1. Общие положения
1.1. Настоящая Политика определяет, как ИП Михайлов Илья Андреевич, ИНН 532111278600 (далее — Оператор) обрабатывает персональные данные и какие меры принимает для их защиты. Политика действует в отношении данных, которые Оператор получает на сайте imperiamasel53.com (далее — Сайт), в личном кабинете и его приложении, а также при обслуживании клиентов автосервиса и магазина «Империя масел».
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована в свободном доступе во исполнение части 2 статьи 18.1 Закона. Термины используются в значениях, установленных статьёй 3 Закона.
1.3. Политика не является согласием на обработку персональных данных. Согласия оформлены отдельными документами: согласие при записи на обслуживание и согласие при регистрации в личном кабинете.
2. Оператор
- Оператор: ИП Михайлов Илья Андреевич, ИНН 532111278600.
- Адрес места осуществления деятельности и для обращений: г. Великий Новгород, ул. Рабочая, 34/6.
- Электронная почта: mihoil2017@mail.ru.
- Телефоны: +7 (951) 725-56-67, +7 (8162) 555-404.
3. Чьи данные и какие данные обрабатываются
3.1. Посетители Сайта, отправившие заявку на запись.
- имя, номер телефона, адрес электронной почты (если указан);
- сведения об автомобиле: марка, модель, поколение, двигатель, год выпуска, а также VIN и государственный номер, если они указаны;
- выбранная услуга, дата и время записи, комментарий к заявке;
- состав предварительного расчёта, если запись оформлена из калькулятора.
3.2. Пользователи личного кабинета.
- фамилия, имя, отчество (в том виде, как их указал пользователь), номер телефона — он же логин, адрес электронной почты (если указан);
- пароль — только в виде хеша, в открытом виде не хранится;
- автомобили в «Гараже»: марка, модель, поколение, двигатель, год выпуска, VIN, государственный номер, пробег, заметки;
- записи на обслуживание и их статусы, история обслуживания: заказ-наряды, выполненные работы, использованные материалы, пробег на момент обслуживания, стоимость, отчёты о выполненных работах;
- расчётные сроки следующего обслуживания и настройки уведомлений;
- технические данные входа: дата и время, IP-адрес, сведения о браузере (User-Agent), идентификатор сессии;
- техническая подписка на push-уведомления — только если пользователь сам включил их на устройстве (раздел 9).
3.3. Клиенты, обратившиеся по телефону или лично. Сотрудник вносит в учётную систему Оператора имя, телефон, адрес электронной почты (если сообщён), сведения об автомобиле, записи, заказ-наряды и рабочие заметки по обслуживанию.
3.4. Сотрудники Оператора, работающие в учётной системе. Имя, адрес электронной почты, телефон, хеш пароля, роль, технические данные входа и журнал действий в системе.
3.5. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные. Паспортные данные, адреса проживания и платёжные реквизиты через Сайт и личный кабинет не собираются.
4. Цели и правовые основания обработки
4.1. Приём заявки на запись и связь по ней — подтверждение, перенос или отмена времени, подготовка к визиту. Данные: пункт 3.1. Основания: согласие субъекта (пункт 1 части 1 статьи 6 Закона); заключение договора по инициативе субъекта (пункт 5 части 1 статьи 6 Закона).
4.2. Оказание услуг автосервиса и продажа товаров — оформление заказ-наряда и отчёта о выполненных работах, учёт выполненных работ, ведение истории обслуживания автомобиля. Данные: пункты 3.1–3.3. Основание: исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6 Закона).
4.3. Регистрация и работа личного кабинета — создание учётной записи, вход, восстановление доступа, «Гараж», онлайн-запись, показ истории обслуживания и расчётных сроков следующего обслуживания. Если по номеру телефона и ФИО найдена карточка клиента, уже заведённая в автосервисе, учётная запись связывается с ней. Данные: пункт 3.2. Основания: согласие субъекта (пункт 1 части 1 статьи 6 Закона); исполнение соглашения об использовании личного кабинета, заключаемого по инициативе субъекта (пункт 5 части 1 статьи 6 Закона).
4.4. Сервисные сообщения о записи и обслуживании — заявка принята, запись подтверждена, перенесена или отменена, напоминание о визите, автомобиль готов; письма для подтверждения адреса электронной почты и сброса пароля. Каналы: электронная почта, сообщения в личном кабинете, push-уведомления (если включены пользователем). Основание: исполнение договора (пункт 5 части 1 статьи 6 Закона).
4.5. Хранение документов об оказанных услугах и учёт. Основание: исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации о налогах и сборах и о бухгалтерском учёте (пункт 2 части 1 статьи 6 Закона).
4.6. Защита учётных записей и работоспособность Сайта — сессии входа, ограничение частоты запросов, журнал действий в учётной системе. Основания: исполнение договора (пункт 5 части 1 статьи 6 Закона); законные интересы Оператора при условии, что не нарушаются права субъекта (пункт 7 части 1 статьи 6 Закона).
4.7. Рассмотрение обращений субъектов персональных данных. Основание: исполнение обязанностей, возложенных на Оператора Законом (пункт 2 части 1 статьи 6 Закона).
4.8. Рекламные и маркетинговые рассылки Оператор через Сайт и личный кабинет не ведёт. Если такие рассылки появятся, на них будет запрашиваться отдельное согласие.
5. Порядок и условия обработки
5.1. С персональными данными совершаются: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление и уничтожение.
5.2. Обработка ведётся с использованием средств автоматизации — в учётной системе Оператора — и без них, когда документ (например, отчёт о выполненных работах) распечатан.
5.3. Оператор не распространяет персональные данные и не раскрывает их неопределённому кругу лиц. Решения, порождающие юридические последствия для субъекта, на основании исключительно автоматизированной обработки не принимаются.
5.4. Доступ к данным имеют только Оператор и уполномоченные им сотрудники, которым он необходим для работы с клиентами. Пользователь личного кабинета видит только свои данные.
6. Где хранятся данные
6.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации выполняются с использованием базы данных, находящейся на территории Российской Федерации (часть 5 статьи 18 Закона). База данных и её резервные копии размещены на арендованном виртуальном сервере хостинг-провайдера ООО «Бегет» (Санкт-Петербург).
6.2. Хостинг-провайдер предоставляет Оператору вычислительные ресурсы и не использует размещённые данные в собственных целях.
7. Передача данных третьим лицам
7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных целей. Данные могут быть предоставлены государственным органам только в случаях и в порядке, предусмотренных законодательством Российской Федерации.
7.2. Письма о записи и восстановлении доступа отправляются на адрес электронной почты, который указал сам субъект.
7.3. На странице «Контакты» встроена карта сервиса «Яндекс Карты» (ООО «Яндекс»). При её показе браузер посетителя обращается к серверам Яндекса напрямую; данные форм Сайта и личного кабинета Яндексу не передаются. Данные, которые при этом получает Яндекс, обрабатываются по его собственным правилам.
7.4. Оператор не размещает базы данных за пределами Российской Федерации и не передаёт персональные данные иностранным получателям. Особенность доставки push-уведомлений описана в разделе 9.
8. Сроки обработки и уничтожение данных
- Данные заявки и клиента обрабатываются, пока это нужно для записи и обслуживания, — до достижения цели обработки, отзыва согласия или требования о прекращении обработки.
- Учётная запись личного кабинета хранится, пока она существует; она удаляется по обращению пользователя.
- Документы об оказанных услугах (заказ-наряды, отчёты о выполненных работах) хранятся в течение сроков, установленных законодательством Российской Федерации для хранения учётных документов, — не менее пяти лет. В этот срок они сохраняются и после отзыва согласия: основанием служит закон, а не согласие (часть 2 статьи 9 Закона).
- Сессия входа действует до 30 дней либо до выхода из учётной записи или смены пароля; ссылка для сброса пароля — 1 час; ссылка для подтверждения адреса электронной почты — 24 часа.
- Подписка на push-уведомления хранится до её отключения пользователем; неработающие подписки удаляются автоматически.
- Резервные копии базы данных создаются ежедневно и удаляются по мере устаревания.
8.1. При достижении цели обработки, отзыве согласия или требовании о прекращении обработки Оператор прекращает обработку и уничтожает данные в сроки, установленные статьёй 21 Закона, если нет иного законного основания для их дальнейшей обработки. Данные удаляются из учётной системы; из резервных копий они исчезают по мере замены копий новыми.
9. Файлы cookie, технические данные и push-уведомления
9.1. Сайт использует один собственный файл cookie — imperia_session. Он создаётся только после входа в личный кабинет, хранит случайный идентификатор сессии, недоступен скриптам страницы и нужен исключительно для того, чтобы пользователь оставался авторизованным. Срок — до 30 дней.
9.2. Сайт не использует системы веб-аналитики, рекламные сети и иные сторонние cookie для отслеживания посетителей. В памяти браузера (localStorage) сохраняется только отметка о том, что посетитель закрыл предложение установить приложение или включить уведомления; на сервер она не передаётся.
9.3. Сервер автоматически получает технические данные запроса: IP-адрес, сведения о браузере, адрес страницы, дату и время. Они используются для работы Сайта, ограничения частоты запросов и расследования сбоев; IP-адрес и сведения о браузере сохраняются вместе с сессией входа в личный кабинет.
9.4. Push-уведомления приходят только на то устройство, где пользователь сам их включил в разделе «Уведомления», и отключаются там же в любой момент. Уведомление доставляется через службу доставки разработчика браузера или операционной системы устройства (например, Google, Apple, Mozilla); её серверы могут находиться за пределами Российской Федерации. Этой службе передаются технический адрес подписки, созданный браузером пользователя, и текст уведомления в зашифрованном виде. Уведомление клиенту содержит только дату и время записи; ФИО, телефон, адрес электронной почты, VIN и государственный номер в нём не передаются.
10. Права субъекта персональных данных
- получить сведения об обработке своих персональных данных (статья 14 Закона);
- потребовать уточнить данные, заблокировать или уничтожить их, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
- отозвать согласие на обработку персональных данных;
- потребовать прекратить обработку персональных данных;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.
10.1. В личном кабинете пользователь сам изменяет адрес электронной почты, данные своих автомобилей и настройки уведомлений. ФИО и номер телефона изменяются по обращению в автосервис.
11. Обращения и отзыв согласия
11.1. Направить запрос, отозвать согласие или потребовать прекратить обработку можно:
- письмом или лично: г. Великий Новгород, ул. Рабочая, 34/6;
- по электронной почте: mihoil2017@mail.ru;
- по телефону для уточнения порядка обращения: +7 (951) 725-56-67, +7 (8162) 555-404.
11.2. В обращении укажите ФИО и номер телефона, под которыми вы записывались или регистрировались, и суть требования — это нужно, чтобы найти ваши данные и убедиться, что обращаетесь именно вы.
11.3. Оператор отвечает на запрос в течение десяти рабочих дней с даты его получения; срок может быть продлён не более чем на пять рабочих дней с уведомлением о причинах (статья 20 Закона). Обработка прекращается по требованию субъекта в срок, не превышающий десяти рабочих дней, а при отзыве согласия — в срок, не превышающий тридцати дней, если нет иного законного основания для обработки (статья 21 Закона).
12. Обязанности Оператора и меры защиты
12.1. Оператор обрабатывает персональные данные только в заявленных целях, не собирает избыточные данные, обеспечивает их точность и принимает меры, предусмотренные статьями 18.1 и 19 Закона.
12.2. Применяются, в частности, следующие меры:
- доступ сотрудников к учётной системе — только по личным учётным записям, с разграничением прав по ролям;
- пароли хранятся только в виде хеша; в базе данных хранится не сам идентификатор сессии, а его хеш;
- ограничение числа попыток входа, регистрации, сброса пароля и отправки заявок;
- журнал действий в учётной системе;
- база данных недоступна из сети Интернет напрямую;
- ежедневное резервное копирование.
12.3. При неправомерной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в порядке и сроки, установленные частью 3.1 статьи 21 Закона.
13. Изменение Политики
13.1. Оператор обновляет Политику при изменении законодательства или порядка обработки данных. Действующая редакция всегда опубликована на этой странице; дата редакции указана в её начале.