Политика в отношении обработки персональных данных

1 Общие положения и сведения об операторе

1.1. Настоящая Политика объясняет, какие персональные данные обрабатываются при использовании интернет-магазина climatbox.by, обращении за консультацией, покупке, доставке и обслуживании товаров, размещении отзывов и направлении запросов по вопросам персональных данных.

1.2. Оператор персональных данных — общество с дополнительной ответственностью «КлиматПрофи» (ОДО «КлиматПрофи»), УНП 190679171. Место нахождения: 220014, Республика Беларусь, г. Минск, пер. Софьи Ковалевской, 52/23. Электронная почта для вопросов о персональных данных, отзыва согласия и запросов на удаление: info@climatbox.by.

1.3. Политика разработана с учётом Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее — Закон), законодательства о защите прав потребителей, бухгалтерском учёте, архивном деле и делопроизводстве.

1.4. Персональными данными является информация, относящаяся к конкретному человеку или позволяющая его определить. К таким данным могут относиться контактные сведения покупателя, содержание его заказа, опубликованное имя автора отзыва и связанные с посетителем технические идентификаторы.

1.5. Оператор использует данные для определённых в Политике целей, ограничивает их состав необходимым объёмом и прекращает обработку после достижения цели, если продолжение хранения не требуется по закону. Размещение Политики и посещение сайта сами по себе не означают согласия на обработку, для которой согласие обязательно.

2 Порядок и условия обработки

2.1. Данные поступают от самого человека через оформление заказа, отзыв, электронную почту, телефон или выбранный им мессенджер. Технические сведения формируются при работе сайта и браузера. Сведения о выполнении заказа и оплате возникают при исполнении договора.

2.2. Применяется автоматизированная и смешанная обработка. Заявки и заказы поступают в базу сайта и на info@climatbox.by. Для электронной почты используется Яндекс 360. Передача заказов в CRM не осуществляется; сторонняя техническая поддержка доступа к заказам и почте не имеет.

2.3 Консультации о товарах и подготовка покупки

Субъекты и данные. Посетители и потенциальные покупатели, обращающиеся по вопросам приобретения товаров: имя, номер телефона, адрес электронной почты, имя или идентификатор аккаунта в мессенджере — в зависимости от выбранного способа связи; содержание запроса о товаре и переписки. Источник — сам обратившийся человек.

Действия и основание. Оператор получает, фиксирует, систематизирует, хранит, уточняет и использует сведения для ответа на запрос и подготовки покупки, затем удаляет их. Обработка, необходимая для заключения и исполнения договора по инициативе покупателя, осуществляется на договорном основании, предусмотренном статьёй 6 Закона.

Срок. Не более одного года после завершения переписки. Если цель достигнута раньше и оснований для дальнейшего хранения нет, данные удаляются раньше. При оформлении заказа необходимые сведения используются для исполнения договора и хранятся по правилам пунктов 2.4 и 2.13.

Получатели и трансграничная передача. Доступ имеют работники, отвечающие на запрос. Переписка обрабатывается в Яндекс 360, а при общении в мессенджере — также в выбранном канале WhatsApp, Viber или Telegram; при обращении через Instagram — в этом сервисе. Условия обработки за пределами Беларуси определяются разделом 4.

2.4 Оформление и исполнение интернет-заказа

Субъекты и данные. Покупатели: имя, фамилия, телефон, адрес, выбранные товары, их количество и стоимость, номер заказа, способ оплаты; примечание к заказу, если покупатель его заполнил. Источники — покупатель, состав корзины и сведения сайта о заказе. Адрес используется для доставки и исполнения соответствующих условий заказа.

Действия и основание. Оператор собирает, записывает, систематизирует, хранит, уточняет и использует данные, связывается с покупателем для исполнения заказа, предоставляет необходимый объём работникам доставки, затем удаляет данные. Основание — заключение и исполнение договора с покупателем в соответствии со статьёй 6 Закона. Отдельное согласие для необходимой договорной обработки не требуется.

Срок. До исполнения обязательств по заказу, включая применимые гарантийные обязательства. После их исполнения сохраняются только сведения, для которых существует обязанность хранения документов по пункту 2.13. Отмена заказа не является основанием для бессрочного хранения записи о нём.

Получатели и трансграничная передача. Работники, оформляющие и исполняющие заказ; Яндекс 360 — при обработке письма с заявкой; получатели, участвующие в доставке и оплате, — в объёме пунктов 2.5 и 2.6. Условия зарубежной обработки при использовании внешних сервисов приведены в разделе 4.

2.5 Доставка и передача товара

Субъекты и данные. Покупатели, которым доставляется товар: имя, телефон, адрес и сведения о доставляемом товаре. Источник — данные заказа, предоставленные покупателем.

Действия и основание. Сведения извлекаются из заказа, предоставляются собственным работникам доставки, используются для связи, согласования и выполнения доставки, затем удаляются из рабочих материалов доставки. Основание — исполнение договора с покупателем по статье 6 Закона.

Срок. До выполнения доставки и разрешения связанных с ней вопросов исполнения заказа. Данные в документах о передаче товара хранятся по пункту 2.13.

Получатели и трансграничная передача. Доставку выполняют работники Оператора; указанный набор предоставляется им в пределах служебных обязанностей. Отдельного иностранного перевозчика для этой цели не привлекают. Использование базы сайта и электронной почты подчиняется условиям раздела 4.

2.6 Приём оплаты и оформление учётных документов

Субъекты и данные. Покупатели: данные заказа, имя и фамилия покупателя в документах по сделке, дата и сумма оплаты, способ оплаты, номер заказа и сведения, подтверждающие результат платежа. Источники — покупатель, заказ и платёжные документы или уведомления платёжного сервиса.

Действия и основание. Оператор получает и сопоставляет сведения о платеже с заказом, оформляет и хранит подтверждающие документы, использует их для расчётов и учёта, затем уничтожает по завершении обязательного срока. Основания — исполнение договора и обязанностей по Закону Республики Беларусь от 12 июля 2013 г. № 57-З «О бухгалтерском учёте и отчётности» и законодательству об архивном деле; статья 6 Закона.

Срок. Расчёты ведутся до исполнения платёжных обязательств. Документы, подтверждающие сделку и оплату, хранятся в сроки пункта 2.13.

Получатели и трансграничная передача. Работники, оформляющие расчёты и учёт; при онлайн-оплате — сервис bePaid, предоставляемый ООО «ИКомЧардж», и банки, выполняющие платёж при выбранном способе оплаты. На платёжную страницу передаются сведения, необходимые для оплаты конкретного заказа. Реквизиты карты вводятся на защищённой платёжной странице. Международная обработка в платёжной цепочке допускается только при соблюдении раздела 4.

2.7 Поддержка покупателей возврат обмен и гарантия

Субъекты и данные. Покупатели, обратившиеся по приобретённому товару: имя и фамилия, контактный телефон или email, сведения о заказе и товаре, содержание заявления, данные чеков или квитанций, предоставленных для подтверждения покупки и оплаты. Источники — заявитель и сведения о его заказе.

Действия и основание. Оператор принимает, фиксирует, уточняет и рассматривает обращение, сопоставляет его с заказом, использует сведения для ответа, обмена, возврата или гарантийного обслуживания и хранит необходимые документы. Основания — исполнение договора и обязанностей продавца по Закону Республики Беларусь от 9 января 2002 г. № 90-З «О защите прав потребителей»; статья 6 Закона.

Срок. До рассмотрения обращения и исполнения связанных с ним обязательств. Документы, подтверждающие сделку, возврат товара или денежных средств, хранятся по пункту 2.13; рабочие копии без самостоятельной необходимости хранения удаляются после выполнения соответствующей задачи.

Получатели и трансграничная передача. Работники, рассматривающие обращение; Яндекс 360 — для переписки; участники возврата платежа — в необходимом для расчёта объёме. Для обращений используется info@climatbox.by. Обработка с использованием внешних сервисов подчиняется разделу 4.

2.8 Проверка авторства и публикация отзыва

Субъекты и данные. Авторы отзывов: имя или указанное автором отображаемое имя, email, текст отзыва, оценка и дата публикации. Источник — автор отзыва. Email используется для проверки авторства и достоверности отзыва и не размещается в опубликованном тексте.

Действия и основание. Оператор получает, записывает, хранит и проверяет сведения, при необходимости связывается с автором, размещает имя, текст, оценку и дату на странице товара, изменяет или удаляет публикацию. Основание — информированное согласие автора по статье 5 Закона, охватывающее обработку email и распространение публикуемых сведений. Согласие на запоминание полей в браузере относится к отдельной функции.

Срок. Три года после публикации либо до более раннего отзыва согласия. После прекращения публикации данные отзыва и email удаляются при отсутствии предусмотренной законом обязанности их сохранить. Подтверждения согласия хранятся отдельно по пункту 2.13.

Получатели и трансграничная передача. Работники, обрабатывающие отзывы; посетители сайта — в отношении имени, текста, оценки и даты. Доступ к открытой публикации не ограничен территорией Беларуси. Отображение внешних аватаров Gravatar рассматривается отдельно в пункте 2.11 и разделе 4. Отказ от публикации отзыва не влияет на возможность купить товар.

2.9 Работа корзины и оформление заказа с помощью cookies

Субъекты и данные. Посетители, использующие корзину: технический идентификатор сессии, признак наличия товаров и контрольный идентификатор содержимого корзины. Источники — сайт и браузер посетителя.

Действия и основание. Сайт устанавливает и считывает необходимые cookies, связывает браузер с состоянием корзины, сохраняет её содержимое на время работы функции и удаляет идентификаторы по окончании срока. Обработка необходима для запрошенных пользователем действий по выбору и заказу товара и осуществляется на договорном основании статьи 6 Закона.

Срок. Две cookies корзины действуют в пределах сессии; cookie сессии WooCommerce — около двух суток. Подробности приведены в пункте 5.2. Эти периоды не определяют срок хранения оформленного заказа.

Получатели и трансграничная передача. Идентификаторы используются информационной системой интернет-магазина. Наличие WooCommerce не означает предоставления разработчику программы данных заказа. Правила зарубежного размещения или доступа к инфраструктуре определяются разделом 4.

2.10 Анализ посещаемости и использования сайта

Субъекты и данные. Посетители, согласившиеся на аналитику: идентификаторы cookies и посещения, IP-адрес, сведения о браузере, операционной системе и устройстве, посещённых страницах, источнике перехода, времени посещения и действиях на сайте. Источники — браузер и взаимодействие посетителя с сайтом. Контактные телефоны, email и содержание заказов в аналитику не передаются.

Действия и основание. Сведения собираются, передаются аналитическим сервисам, записываются, хранятся и анализируются для оценки посещаемости и улучшения сайта; формируются сводные отчёты, данные удаляются или обезличиваются. Основание — согласие по статье 5 Закона. При использовании Вебвизора анализируются действия посетителя в пределах разрешённой аналитической обработки.

Срок. До отзыва согласия и в пределах срока обработки, сообщённого посетителю при его получении. После прекращения основания персональные сведения подлежат удалению или обезличиванию. Обезличенные отчёты, по которым нельзя определить человека, могут сохраняться для статистического сравнения.

Получатели и трансграничная передача. Для аналитики используются Яндекс Метрика и Google Analytics; Google Tag Manager управляет подключением тегов. Объём передачи ограничивается аналитической целью. Зарубежная обработка подчиняется разделу 4; правила выбора и отзыва согласия приведены в разделе 5.

2.11 Отображение внешних карт аватаров и изображений

Субъекты и данные. Посетители страниц с внешними материалами; при показе аватара — также автор соответствующего отзыва. При обращении браузера к внешнему ресурсу технически передаются IP-адрес и заголовки запроса, включая сведения о браузере; сведения об исходной странице зависят от настроек передачи Referer. В запросе Gravatar используется идентификатор аватара. Источники — браузер и адрес загружаемого ресурса.

Действия и основание. Браузер направляет запрос поставщику ресурса и получает карту, аватар или изображение для отображения на странице. Загрузка необязательных внешних элементов, сопровождающаяся обработкой персональных данных без самостоятельного законного основания, допускается с согласия посетителя по статье 5 Закона.

Срок. Оператор использует технические сведения для выполнения запроса и отображения материала. Обработка поставщиком внешнего ресурса регулируется применимыми условиями его сервиса; при получении согласия посетителю предоставляется информация о сроке обработки данных.

Получатели и трансграничная передача. Яндекс Карты; Gravatar — сервис Automattic Inc.; сервер внешних иконок на домене acula.by. Этим получателям направляются технические запросы загрузки соответствующего материала. Такая загрузка сама по себе не означает предоставления им содержания заявки или заказа. Условия трансграничной передачи приведены в разделе 4.

2.12 Реализация прав в отношении персональных данных

Субъекты и данные. Люди, обращающиеся за реализацией своих прав: контакт для ответа, содержание требования, сведения, необходимые для поиска соответствующих данных, и реквизиты формального заявления в предусмотренных статьёй 14 Закона случаях. Для подтверждения согласия обрабатываются его содержание, дата, выбранный вариант и техническая запись, позволяющая подтвердить действие пользователя. Источники — заявитель и запись его выбора.

Действия и основание. Оператор принимает, регистрирует и рассматривает запрос, проверяет возможность идентифицировать заявителя, ищет необходимые записи, отвечает, исправляет, блокирует или удаляет данные и фиксирует результат. Основание — выполнение обязанностей по статьям 10–17 Закона и обязательное хранение документов.

Срок. Заявления субъектов персональных данных хранятся один год; подтверждения согласия — один год после окончания срока, на который оно дано. Исчисление и прекращение хранения осуществляются по пункту 2.13.

Получатели и трансграничная передача. Работники, рассматривающие запрос; Яндекс 360 — для электронной переписки. Уполномоченному лицу направляется необходимое поручение об исправлении, прекращении обработки или удалении, если оно обрабатывает соответствующие данные. Условия зарубежной обработки определяются разделом 4.

2.13 Хранение документов и прекращение обработки

Для документов применяются сроки и условия Перечня типовых документов, установленного постановлением Министерства юстиции Республики Беларусь от 24 мая 2012 г. № 140 «О перечне типовых документов». Договоры по финансово-хозяйственной деятельности и документы к ним хранятся три года после окончания срока действия договора и проведения налоговой проверки; если соответствующая налоговая проверка не проводилась — десять лет после окончания срока действия договора (пункт 70 Перечня).

Первичные учётные документы и приложения к ним хранятся три года при выполнении предусмотренного Перечнем условия о проведении налоговой проверки; при отсутствии такой проверки — десять лет (пункт 182). Срок для конкретного вида документа применяется вместе с примечаниями Перечня. Согласия и заявления субъектов персональных данных хранятся по пунктам 43 и 44 Перечня. Календарные архивные сроки исчисляются с 1 января года, следующего за годом завершения делопроизводства, с учётом специального события, предусмотренного соответствующим пунктом.

Обязательное хранение относится к документам установленного вида и необходимому составу данных. Оно не распространяется автоматически на все письма, выгрузки и полную базу заказов. По окончании цели и применимого срока данные удаляются, уничтожаются либо обезличиваются. Отзыв согласия не прекращает хранение, обязательное по закону.

3 Уполномоченные лица и получатели

3.1. Внутри Оператора данные доступны работникам, которым они необходимы для консультации, исполнения заказа, доставки, расчётов, обслуживания покупателя или рассмотрения запроса о персональных данных. Работники доставки получают имя, телефон, адрес и сведения о доставляемом товаре.

3.2. В обработке в пределах соответствующих целей участвуют: Яндекс 360 — для электронной почты; bePaid, ООО «ИКомЧардж» — для онлайн-оплаты; Яндекс Метрика и Google Analytics — для аналитики; Google Tag Manager — для управления тегами; WhatsApp, Viber, Telegram и Instagram — при общении через выбранный пользователем канал; Яндекс Карты, Gravatar и сервер acula.by — при загрузке указанных в пункте 2.11 материалов. Категории передаваемых сведений определяются соответствующей целью, а не всем перечнем данных интернет-магазина.

3.3. Лицо, обрабатывающее сведения от имени или в интересах Оператора, должно действовать на основании поручения, соответствующего статье 7 Закона. Цели, действия, конфиденциальность и защита данных определяются в надлежащем правовом основании такого поручения. Самостоятельная обработка платёжными и коммуникационными сервисами регулируется также применимыми к ним требованиями.

3.4. Налоговым органам, суду и органам, рассматривающим нарушения законодательства о защите прав потребителей, данные предоставляются при наличии предусмотренной законом обязанности или надлежащего требования и в необходимом для него объёме. Открытые отзывы доступны неопределённому кругу посетителей в пределах состава публикации, указанного в пункте 2.8.

4 Трансграничная передача

4.1. При обработке данных с использованием внешних почтовых, коммуникационных, аналитических и платёжных сервисов, а также при загрузке внешних материалов применяются требования статьи 9 Закона. Использование сервиса не освобождает Оператора от проверки допустимости передачи данных за пределы Республики Беларусь.

4.2. Передача в иностранное государство с надлежащим уровнем защиты осуществляется при наличии основания для соответствующей цели обработки. Если надлежащий уровень защиты не обеспечивается, передача допускается только при наличии предусмотренного статьёй 9 Закона исключения. Для необходимых действий по договору применяется соответствующее договорное основание; для необязательной аналитики и внешних элементов договор покупки не заменяет требуемого согласия.

4.3. Если передача основывается на согласии с информированием о рисках, до его получения посетителю сообщаются иностранные получатели, государства, состав данных, цель и срок обработки, а также риски отсутствия надлежащей защиты. До предоставления этой информации и получения надлежащего согласия такая передача не допускается. Обычная отметка о принятии Политики не заменяет это информирование.

4.4. При выборе мессенджера или переходе на платёжную страницу пользователь взаимодействует также с соответствующим сервисом. Это не отменяет обязанностей Оператора в отношении обработки, которую он сам организует. Предоставление технического запроса внешнему серверу и передача содержания заказа рассматриваются отдельно с учётом цели и состава сведений.

5 Cookies и веб-аналитика

5.1. Cookies — небольшие записи, которые сайт размещает в браузере. Они помогают сохранять корзину и выбранные настройки; при наличии согласия могут использоваться для анализа посещений. Срок действия cookie и срок хранения связанного с ней заказа или аналитической информации — разные сроки.

5.2. Для работы корзины WooCommerce используются следующие необходимые cookies.

5.3. Необходимые cookies корзины используются для выполнения действий, запрошенных посетителем. Их блокировка в браузере может нарушить сохранение корзины и оформление заказа.

5.4. Аналитические cookies и аналитические функции подключаются после соответствующего согласия. Посетитель может принять или отклонить необязательную обработку и позднее изменить выбор на странице

Политика в отношении обработки файлов cookie

5.5. Яндекс Метрика используется для анализа посещений и действий на сайте, включая анализ взаимодействий с помощью Вебвизора; Google Analytics — для статистики использования сайта. Google Tag Manager управляет запуском тегов и должен учитывать выбор посетителя. Отзыв согласия распространяется на дальнейший сбор, а обработанные ранее персональные сведения прекращают использоваться и удаляются или обезличиваются при отсутствии самостоятельного законного основания.

5.6. Функция запоминания данных в форме отзыва включается по выбору автора и предназначена для повторного заполнения полей. Выбор этой функции не является согласием на публикацию отзыва или на аналитику. Загрузка необязательных внешних карт и аватаров регулируется условиями пунктов 2.11 и 4.3.

6 Права субъектов и порядок обращения

6.1. Человек может бесплатно получить сведения об обработке своих данных, потребовать исправления неполных, устаревших или неточных сведений, отозвать данное согласие и потребовать прекращения обработки или удаления при отсутствии законного основания для её продолжения. Один раз за календарный год можно бесплатно получить информацию о предоставлении данных третьим лицам за предшествующий год, если законом не предусмотрено ограничение.

6.2. Заявление в порядке статьи 14 Закона направляется в письменной форме по адресу: 220014, Республика Беларусь, г. Минск, пер. Софьи Ковалевской, 52/23, ОДО «КлиматПрофи», либо в виде электронного документа, подписанного электронной цифровой подписью, на info@climatbox.by. В заявлении указываются ФИО, адрес места жительства или пребывания, дата рождения, суть требования и подпись. Идентификационный номер, а при его отсутствии номер документа, удостоверяющего личность, указывается в случаях, предусмотренных пунктом 2 статьи 14 Закона.

6.3. На info@climatbox.by также можно направить обычное электронное письмо с вопросом о данных, запросом на удаление или отзывом электронного согласия. Для поиска отзыва рекомендуется писать с email, указанного при его отправке. Оператор уточняет только сведения, необходимые для поиска записи и проверки полномочий заявителя. Обычное письмо без ЭЦП не приравнивается к электронному документу для формальной процедуры статьи 14; при необходимости Оператор объясняет, как надлежащим образом оформить заявление.

6.4. Согласие можно отозвать также способом, которым оно было получено. Выбор в отношении cookies изменяется через страницу, указанную в пункте 5.4. Если удаление не допускается из-за законной обязанности хранения, Оператор сообщает причину и применимый срок. При технической невозможности немедленного удаления применяются предусмотренные законом меры, препятствующие дальнейшей обработке, включая блокирование.

6.5. Действия, бездействие и решения Оператора, нарушающие права при обработке персональных данных, можно обжаловать в Национальный центр защиты персональных данных Республики Беларусь. Актуальный порядок подачи жалобы размещён на https://cpd.by/. Решение уполномоченного органа может быть обжаловано в суде в установленном порядке.

7 Меры защиты и заключительные положения

7.1. Оператор обязан организовать правовую, организационную и техническую защиту персональных данных в соответствии со статьёй 17 Закона. Объём доступа определяется задачами работников; обработка должна сопровождаться соблюдением конфиденциальности, контролем оснований и сроков хранения и своевременным прекращением доступа, который больше не требуется.

7.2. При выявлении нарушения защиты Оператор принимает предусмотренные законом меры реагирования, включая необходимое уведомление Национального центра защиты персональных данных. Конкретные технические настройки защиты не раскрываются в публичном документе.

7.3. Политика обновляется при изменении процессов обработки или требований законодательства. Новая редакция размещается на сайте с указанием даты. Обновление Политики не расширяет ранее данное согласие: при изменении цели, состава данных или условий, требующих нового согласия, оно получается отдельно.

7.4. По вопросам применения Политики можно обратиться на info@climatbox.by. Приложение является частью Политики.

8 Приложение

Цели обработки персональных данных и сроки хранения