраняются в YDB.
5.8. Для веб-аналитики используется Яндекс Метрика с Вебвизором и картой кликов (см. п. 2.6). Она помогает оценивать посещаемость, источники переходов и взаимодействие со страницами, выявлять ошибки и неудобные места и улучшать сайт. Метрика может использовать cookies и localStorage с анонимными идентификаторами браузера, а также технические сведения об устройстве и посещении сайта.
5.9. База YDB, используемая для первичной записи, систематизации, накопления, хранения, уточнения и извлечения данных российских покупателей, размещается в инфраструктуре Yandex Cloud в России. Оператор не организует трансграничную передачу персональных данных в рамках текущего процесса оформления заказа.
6. Сроки хранения и удаление
6.1. Неоплаченные заказы автоматически переводятся в статус истекших после 72 часов без оплаты. Истекшие заказы и заказы, отмененные до оплаты, удаляются из рабочей базы через 7 дней. Запись о согласии, по которой заказ так и не был оформлен, удаляется через 7 дней.
6.2. Данные оплаченного заказа, включая запись о согласии перед оплатой, обрабатываются в течение исполнения заказа и далее в пределах срока, необходимого для разрешения возможных требований и выполнения обязанностей по закону. Через три года после последнего изменения заказа имя, телефон, адрес электронной почты, адрес доставки и комментарий покупателя автоматически обезличиваются, а запись о согласии и привязка заказа к личному кабинету удаляются. Номер, состав, суммы и даты заказа сохраняются для учета. Более длительный срок применяется, только если его требует закон.
6.3. Переписка во встроенном чате хранится не дольше шести месяцев после последнего сообщения и затем удаляется из рабочей базы, если более длительное хранение не требуется для защиты прав сторон.
6.4. Данные личного кабинета хранятся, пока пользователь не удалит кабинет. Сделать это можно самостоятельно в разделе «Мои данные» или по запросу на hello@dejavuaroma.ru. При удалении сразу удаляются адрес электронной почты, имя, телефон и адрес доставки из кабинета, избранное и привязка заказов к кабинету. Одноразовый код входа действует 10 минут, вход в кабинет сохраняется до 30 дней или до выхода. Удаление кабинета не затрагивает сведения об оформленных заказах, которые хранятся по п. 6.1 и 6.2.
6.5. Данные, обрабатываемые исключительно на основании согласия, обрабатываются до достижения цели или до отзыва согласия, если отсутствует другое законное основание.
6.6. Сведения, которые необходимо сохранять в силу требований законодательства о расчетах, налогах, защите прав потребителей или иных обязательных требований, хранятся в течение предусмотренных законом сроков.
7. Защита данных
Оператор ограничивает доступ к данным, использует сервисные учетные записи и разграничение прав доступа, не хранит платежные реквизиты банковских карт, отделяет секреты интеграций от исходного кода и применяет технические средства защиты форм от автоматизированных запросов.
Передача данных между браузером и подключенными сервисами выполняется по защищенным соединениям HTTPS/TLS. Абсолютная безопасность информационных систем не может быть гарантирована, поэтому меры защиты пересматриваются по мере изменения инфраструктуры.
8. Права пользователя
Пользователь вправе получить сведения об обработке своих персональных данных, потребовать их уточнения, блокирования или удаления, в том числе удаления личного кабинета, отозвать согласие, если обработка основана на нем, а также защищать свои права способами, предусмотренными законодательством.
Для обращения напишите на hello@dejavuaroma.ruс темой «Персональные данные». Укажите примерную дату взаимодействия и номер заказа при наличии — это поможет найти сведения и убедиться, что ответ получает надлежащее лицо. Оператор отвечает в течение 10 рабочих дней с момента получения обращения; этот срок может быть продлен не более чем на 5 рабочих дней с объяснением причины.
10. Изменение Политики
Политика может обновляться при изменении законодательства, состава сервисов или способов обработки данных. Актуальная редакция всегда размещается на этой странице.