Положення про обробку і захист персональних даних у базах персональних даних, володільцем яких є продавець

Ця Політика конфіденційності (далі — Положення) регулює відносини, пов’язані зі збором, обробкою, використанням та захистом персональних даних користувачів інтернет-магазину clubnika.com.ua. Ми з повагою ставимося до вашої конфіденційності та діємо чітко в межах Закону України «Про захист персональних даних».

Зміст

  1. Загальні поняття та сфера застосування
  2. Перелік баз персональних даних
  3. Мета обробки персональних даних
  4. Способи збору даних, сторонні сервіси та їх подальше використання
  5. Політика використання файлів Cookie (Кукіс) та згода користувача
  6. Порядок обробки персональних даних: отримання згоди, повідомлення про права та дії з персональними даними суб’єкта
  7. Місцезнаходження бази персональних даних
  8. Умови розкриття інформації про персональні дані третім особам
  9. Захист персональних даних: способи захисту, відповідальна особа, працівники, які здійснюють обробку, та строк зберігання даних
  10. Права суб’єкта персональних даних
  11. Порядок роботи з запитами суб'єкта персональних даних
  12. Державна реєстрація бази персональних даних

1. Загальні поняття та сфера застосування

1.1. Визначення термінів:

  • база персональних даних — іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних;
  • відповідальна особа — визначена особа, яка організовує роботу, пов’язану із захистом персональних даних при їх обробці, відповідно до закону;
  • володілець бази персональних даних — фізична або юридична особа, якій законам або за згодою суб’єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом;
  • Державний реєстр баз персональних даних — єдина державна інформаційна система збору, накопичення та обробки відомостей про зареєстровані бази персональних даних;
  • загальнодоступні джерела персональних даних — довідники, адресні книги, реєстри, списки, каталоги, інші систематизовані збірники відкритої інформації, які містять персональні дані, розміщені та опубліковані з відома суб’єктів. Не вважаються загальнодоступними джерелами соціальні мережі та інтернет-ресурси, в яких суб’єкт залишає свої дані (окрім випадків, коли суб’єктом прямо зазначено, що дані розміщені з метою їх вільного поширення);
  • згода суб’єкта персональних даних — будь-яке документоване, добровільне волевиявлення фізичної особи щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки;
  • знеособлення персональних даних — вилучення відомостей, які дають змогу ідентифікувати особу;
  • обробка персональних даних — будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках, які пов’язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу;
  • персональні дані — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована;
  • розпорядник бази персональних даних — фізична чи юридична особа, якій володільцем бази або законом надано право обробляти ці дані. Не є розпорядником особа, якій доручено здійснювати роботи технічного характеру без доступу до змісту даних;
  • суб’єкт персональних даних — фізична особа, стосовно якої відповідно до закону здійснюється обробка її персональних даних;
  • третя особа — будь-яка особа, за винятком суб’єкта, володільця чи розпорядника бази та уповноваженого державного органу, якій володільцем чи розпорядником здійснюється передача персональних даних відповідно до закону;
  • особливі категорії даних — персональні дані про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також даних, що стосуються здоров’я чи статевого життя.

1.2. Дане Положення обов’язкове для застосування відповідальною особою та співробітниками продавця, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних у зв’язку з виконанням своїх службових обов’язків.

2. Перелік баз персональних даних

2.1. Продавець є власником таких баз персональних даних: база персональних даних контрагентів (клієнтів, покупців та користувачів сайту).

3. Мета обробки персональних даних

3.1. Метою обробки персональних даних у системі є забезпечення реалізації цивільно-правових відносин, надання, отримання та здійснення розрахунків за придбані товари та послуги відповідно до Податкового кодексу України, Закону України «Про бухгалтерський облік та фінансову звітність в Україні».

4. Способи збору даних, сторонні сервіси та їх подальше використання

4.1. Продавець збирає персональні дані користувачів кількома способами: надані безпосередньо суб'єктом під час взаємодії із сайтом, отримані під час комунікації в месенджерах, а також зібрані автоматично через технічні сервіси третіх сторін.

4.2. Дані, які користувач надає самостійно:

  • При оформленні замовлення або реєстрації на сайті: ім'я, прізвище, номер мобільного телефону, адреса електронної пошти, точна адреса доставки або номер відділення поштового оператора.
  • При зверненні до служби підтримки або комунікації через інтегровані віджети месенджерів (Viber, Telegram): номер телефону, нікнейм користувача та зміст повідомлень.

4.3. Інструменти та сервіси третіх сторін, які використовуються на сайті для автоматичного збору даних:

  • Google Analytics: аналітична система, що фіксує знеособлену статистику відвідувань сайту (тривалість сеансу, кількість переглянутих сторінок, джерела переходу, тип операційної системи, браузера та географічний регіон). Дані потрібні для аналізу поведінки аудиторії та технічного вдосконалення сайту.

4.4. Подальше використання зібраної інформації здійснюється виключно для:

  • Прийняття, обробки, комплектації та організації доставки оформлених замовлень.
  • Сповіщення покупця про етапи виконання замовлення та відправку посилки (через SMS, Viber або Telegram).
  • Надання якісної консультаційної підтримки та відповідей на запити клієнтів.
  • Аналізу трафіку, виправлення технічних помилок на сайті та оптимізації товарного асортименту.
  • Показу персоналізованих рекламних матеріалів у мережі Інтернет на основі попередніх дій користувача на сайті.

5. Політика використання файлів Cookie та згода користувача

5.1. Файли cookie — це малі текстові дані, які завантажуються на пристрій користувача браузером під час перегляду сайту. Вони допомагають зберігати стан сесії, налаштування відображення, а також забезпечують збереження товарів у кошику при переході між сторінками.

5.2. При першому відвідуванні сайту користувачеві демонструється інформаційне повідомлення (банер) про застосування файлів cookie.

5.3. Згода на збір та використання cookie вважається наданою, якщо користувач натискає кнопку згоди на банері або продовжує взаємодію із сайтом (переходить на інші сторінки, відкриває картки товарів, додає речі до кошика). У цьому випадку системи сайту, а також підключені сервіси Google Analytics та Meta Pixel отримують право на збір та обробку технічних параметрів файлів cookie.

5.4. Якщо користувач не згоден на збір інформації з кукісів, він має самостійно вимкнути або видалити файли cookie у налаштуваннях конфіденційності свого браузера або припинити користування сайтом.

6. Порядок обробки персональних даних: отримання згоди, повідомлення про права та дії з персональними даними суб’єкта

6.1. Згода суб’єкта персональних даних має бути добровільним волевиявленням щодо надання дозволу на обробку її даних відповідно до сформульованої мети.

6.3. Згода суб’єкта персональних даних надається під час оформлення цивільно-правових відносин (оформлення замовлення, реєстрація на сайті) відповідно до чинного законодавства.

6.4. Повідомлення суб’єкта про включення його персональних даних до бази, права, визначені Законом України «Про захист персональних даних», мету збору та осіб, яким передаються його дані, здійснюється під час оформлення відносин шляхом надання доступу до цього Положення.

6.5. Обробка персональних даних про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також даних, що стосуються здоров’я чи статевого життя (особливі категорії даних) забороняється.

7. Місцезнаходження бази персональних даних

7.1. Вказані у розділі 2 цього Положення бази персональних даних знаходяться за офіційною адресою продавця: м. Чернівці, вулиця Ентузіастів, 58018.

8. Умови розкриття інформації про персональні дані третім особам

8.1. Порядок доступу до персональних даних третіх осіб визначається умовами згоди суб'єкта персональних даних, наданої володільцю на обробку цих даних, або відповідно до вимог закону. Передача даних здійснюється виключно логістичним компаніям (наприклад, «Нова Пошта») для доставки замовлень, та фінансовим установам для забезпечення онлайн-платежів.

8.2. Доступ до персональних даних третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов'язання щодо забезпечення виконання вимог Закону України «Про захист персональних даних» або неспроможна їх забезпечити.

8.3. Суб'єкт відносин, пов'язаних з персональними даними, подає запит щодо доступу до персональних даних володільцю персональних даних.

8.4. У запиті зазначаються:

  • прізвище, ім'я та по батькові, місце проживання (місце перебування) і реквізити документа, що посвідчує фізичну особу, яка подає запит (для фізичної особи — заявника);
  • найменування, місцезнаходження юридичної особи, яка подає запит, посада, прізвище, ім'я та по батькові особи, яка засвідчує запит; підтвердження того, що зміст запиту відповідає повноваженням юридичної особи (для юридичної особи — заявника);
  • прізвище, ім'я та по батькові, а також інші відомості, що дають змогу ідентифікувати фізичну особу, стосовно якої робиться запит;
  • відомості про базу персональних даних, стосовно якої подається запит, чи відомості про володільця чи розпорядника цієї бази;
  • перелік персональних даних, що запитуються;
  • мета та/або правові підстави для запиту.

8.5. Строк вивчення запиту на предмет його задоволення не може перевищувати десяти робочих днів з дня його надходження. Протягом цього строку володілець доводить до відома особи, яка подає запит, що запит буде задоволено або відповідні дані не підлягають наданню, із зазначенням підстави. Запит задовольняється протягом тридцяти календарних днів з дня його надходження, якщо інше не передбачено законом.

8.6. Відстрочення доступу до персональних даних третіх осіб допускається у разі, якщо необхідні дані не можуть бути надані протягом тридцяти календарних днів з дня надходження запиту. При цьому загальний термін вирішення питань не може перевищувати сорока п'яти календарних днів.

8.7. Повідомлення про відстрочення доводиться до відома третьої особи, яка подала запит, у письмовій формі з роз'ясненням порядку оскарження такого рішення.

8.8. У повідомленні про відстрочення зазначаються: прізвище, ім'я та по батькові посадової особи; дата відправлення повідомлення; причина відстрочення; строк, протягом якого буде задоволено запит.

8.9. Відмова у доступі до персональних даних допускається, якщо доступ до них заборонено згідно із законом.

8.10. У повідомленні про відмову зазначаються: прізвище, ім'я, по батькові посадової особи, яка відмовляє у доступі; дата відправлення повідомлення; причина відмови.

8.11. Рішення про відстрочення або відмову у доступі до персональних даних може бути оскаржено до суду.

9. Захист персональних даних: способи захисту, відповідальна особа, працівники, які безпосередньо здійснюють обробку та строк зберігання даних

9.1. Володільця бази персональних даних обладнано системними і програмно-технічними засобами та засобами зв’язку, які запобігають втратам, крадіжкам, несанкційонаному знищенню, викривленню, підробленню, копіюванню інформації і відповідають вимогам міжнародних та національних стандартів.

9.2. Відповідальна особа організовує роботу, пов’язану із захистом персональних даних при їх обробці, відповідно до закону. Відповідальна особа визначається наказом Володільця бази персональних даних. Обов’язки відповідальної особи зазначаються у посадовій інструкції.

9.3. Відповідальна особа зобов’язана: знати законодавство України в сфері захисту даних; розробити процедури доступу співробітників відповідно до їхніх обов’язків; забезпечити виконання співробітниками вимог закону; розробити порядок внутрішнього контролю; повідомляти Володільця про факти порушень не пізніше одного робочого дня; забезпечити зберігання документів, що підтверджують надання згоди.

9.4. Працівники, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних у зв’язку з виконанням своїх обов’язків, зобов’язані дотримуватись вимог законодавства України та внутрішніх документів щодо захисту персональних даних.

9.5. Працівники зобов’язані не допускати розголошення у будь-який спосіб персональних даних, які їм було довірено або які стали відомі у зв’язку з виконанням службових обов’язків. Таке зобов’язання чинне після припинення ними діяльності, пов’язаної з персональними даними, крім випадків, установлених законом.

9.6. Персональні дані не повинні зберігатися довше, ніж це необхідно для мети, для якої такі дані зберігаються, але у будь-якому разі не довше строку зберігання даних, визначеного згодою суб’єкта персональних даних на обробку цих даних.

10. Права суб’єкта персональних даних

10.1. Суб'єкт персональних даних має право:

  • знати про місцезнаходження бази персональних даних, яка містить його дані, її призначення та найменування, місцезнаходження володільця чи розпорядника;
  • отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким вони передаються;
  • на доступ до своїх персональних даних, що містяться у відповідній базі персональних даних;
  • отримувати не пізніш як за тридцять календарних днів з дня надходження запиту відповідь про те, чи зберігаються його дані, а також отримувати їх зміст;
  • пред'являти вмотивовану вимогу із запереченням проти обробки своїх персональних даних органами державної влади при здійсненні їхніх повноважень;
  • пред'являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником цієї бази, якщо ці дані обробляються незаконно чи є недостовірними;
  • на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв'язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію;
  • звертатися з питань захисту своїх rights щодо персональних даних до органів державної влади, до повноважень яких належить здійснення такого захисту;
  • застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.

11. Порядок роботи з запитами суб’єкта персональних даних

11.1. Суб'єкт персональних даних має право на одержання будь-яких відомостей про себе у будь-какого суб'єкта відносин, пов'язаних з персональними даними, без зазначення мети запиту, крім випадків, установлених законом.

11.2. Доступ суб'єкта персональних даних до даних про себе здійснюється безоплатно.

11.3. У запиті зазначаються: прізвище, ім'я та по батькові, місце проживання (місце перебування) і реквізити документа, що посвідчує особу суб’єкта; інші відомості, що дають змогу ідентифікувати особу; відомості про базу даних, перелік персональних даних, що запитуються.

11.4. Строк вивчення запиту на предмет його задоволення не може перевищувати десяти робочих днів з дня його надходження. Запит задовольняється протягом тридцяти календарних днів з дня його надходження, якщо інше не передбачено законом.

11.5. Електронні запити приймаються на адресу: info.klubnikasite@gmail.com.

12. Державна реєстрація бази персональних даних

12.1. Державна реєстрація баз персональних даних здійснюється відповідно до статті 9 Закону України «Про захист персональних даних».