Политика обработки персональных данных
Черновик. Документ подготовлен как заготовка и не проверен юристом. До публикации его нужно вычитать и согласовать с профильным юристом, а заглушки вида {{TODO: …}} — заменить настоящими сведениями.
Настоящая Политика определяет порядок обработки и защиты персональных данных посетителей сайта барбершопа Barber Status. Политика опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Согласие на обработку персональных данных — отдельный документ. Проставление галочки в форме записи подтверждает только его и ничего больше.
1. Оператор персональных данных
- Наименование
- {{TODO: полное наименование — ООО «…» / ИП Фамилия Имя Отчество}}
- ИНН
- {{TODO: ИНН}}
- ОГРН / ОГРНИП
- {{TODO: ОГРН}}
- Юридический адрес
- {{TODO: юридический адрес}}
- Адрес места оказания услуг
- Республика Дагестан, г. Дербент, ул. Юрия Гагарина, 12
- Адрес электронной почты для обращений
- {{TODO: email для обращений субъектов персональных данных}}
- Телефон
- +7 963 426-22-33
- Адрес сайта
- https://barberstatus.ru/
Оператор не назначал отдельное лицо, ответственное за организацию обработки персональных данных, если иное не указано выше; обязанности такого лица исполняет руководитель Оператора.
2. Правовые основания обработки
- Согласие субъекта персональных данных — часть 1 статьи 6 и статья 9 152-ФЗ. Основание для обработки данных, которые вы указываете в форме записи.
- Исполнение договора, стороной которого является субъект — пункт 5 части 1 статьи 6 152-ФЗ. Основание для оказания услуг барбершопа по вашей заявке.
- Осуществление прав и законных интересов Оператора — пункт 7 части 1 статьи 6 152-ФЗ. Основание для ведения технических журналов сервера и защиты сайта от автоматизированных атак и спама.
- Исполнение обязанностей, возложенных законом — пункт 2 части 1 статьи 6 152-ФЗ. Основание для ведения журнала полученных согласий: доказывать наличие согласия обязан Оператор (часть 1 статьи 9 152-ФЗ).
3. Перечень обрабатываемых персональных данных
Оператор обрабатывает только перечисленные ниже данные. Иные данные не собираются.
3.1. Данные, которые вы сообщаете сами
- Имя — как к вам обращаться;
- Номер телефона;
- Комментарий к заявке — заполняется по желанию, поле необязательное.
Вместе с ними в заявку попадают сведения о самой записи: выбранный мастер, выбранные услуги, дата и время визита, расчётная стоимость. Персональными данными они становятся в связке с вашим именем и телефоном.
Электронную почту сайт не собирает. Поля для загрузки документов, платёжных и биометрических данных на сайте нет. Специальные категории персональных данных (статья 10 152-ФЗ) Оператор не обрабатывает.
3.2. Данные, которые передаёт браузер
- IP-адрес;
- User-Agent — сведения о браузере и операционной системе;
- дата и время обращения к сайту, адрес запрошенной страницы.
Эти сведения попадают в технические журналы сервера, а при даче согласия — в журнал согласий, где они нужны, чтобы Оператор мог подтвердить, когда и на что было получено согласие.
3.3. Данные в браузере посетителя
Собственных cookie сайт не устанавливает. Используется локальное хранилище браузера (localStorage) — подробности в разделе 11 и в Политике в отношении cookie.
4. Цели обработки
| Категория данных | Цель обработки | Основание |
|---|---|---|
| Имя, телефон, комментарий, состав заявки | Приём и обработка заявки на запись, подтверждение визита, связь с вами по поводу записи (звонок или сообщение), оказание услуг барбершопа | Согласие; исполнение договора |
| IP-адрес, User-Agent, время обращения | Обеспечение работоспособности и безопасности сайта, защита формы записи от автоматизированных обращений и спама | Законные интересы Оператора |
| IP-адрес, User-Agent, время, адрес страницы, версия документа, текст галочки | Фиксация факта согласия и возможность его подтвердить при проверке | Исполнение обязанности, возложенной законом |
| Выбор в окне согласия на cookie | Соблюдение вашего выбора при следующих визитах | Согласие; законные интересы |
Рекламные рассылки Оператор не ведёт. Данные, полученные через форму записи, для рекламы не используются. Профилирование и принятие решений исключительно на основании автоматизированной обработки не применяются.
5. Перечень действий с персональными данными
Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам, указанным в разделе 6, блокирование, удаление, уничтожение.
Обработка ведётся смешанным способом: автоматизированная — в базе данных на сервере Оператора, неавтоматизированная — при звонке администратора клиенту. Распространение персональных данных (в том числе публикация в открытых источниках) не осуществляется.
6. Лица, которым передаются персональные данные
Оператор передаёт персональные данные только тем лицам, которые перечислены ниже поимённо. Продажа, обмен и передача данных иным лицам не производятся.
| Кому | Какие данные | Зачем | Где находится |
|---|---|---|---|
| {{TODO: наименование хостинг-провайдера, ИНН}} | Все данные заявки, технические журналы | Размещение сервера и базы данных, резервное копирование | Российская Федерация, г. Москва |
| Telegram Messenger Inc. | Имя, телефон, состав и время заявки | Уведомление администратора барбершопа о новой заявке | За пределами Российской Федерации |
| Meta Platforms, Inc. (WhatsApp) | Имя, телефон, состав заявки и текст сообщения | Отправка заявки в мессенджер — только если вы сами нажали кнопку «Отправить заявку» в режиме отправки через WhatsApp либо написали нам первым | За пределами Российской Федерации |
| ООО «Яндекс», ИНН 7736207543 | IP-адрес, User-Agent, факт просмотра карты | Отображение виджета Яндекс.Карт в разделе «Контакты» — только после вашего согласия на cookie | Российская Федерация |
6.1. Трансграничная передача
Передача данных в Telegram и WhatsApp является трансграничной передачей персональных данных (статья 12 152-ФЗ) в государства, не обеспечивающие адекватной защиты. Такая передача возможна только при наличии вашего согласия в письменной форме и требует уведомления Роскомнадзора до начала передачи.
{{TODO: решение владельца — либо отказаться от Telegram и WhatsApp как каналов передачи заявки в пользу российских сервисов, либо оформить отдельное согласие на трансграничную передачу и подать соответствующее уведомление. До этого раздел 6 не считается закрытым.}}
7. Место обработки и хранения
База данных с заявками и журналом согласий размещена на сервере, расположенном в г. Москве, на территории Российской Федерации, как того требует часть 5 статьи 18 152-ФЗ. Резервные копии хранятся там же и за пределы Российской Федерации не передаются.
- Место размещения базы данных
- Российская Федерация, г. Москва
- Хостинг-провайдер
- {{TODO: наименование, ИНН}}
- Реквизиты договора / поручения на обработку
- {{TODO: номер и дата}}
8. Сроки хранения и порядок уничтожения
| Что | Сколько хранится | Что дальше |
|---|---|---|
| Заявка на запись: имя, телефон, комментарий, состав визита | 1 год с даты визита либо до отзыва согласия — смотря что наступит раньше | Уничтожается |
| Запись в журнале согласий | 3 года с момента прекращения обработки или отзыва согласия | Уничтожается. Срок нужен, чтобы Оператор мог подтвердить правомерность прошлой обработки |
| Технические журналы сервера | 90 дней | Перезаписываются автоматически |
| Данные в вашем браузере (localStorage) | До отзыва согласия или очистки данных сайта в браузере | Удаляются |
Уничтожение производится безвозвратным удалением записи из базы данных и из резервных копий при их очередной ротации. Факт уничтожения фиксируется актом в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.
9. Отзыв согласия
Согласие можно отозвать в любой момент и без объяснения причин. Для этого направьте обращение:
- на электронную почту {{TODO: email}} — с темой «Отзыв согласия»;
- по телефону +7 963 426-22-33;
- лично по адресу: г. Дербент, ул. Юрия Гагарина, 12.
В обращении укажите имя и номер телефона, которые вы оставляли в заявке, — без этого Оператор не сможет найти ваши данные и убедиться, что обращение исходит именно от вас.
Срок реакции: обработка прекращается, а персональные данные уничтожаются в течение 30 дней с даты получения обращения (часть 5 статьи 21 152-ФЗ). Подтверждение направляется тем же способом, которым получено обращение.
Отзыв согласия не отменяет уже оказанную услугу и не влияет на законность обработки, которая велась до отзыва. Если после отзыва у Оператора сохраняется иное законное основание для хранения части данных (например, требования бухгалтерского учёта), об этом сообщается в ответе на обращение.
10. Права субъекта персональных данных
В соответствии со статьями 14–17 и 21 152-ФЗ вы вправе:
- получить подтверждение факта обработки ваших данных и сведения о ней;
- ознакомиться со своими персональными данными;
- требовать уточнения данных, если они неполные, устаревшие или неточные;
- требовать блокирования или уничтожения данных, если они обрабатываются незаконно или больше не нужны для заявленной цели;
- отозвать согласие в порядке, описанном в разделе 9;
- возражать против обработки;
- обжаловать действия Оператора в Роскомнадзоре или в суде.
Как воспользоваться: направьте обращение на {{TODO: email}}. Ответ направляется в течение 10 рабочих дней с даты обращения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (часть 1 статьи 20 152-ФЗ).
Надзорный орган: Управление Роскомнадзора по Республике Дагестан, rkn.gov.ru.
11. Cookie и локальное хранилище
Собственных cookie сайт не устанавливает. Для работы формы записи и сохранения вашего выбора используется локальное хранилище браузера (localStorage) — эти данные остаются на вашем устройстве и на сервер Оператора не передаются. Отдельные cookie может установить виджет Яндекс.Карт, и только после вашего согласия.
| Название | Тип | Кто ставит | Зачем | Срок жизни | Категория |
|---|---|---|---|---|---|
bs_cookie_consent |
localStorage | Оператор (этот сайт) | Хранит ваш выбор в окне согласия на cookie, чтобы не спрашивать заново | До очистки данных сайта в браузере или до смены версии документов | Строго необходимые |
bs_name, bs_phone |
localStorage | Оператор (этот сайт) | Подставляют имя и телефон в форму записи, чтобы не вводить их заново | До отзыва согласия или очистки данных сайта | Функциональные — записываются только с вашего согласия |
cookie домена yandex.ru (в т. ч. yandexuid, i, yashr) |
cookie | ООО «Яндекс» | Работа виджета Яндекс.Карт: отображение карты, борьба со злоупотреблениями | До 1 года, конкретные сроки определяет ООО «Яндекс» | Карта — только с вашего согласия |
Строго необходимые технологии работают без согласия: без них сайт не может выполнить действие, о котором вы сами попросили. Все остальные категории выключены по умолчанию и включаются только вашим действием. Изменить выбор можно в любой момент — ссылка «Настройки cookie» в подвале любой страницы. Подробности — в Политике в отношении cookie.
Счётчики посещаемости и рекламные пиксели на сайте не установлены. Если они появятся, они будут перечислены в таблице выше, а их код не будет выполняться до получения согласия.
12. Меры защиты персональных данных
Оператор принимает правовые, организационные и технические меры, требуемые статьёй 19 152-ФЗ:
- доступ к базе заявок ограничен и защищён отдельным токеном; работники, допущенные к обработке, ознакомлены с настоящей Политикой;
- сайт работает только по протоколу HTTPS; обращения по HTTP перенаправляются на защищённое соединение, включён механизм HSTS;
- персональные данные не передаются в адресной строке и не пишутся в технические журналы сервера и в сообщения об ошибках;
- форма записи защищена ограничением частоты обращений с одного адреса;
- резервные копии базы данных создаются регулярно и хранятся на территории Российской Федерации;
- определён порядок действий при инциденте: об утечке Оператор уведомляет Роскомнадзор в течение 24 часов с момента обнаружения, а по результатам внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 152-ФЗ).
{{TODO: если у Оператора утверждены внутренние документы — приказ о назначении ответственного, перечень обрабатываемых данных, модель угроз, — сослаться на них здесь с реквизитами.}}
13. Изменение Политики
Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента публикации на этой странице, если в ней не указано иное. Версия и дата редакции указаны в начале документа.
При существенном изменении условий обработки — новых целях, новых категориях данных или новых получателях — Оператор запрашивает согласие заново: ранее данное согласие на новые условия не распространяется. Записи в журнале согласий остаются привязанными к той версии документов, которая действовала в момент их получения.
Предыдущие редакции предоставляются по запросу на {{TODO: email}}.