1. Общие положения
1.1. Настоящая Политика определяет, как ИП Михайлов Илья Андреевич, ИНН 532111278600 (далее — Оператор) обрабатывает персональные данные и какие меры принимает для их защиты. Политика действует в отношении данных, которые Оператор получает на сайте imperiamasel53.com (далее — Сайт), в личном кабинете и его приложении, а также при обслуживании клиентов автосервиса и магазина «Империя масел».
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована в свободном доступе во исполнение части 2 статьи 18.1 Закона. Термины используются в значениях, установленных статьёй 3 Закона.
1.3. Политика не является согласием на обработку персональных данных. Согласия оформлены отдельными документами: согласие при записи на обслуживание и согласие при регистрации в личном кабинете.
2. Оператор
- Оператор: ИП Михайлов Илья Андреевич, ИНН 532111278600.
- Адрес места осуществления деятельности и для обращений: г. Великий Новгород, ул. Рабочая, 34/6.
- Электронная почта: mihoil2017@mail.ru.
- Телефоны: +7 (951) 725-56-67, +7 (8162) 555-404.
3. Чьи данные и какие данные обрабатываются
3.1. Посетители Сайта, отправившие заявку на запись.
- имя, номер телефона, адрес электронной почты (если указан);
- сведения об автомобиле: марка, модель, поколение, двигатель, год выпуска, а также VIN и государственный номер, если они указаны;
- выбранная услуга, дата и время записи, комментарий к заявке;
- состав предварительного расчёта, если запись оформлена из калькулятора.
3.2. Пользователи личного кабинета.
- фамилия, имя, отчество (в том виде, как их указал пользователь), номер телефона — он же логин, адрес электронной почты (если указан);
- пароль — только в виде хеша, в открытом виде не хранится;
- автомобили в «Гараже»: марка, модель, поколение, двигатель, год выпуска, VIN, государственный номер, пробег, заметки;
- записи на обслуживание и их статусы, история обслуживания: заказ-наряды, выполненные работы, использованные материалы, пробег на момент обслуживания, стоимость, отчёты о выполненных работах;
- расчётные сроки следующего обслуживания и настройки уведомлений;
- технические данные входа: дата и время, IP-адрес, сведения о браузере (User-Agent), идентификатор сессии;
- техническая подписка на push-уведомления — только если пользователь сам включил их на устройстве (раздел 9).
3.3. Клиенты, обратившиеся по телефону или лично. Сотрудник вносит в учётную систему Оператора имя, телефон, адрес электронной почты (если сообщён), сведения об автомобиле, записи, заказ-наряды и рабочие заметки по обслуживанию.
3.4. Сотрудники Оператора, работающие в учётной системе. Имя, адрес электронной почты, телефон, хеш пароля, роль, технические данные входа и журнал действий в системе.
3.5. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные. Паспортные данные, адреса проживания и платёжные реквизиты через Сайт и личный кабинет не собираются.
4. Цели и правовые основания обработки
4.1. Приём заявки на запись и связь по ней — подтверждение, перенос или отмена времени, подготовка к визиту. Данные: пункт 3.1. Основания: согласие субъекта (пункт 1 части 1 статьи 6 Закона); заключение договора по инициативе субъекта (пункт 5 части 1 статьи 6 Закона).
4.2. Оказание услуг автосервиса и продажа товаров — оформление заказ-наряда и отчёта о выполненных работах, учёт выполненных работ, ведение истории обслуживания автомобиля. Данные: пункты 3.1–3.3. Основание: исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6 Закона).
4.3. Регистрация и работа личного кабинета — создание учётной записи, вход, восстановление доступа, «Гараж», онлайн-запись, показ истории обслуживания и расчётных сроков следующего обслуживания. Если по номеру телефона и ФИО найдена карточка клиента, уже заведённая в автосервисе, учётная запись связывается с ней. Данные: пункт 3.2. Основания: согласие субъекта (пункт 1 части 1 статьи 6 Закона); исполнение соглашения об использовании личного кабинета, заключаемого по инициативе субъекта (пункт 5 части 1 статьи 6 Закона).
4.4. Сервисные сообщения о записи и обслуживании — заявка принята, запись подтверждена, перенесена или отменена, напоминание о визите, автомобиль готов; письма для подтверждения адреса электронной почты и сброса пароля. Каналы: электронная почта, сообщения в личном кабинете, push-уведомления (если включены пользователем). Основание: исполнение договора (пункт 5 части 1 статьи 6 Закона).
4.5. Хранение документов об оказанных услугах и учёт. Основание: исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации о налогах и сборах и о бухгалтерском учёте (пункт 2 части 1 статьи 6 Закона).
4.6. Защита учётных записей и работоспособность Сайта — сессии входа, ограничение частоты запросов, журнал действий в учётной системе. Основания: исполнение договора (пункт 5 части 1 статьи 6 Закона); законные интересы Оператора при условии, что не нарушаются права субъекта (пункт 7 части 1 статьи 6 Закона).
4.7. Рассмотрение обращений субъектов персональных данных. Основание: исполнение обязанностей, возложенных на Оператора Законом (пункт 2 части 1 статьи 6 Закона).
4.8. Рекламные и маркетинговые рассылки Оператор через Сайт и личный кабинет не ведёт. Если такие рассылки появятся, на них будет запрашиваться отдельное согласие.
5. Порядок и условия обработки
5.1. С персональными данными совершаются: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление и уничтожение.
5.2. Обработка ведётся с использованием средств автоматизации — в учётной системе Оператора — и без них, когда документ (например, отчёт о выполненных работах) распечатан.
5.3. Оператор не распространяет персональные данные и не раскрывает их неопределённому кругу лиц. Решения, порождающие юридические последствия для субъекта, на основании исключительно автоматизированной обработки не принимаются.
5.4. Доступ к данным имеют только Оператор и уполномоченные им сотрудники, которым он необходим для работы с клиентами. Пользователь личного кабинета видит только свои данные.
6. Где хранятся данные
6.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации выполняются с использованием базы данных, находящейся на территории Российской Федерации (часть 5 статьи 18 Закона). База данных и её резервные копии размещены на арендованном виртуальном сервере хостинг-провайдера ООО «Бегет» (Санкт-Петербург).
6.2. Хостинг-провайдер предоставляет Оператору вычислительные ресурсы и не использует размещённые данные в собственных целях.
7. Передача данных третьим лицам
7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных целей. Данные могут быть предоставлены государственным органам только в случаях и в порядке, предусмотренных законодательством Российской Федерации.
7.2. Письма о записи и восстановлении доступа отправляются на адрес электронной почты, который указал сам субъект.
7.3. На странице «Контакты» встроена карта сервиса «Яндекс Карты» (ООО «Яндекс»). При её показе браузер посетителя обращается к серверам Яндекса напрямую; данные форм Сайта и личного кабинета Яндексу не передаются. Данные, которые при этом получает Яндекс, обрабатываются по его собственным правилам.
7.5. Если на странице регистрации личного кабинета включена защита от автоматических запросов, показывается сервис «Yandex SmartCaptcha» (ООО «Яндекс»). Браузер посетителя обращается к серверам Яндекса напрямую, а Оператор передаёт Яндексу для проверки одноразовый токен и IP-адрес посетителя. Введённые в форму ФИО, телефон, адрес электронной почты и пароль Яндексу не передаются.
7.4. Оператор не размещает базы данных за пределами Российской Федерации и не передаёт персональные данные иностранным получателям. Особенность доставки push-уведомлений описана в разделе 9.
8. Сроки обработки и уничтожение данных
- Данные заявки и клиента обрабатываются, пока это нужно для записи и обслуживания, — до достижения цели обработки, отзыва согласия или требования о прекращении обработки.
- Учётная запись личного кабинета хранится, пока она существует; она удаляется по обращению пользователя.
- Документы об оказанных услугах (заказ-наряды, отчёты о выполненных работах) хранятся в течение сроков, установленных законодательством Российской Федерации для хранения учётных документов, — не менее пяти лет. В этот срок они сохраняются и после отзыва согласия: основанием служит закон, а не согласие (часть 2 статьи 9 Закона).
- Сессия входа действует до 30 дней либо до выхода из учётной записи или смены пароля; ссылка для сброса пароля — 1 час; ссылка для подтверждения адреса электронной почты — 24 часа.
- Подписка на push-уведомления хранится до её отключения пользователем; неработающие подписки удаляются автоматически.
- Резервные копии базы данных создаются ежедневно и удаляются по мере устаревания.
8.1. При достижении цели обработки, отзыве согласия или требовании о прекращении обработки Оператор прекращает обработку и уничтожает данные в сроки, установленные статьёй 21 Закона, если нет иного законного основания для их дальнейшей обработки. Данные удаляются из учётной системы; из резервных копий они исчезают по мере замены копий новыми.
9. Файлы cookie, технические данные и push-уведомления
9.1. Сайт использует один собственный файл cookie — imperia_session. Он создаётся только после входа в личный кабинет, хранит случайный идентификатор сессии, недоступен скриптам страницы и нужен исключительно для того, чтобы пользователь оставался авторизованным. Срок — до 30 дней.
9.2. Сайт не использует системы веб-аналитики, рекламные сети и иные сторонние cookie для отслеживания посетителей. В памяти браузера (localStorage) сохраняется только отметка о том, что посетитель закрыл предложение установить приложение или включить уведомления; на сервер она не передаётся.
9.3. Сервер автоматически получает технические данные запроса: IP-адрес, сведения о браузере, адрес страницы, дату и время. Они используются для работы Сайта, ограничения частоты запросов и расследования сбоев; IP-адрес и сведения о браузере сохраняются вместе с сессией входа в личный кабинет.
9.4. Push-уведомления приходят только на то устройство, где пользователь сам их включил в разделе «Уведомления», и отключаются там же в любой момент. Уведомление доставляется через службу доставки разработчика браузера или операционной системы устройства (например, Google, Apple, Mozilla); её серверы могут находиться за пределами Российской Федерации. Этой службе передаются технический адрес подписки, созданный браузером пользователя, и текст уведомления в зашифрованном виде. Уведомление клиенту содержит только дату и время записи; ФИО, телефон, адрес электронной почты, VIN и государственный номер в нём не передаются.
10. Права субъекта персональных данных
- получить сведения об обработке своих персональных данных (статья 14 Закона);
- потребовать уточнить данные, заблокировать или уничтожить их, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
- отозвать согласие на обработку персональных данных;
- потребовать прекратить обработку персональных данных;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.
10.1. В личном кабинете пользователь сам изменяет адрес электронной почты, данные своих автомобилей и настройки уведомлений. ФИО и номер телефона изменяются по обращению в автосервис.
11. Обращения и отзыв согласия
11.1. Направить запрос, отозвать согласие или потребовать прекратить обработку можно:
- письмом или лично: г. Великий Новгород, ул. Рабочая, 34/6;
- по электронной почте: mihoil2017@mail.ru;
- по телефону для уточнения порядка обращения: +7 (951) 725-56-67, +7 (8162) 555-404.
11.2. В обращении укажите ФИО и номер телефона, под которыми вы записывались или регистрировались, и суть требования — это нужно, чтобы найти ваши данные и убедиться, что обращаетесь именно вы.
11.3. Оператор отвечает на запрос в течение десяти рабочих дней с даты его получения; срок может быть продлён не более чем на пять рабочих дней с уведомлением о причинах (статья 20 Закона). Обработка прекращается по требованию субъекта в срок, не превышающий десяти рабочих дней, а при отзыве согласия — в срок, не превышающий тридцати дней, если нет иного законного основания для обработки (статья 21 Закона).
12. Обязанности Оператора и меры защиты
12.1. Оператор обрабатывает персональные данные только в заявленных целях, не собирает избыточные данные, обеспечивает их точность и принимает меры, предусмотренные статьями 18.1 и 19 Закона.
12.2. Применяются, в частности, следующие меры:
- доступ сотрудников к учётной системе — только по личным учётным записям, с разграничением прав по ролям;
- пароли хранятся только в виде хеша; в базе данных хранится не сам идентификатор сессии, а его хеш;
- ограничение числа попыток входа, регистрации, сброса пароля и отправки заявок;
- журнал действий в учётной системе;
- база данных недоступна из сети Интернет напрямую;
- ежедневное резервное копирование.
12.3. При неправомерной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в порядке и сроки, установленные частью 3.1 статьи 21 Закона.
13. Изменение Политики
13.1. Оператор обновляет Политику при изменении законодательства или порядка обработки данных. Действующая редакция всегда опубликована на этой странице; дата редакции указана в её начале.