Политика обработки персональных данных

1. Общие положения

Оператором персональных данных является Сапчук Роман Владиславович (самозанятый — плательщик налога на профессиональный доход), ИНН 722416388639 (далее — Оператор), обеспечивающий работу Сервиса, размещённого на сайте gorama.ru и в связанных с ним приложениях.

Используя Сервис, регистрируясь в нём и/или оформляя онлайн-запись, пользователь подтверждает, что ознакомлен с настоящей Политикой и Согласием на обработку персональных данных, и принимает их условия. Если пользователь не согласен с условиями — он должен воздержаться от использования Сервиса.

Оператор не проверяет достоверность предоставляемых пользователем персональных данных и исходит из того, что пользователь предоставляет достоверные данные и поддерживает их в актуальном состоянии.

2. Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту персональных данных).
• Обработка — любое действие с персональными данными: сбор, запись, хранение, уточнение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Оператор — лицо, организующее и осуществляющее обработку персональных данных, а также определяющее их цели и состав.
• Исполнитель услуг — мастер или салон, размещённый в Сервисе, к которому пользователь оформляет запись на бьюти-услугу.

3. Роли Оператора при обработке данных

Оператор обрабатывает персональные данные в двух качествах:

• Как оператор — в отношении данных, которые пользователи (клиенты, мастера, салоны) самостоятельно сообщают Сервису при регистрации и использовании личного кабинета.
• Как лицо, обрабатывающее данные по поручению — в отношении клиентских баз, которые мастера и салоны самостоятельно загружают в Сервис (импорт, ведение карточек клиентов). В этом случае оператором таких данных является сам мастер или салон, а Оператор действует по его поручению в соответствии с ч. 3 ст. 6 Закона № 152-ФЗ на условиях Поручения на обработку персональных данных.

4. Правовые основания обработки

Оператор обрабатывает персональные данные на основании:

• согласия субъекта на обработку персональных данных;
• необходимости исполнения договора, стороной либо выгодоприобретателем по которому является субъект, а равно для заключения договора по инициативе субъекта (оформление онлайн-записи к выбранному исполнителю);
• Федерального закона № 152-ФЗ и иных нормативных правовых актов Российской Федерации в области обработки персональных данных.

5. Категории субъектов и состав обрабатываемых данных

Оператор обрабатывает следующие данные:

• Клиенты: имя, номер телефона, адрес электронной почты, идентификаторы профилей провайдеров авторизации (Яндекс ID, MAX), сведения о записях и истории визитов, отзывы и приложенные к ним фотографии результата услуги, переписка в чате с исполнителем, комментарии к записи. Отзывы публикуются в открытом каталоге с именем автора в сокращённом виде (имя и первая буква фамилии), без фотографии профиля.
• Клиенты, оформившие запись без регистрации: имя и номер телефона, указанные при онлайн-записи, состав услуг, дата и время визита, комментарий к записи. Аккаунт при этом не создаётся, личный кабинет и история записей такому клиенту недоступны. Данные передаются выбранному исполнителю (раздел 8) и не объединяются с аккаунтами других пользователей по номеру телефона.
• Мастера и салоны: имя (наименование), контактные данные, город и адрес оказания услуг, специализация, сведения об услугах, расписании и портфолио. Публикация профиля в открытом каталоге осуществляется на основании отдельного согласия на распространение персональных данных (ст. 10.1 Закона № 152-ФЗ).
• Клиенты мастеров и салонов (обработка по поручению): данные карточек клиентской базы — имя, телефон, email, дата рождения, история визитов, показатели лояльности, комментарии. Состав и условия определены Поручением на обработку персональных данных.
• Сотрудники (администраторы) салонов: данные аккаунта (имя, контакты, идентификаторы провайдеров авторизации), связь с салоном, настроенные владельцем салона права доступа к разделам кабинета и сведения о действиях в кабинете.
• Рабочая переписка сотрудников салона: содержание сообщений во внутренних чатах салона (личных и групповых), автор, время отправки и отметки прочтения. Такие чаты доступны только персоналу салона — владельцу, администраторам и мастерам; клиенты к ним доступа не имеют, а переписка с клиентами ведётся в отдельных чатах. Данные обрабатываются для организации работы салона и в иных целях не используются.
• Обращения в поддержку: контактные данные заявителя, содержание обращения и переписки.
• Посетители сайта (технические данные): IP-адрес, данные о браузере и устройстве, файлы cookie, дата и время обращения к Сервису (см. раздел 10).

Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные.

6. Цели обработки

• регистрация и авторизация пользователя, ведение личного кабинета;
• оформление, изменение и отмена онлайн-записи (в том числе без регистрации аккаунта), взаимодействие клиента и выбранного исполнителя услуг;
• организация работы салона, включая рабочую переписку его сотрудников между собой;
• направление уведомлений, связанных с записями и работой Сервиса;
• публикация отзывов о посещённых исполнителях (с именем автора в сокращённом виде);
• обеспечение обратной связи, поддержки и рассмотрения обращений;
• улучшение работы Сервиса, обеспечение безопасности и предотвращение злоупотреблений;
• исполнение требований законодательства Российской Федерации.

7. Порядок и условия обработки. Хранение на территории РФ

Обработка осуществляется как с использованием средств автоматизации, так и без них. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ).

Трансграничная передача персональных данных Оператором не осуществляется.

8. Передача персональных данных

При оформлении онлайн-записи персональные данные клиента (имя, телефон, состав услуг, комментарий) передаются выбранному пользователем исполнителю услуг — мастеру или салону — в объёме, необходимом для оказания услуги. С момента получения таких данных исполнитель становится самостоятельным оператором и несёт ответственность за их дальнейшую обработку в соответствии с законодательством.

В целях защиты клиентской базы, если мастер работает в салоне, контактные данные клиентов могут быть недоступны такому мастеру и обрабатываться в интересах салона.

Оператор вправе привлекать для обработки лиц, обеспечивающих функционирование Сервиса (хостинг, отправка уведомлений), на условиях соблюдения конфиденциальности и требований законодательства. Оператор также предоставляет данные уполномоченным государственным органам по основаниям и в порядке, установленным законом.

9. Сроки обработки и хранения

Персональные данные обрабатываются до достижения целей обработки, отзыва согласия субъектом либо в течение сроков, установленных законодательством. Применяются следующие ориентировочные сроки:

• данные аккаунта — до удаления аккаунта пользователем или отзыва согласия;
• сведения о записях и отзывы — 3 года с даты записи (срок исковой давности), если законом не установлен более длительный срок;
• журнал предоставленных согласий — не менее 3 лет после прекращения обработки (для подтверждения факта получения согласия);
• технические журналы (логи) — до 1 года;
• данные клиентских баз мастеров и салонов — сроки определяет соответствующий мастер или салон как оператор этих данных.

По достижении целей или при отзыве согласия данные подлежат удалению или обезличиванию, если иное не предусмотрено законом.

10. Файлы cookie и данные о посещении

Сервис использует только технически необходимые файлы cookie и аналогичные технологии (в том числе для авторизации и сохранения сессии). Сервисы веб-аналитики и рекламные трекеры не применяются. Пользователь может ограничить использование cookie в настройках браузера, однако это может повлиять на работу отдельных функций Сервиса.

11. Права субъекта персональных данных

Субъект персональных данных имеет право:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или удаления неполных, устаревших либо неточных данных;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

Удалить аккаунт субъект может самостоятельно — в настройках профиля в Сервисе. При удалении персональные данные удаляются или обезличиваются, профиль снимается с публикации, а доступ к аккаунту прекращается; отдельные сведения (история записей, отзывы, журнал согласий) сохраняются в обезличенном виде в сроки, указанные в разделе 9.

Для реализации иных прав, а также для отзыва согласия субъект направляет обращение на адрес электронной почты r0mzes666@yandex.ru. Оператор отвечает на обращение в следующие сроки:

• на запрос о доступе к своим персональным данным и об их уточнении — в течение 10 рабочих дней со дня обращения (срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя) (ст. 20 Закона № 152-ФЗ);
• при отзыве согласия либо ином законном требовании о прекращении обработки — обработка прекращается в срок не более 30 дней с даты поступления обращения (ст. 21 Закона № 152-ФЗ).

Если запись была оформлена без регистрации (аккаунт не создавался), запрос на удаление данных или отзыв согласия направляется на тот же адрес r0mzes666@yandex.ru — с указанием номера телефона, использованного при записи.

Если обращение касается данных, которые Оператор обрабатывает по поручению мастера или салона (клиентская база), оператором таких данных является соответствующий мастер или салон — Оператор перенаправит ему запрос и сообщит об этом заявителю.

12. Обеспечение безопасности

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения, в соответствии со ст. 18.1 и 19 Закона № 152-ФЗ.

При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о таком инциденте, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона № 152-ФЗ).

13. Изменение Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна на сайте Сервиса по адресу gorama.ru/legal/privacy. Продолжение использования Сервиса после изменения Политики означает согласие с новой редакцией.

При изменении статуса или реквизитов Оператора (в том числе при переходе на регистрацию в качестве индивидуального предпринимателя или юридического лица) обновлённые сведения об Операторе публикуются в новой редакции Политики по указанному адресу с датой редакции.