HERRA

Политика конфиденциальности

1. Общие положения

1.1. Индивидуальный предприниматель «TB Corp» (далее - ИП «TB Corp», Оператор), работающий под брендом HERRA, обеспечивает защиту персональных данных посетителей сайта и покупателей. Настоящая Политика определяет правила их сбора, использования, хранения и защиты.

1.2. Основные понятия, используемые в настоящей Политике:

1.2.1. персональные данные - сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе;

1.2.2. оператор базы, содержащей персональные данные (далее - оператор), - государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных;

1.2.3. обработка персональных данных - действия, направленные на:

накопление;
хранение;
изменение;
дополнение;
использование;
распространение;
обезличивание;
блокирование;
уничтожение персональных данных.

1.2.4. автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

1.2.5. распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

1.2.6. предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

1.2.7. блокирование персональных данных - действия по временному прекращению сбора, накопления, изменения, дополнения, использования, распространения, обезличивания и уничтожения персональных данных;

1.2.8. накопление персональных данных - действия по систематизации персональных данных путем их внесения в базу, содержащую персональные данные;

1.2.9. Уничтожение персональных данных - действия, после которых невозможно восстановить данные. Обезличивание - действия, после которых невозможно определить, какому человеку принадлежат данные.

1.2.10. информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.3. Политика в отношении обработки персональных данных в ИП «TB Corp» (далее - Политика) определяет любое действие (операцию) или совокупность действий (операций), по сбору, записи, систематизации, накоплению, хранению, уточнению (обновлению, изменению), извлечению, использованию, передаче (распространение, предоставление, доступ), обезличиванию, блокированию, удалению, уничтожению персональных данных, а также сведения о реализуемых требованиях к защите персональных данных.

1.4. Политика разработана в соответствии с действующим законодательством РК и обработка персональных данных основана на следующих нормативных правовых актах:

Конституции Республики Казахстан;
Гражданским кодексом Республики Казахстан;
Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите»;
Закон Республики Казахстан от 24 ноября 2015 года № 418-V «Об информатизации»;
Приказ Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 21 октября 2020 года № 395/НҚ «Об утверждении Правил сбора, обработки персональных данных»;
иные нормативные правовые акты Республики Казахстан и нормативные документы уполномоченных органов государственной власти.

1.5. ИП «TB Corp» осуществляет обработку персональных данных на законной и справедливой основе.

1.6. ИП «TB Corp» не осуществляет обработку биометрических персональных данных.

1.7. ИП «TB Corp» вправе поручить в соответствии со ст. 7 Закона «О персональных данных и их защите» обработку персональных данных субъекта персональных данных другим лицам. При этом ответственность перед субъектом персональных данных за действия указанного лица несет оператор.

2. Цели обработки персональных данных

2.1. Персональные данные обрабатываются ИП «TB Corp» в следующих целях:

2.1.1. соблюдение законности обработки персональных данных;

2.1.2. осуществление и выполнение возложенных законодательством Республики Казахстан на Оператора функций, полномочий и обязанностей, в частности:

выполнение обязанностей по оформлению и исполнению заказов и требований налогового законодательства;
ведение текущего бухгалтерского и налогового учёта, формирование, изготовление и своевременная подача бухгалтерской, налоговой и статистической отчётности;
соблюдение требований к обработке и защите данных покупателей и посетителей сайта;

2.1.3. Ведение деятельности интернет-магазина HERRA, в том числе:

рассмотрение обращений, возвратов и претензий покупателей;
оформление, оплата, доставка и исполнение договоров розничной купли-продажи;
направление рекламы товаров HERRA по отдельно выбранным клиентом каналам при наличии необходимого согласия;

2.1.4. Иные конкретные законные цели, сообщённые субъекту до начала соответствующей обработки. Данные не используются для несовместимых целей без надлежащего основания.

3. Состав персональных данных и сроки их обработки

3.1. Все обрабатываемые ИП «TB Corp» персональные данные являются конфиденциальной, строго охраняемой информацией в соответствии с законодательством.

3.2. Для заказа обрабатываются Ф.И.О., телефон, электронная почта при предоставлении, адрес доставки, состав и стоимость заказа, сведения об оплате и получении, содержание обращений. Для работы сайта - IP-адрес, данные устройства, сеанса и подтверждения согласия. ИИН, паспортные сведения, данные о семье, судимости и трудовой деятельности для обычной покупки не собираются.

3.3. Политика распространяется на посетителей сайта, покупателей, согласованных получателей заказов и заявителей по обращениям. Обработка данных работников и иных лиц для кадровых целей регулируется отдельно.

Данные заказа используются до завершения исполнения и связанных обращений. Документы обязательного учёта сохраняются в установленные законом сроки. Другие данные хранятся не дольше достижения конкретной цели; сроки для сервисов сайта раскрываются в перечне обработки.

4. Порядок сбора, хранения, передачи и иных видов обработки персональных данных

4.1. Обработка персональных данных происходит автоматизированным и неавтоматизированным способом.

4.1.1. Обработка персональных данных, осуществляемая без использования средств автоматизации, осуществляется таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей). Оператором установлен перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ. Обеспечивается раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях. Оператор обеспечивает сохранность персональных данных и принимает меры, исключающие несанкционированный доступ к персональным данным.

4.1.2. Обработка персональных данных, осуществляемая с использованием средств автоматизации, проводится при условии выполнения следующих действий:

Оператор проводит технические мероприятия, направленные на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;
защитные инструменты настроены на своевременное обнаружение фактов несанкционированного доступа к персональным данным;
технические средства автоматизированной обработки персональных данных изолированы в целях недопущения воздействия на них, в результате которого может быть нарушено их функционирование;
Оператор производит резервное копирование данных, с тем, чтобы иметь возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
осуществляется постоянный контроль за обеспечением уровня защищенности персональных данных.

4.2. К обработке персональных данных допускаются только сотрудники, прошедшие определенную процедуру допуска, к которой относятся:

ознакомление сотрудника под роспись с локальными нормативными актами, регламентирующими порядок и процедуру работы с персональными данными;
взятие с сотрудника подписки о соблюдении конфиденциальности в отношении персональных данных при работе с ними;
получение сотрудником и использование в работе индивидуальных атрибутов доступа к информационным системам, содержащим в себе персональные данные. При этом каждому сотруднику выдаются минимально необходимые для исполнения трудовых обязанностей права на доступ в информационные системы персональных данных.

Сотрудники, имеющие доступ к персональным данным, получают только те персональные данные, которые необходимы им для выполнения конкретных трудовых обязанностей.

4.3. Персональные данные хранятся в бумажном и электронном виде.

4.3.1. В бумажном виде персональные данные хранятся в специально оборудованных металлических шкафах и/или сейфах, либо в иных местах, которые запираются и опечатываются. Ключи находятся у ответственного сотрудника, назначаемого соответствующего приказом.

4.3.2. Электронные данные хранятся в базе на территории Республики Казахстан. Сведения о месте хранения, получателях, целях и сроках: [перечень фактически используемых сервисов, их функций, стран обработки и сроков хранения].

4.3.3. При хранении персональных данных соблюдаются организационные и технические меры по обеспечению их сохранности и исключению несанкционированного доступа к ним, в том числе, но не исключительно:

назначение сотрудника, ответственного за обработку персональных данных;
ограничение физического доступа к местам обработки персональных данных, включая установку запирающих устройств, ограничение круга лиц, имеющих доступ и т. п.;
съемные электронные носители, на которых хранятся резервные копии персональных данных субъектов персональных данных (при необходимости маркируются и учитываются в журнале регистрации, учета и выдачи внешних носителей для хранения резервных копий персональных данных);
учет всех информационных систем, электронных и бумажных носителей, а также архивных копий;
применение необходимых средств защиты информации в соответствии с законодательством;

4.3.4. Подробный порядок регламентируется внутренними локальными актами Оператора.

4.4. Для целей обработки данных ИП «TB Corp» может передавать персональные данные:

сотрудникам ИП «TB Corp»;
третьим лицам, подписавшим обязательство по обеспечению конфиденциальности и безопасности полученных сведений по поручению ИП «TB Corp», где должны быть указаны перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных;
по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля за поведением условно осужденного, осужденного, в отношении которого отбывание наказания отсрочено, и лица, освобожденного условно-досрочно.

Передача третьим лицам допускается с согласия субъекта либо по иному предусмотренному законом основанию и только в необходимом объёме. Трансграничная передача осуществляется с соблюдением статьи 16 Закона РК «О персональных данных и их защите». Использование WhatsApp и других иностранных сервисов учитывается в перечне получателей и в соответствующем согласии.

При передаче персональных данных в электронном виде третьим лицам по открытым каналам связи ИП «TB Corp» обязан принимать все необходимые меры по защите передаваемой информации в соответствии с требованиями действующего законодательства РК в порядке, регламентированным локальными актами.

4.5. Изменение персональных данных производится на основании заявления субъекта персональных данных, на основании официальных документов, содержащих персональные данные субъекта персональных данных и в иных законных случаях.

4.6. Персональные данные хранятся не дольше, чем этого требуют цели их обработки, и подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

Уничтожение с носителей и носителей, содержащих персональные данные субъектов, должно соответствовать следующим правилам:

быть максимально надежным и конфиденциальным, исключая возможность последующего восстановления;
оформляться соответствующим актом;
проводиться уполномоченным лицом с фиксацией результата;
уничтожение должно касаться только тех персональных данных, которые подлежат уничтожению в связи с достижением цели обработки указанных персональных данных либо утраты необходимости в их достижении, не допуская случайного или преднамеренного уничтожения актуальных носителей.

5. Права и обязанности субъекта персональных данных

5.1. Субъект персональных данных имеет право:

знать о наличии у собственника и (или) оператора, а также третьего лица своих персональных данных, а также получать информацию, содержащую: подтверждение факта, цели, источников, способов сбора и обработки персональных данных; перечень персональных данных; сроки обработки персональных данных, в том числе сроки их хранения;
требовать от собственника и (или) оператора изменения и дополнения своих персональных данных при наличии оснований, подтвержденных соответствующими документами;
требовать от собственника и (или) оператора, а также третьего лица блокирования своих персональных данных в случае наличия информации о нарушении условий сбора, обработки персональных данных;
требовать от собственника и (или) оператора, а также третьего лица уничтожения своих персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных настоящим Законом и иными нормативными правовыми актами Республики Казахстан;
отозвать согласие на сбор, обработку персональных данных, кроме случаев, предусмотренных пунктом 2 статьи 8 настоящего Закона;
дать согласие (отказать) собственнику и (или) оператору на распространение своих персональных данных в общедоступных источниках персональных данных;
на защиту своих прав и законных интересов, в том числе возмещение морального и материального вреда;
на осуществление иных прав, предусмотренных настоящим Законом и иными законами Республики Казахстан.

5.2. Субъект персональных данных обязан:

представлять свои персональные данные в случаях, установленных законами Республики Казахстан;
сообщать об изменении данных, необходимых для исполнения заказа, в WhatsApp +7 707 122 9876;

Запрос об обработке данных направляется в WhatsApp +7 707 122 9876 либо по адресу Оператора. Ответ предоставляется в срок, установленный законом для соответствующего обращения. При отзыве согласия обработка прекращается в течение 15 рабочих дней либо направляется мотивированный отказ при наличии законного основания продолжения.

Порядок обработки запросов субъектов персональных данных по выполнению их законных прав производится согласно утвержденному внутреннему документу, разработанному в соответствии с действующим законодательством в области защиты персональных данных и подконтролен сотруднику, ответственному за обработку персональных данных.

6. Сведения о реализуемых требованиях к защите персональных данных

6.1. Оператор получает данные от субъектов или иных лиц при наличии законного основания. Получение данных от другого лица не отменяет обязанности обеспечить законность обработки.

6.2. Оператор прекращает обработку персональных данных в следующих случаях:

при наступлении условий прекращения обработки персональных данных или по истечении установленных сроков;
по достижении целей их обработки либо в случае утраты необходимости в достижении этих целей;
по требованию субъекта персональных данных, если обрабатываемые в ИП «TB Corp» персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
в случае выявления неправомерной обработки персональных данных, если обеспечить правомерность обработки персональных данных невозможно;
случае отзыва субъектом персональных данных согласия на обработку его персональных данных или истечения срока действия такого согласия (если персональные данные обрабатываются ИП «TB Corp» исключительно на основании согласия субъекта персональных данных);
при прекращении деятельности ИП с учётом обязательных сроков хранения и законного порядка передачи или уничтожения данных.

6.3. ИП «TB Corp» обеспечивает следующие меры защиты:

6.3.1. определяет лицо, ответственное за организацию обработки данных;

6.3.2. устанавливает правила обработки, доступа и обеспечения безопасности данных:

регламент по обработке персональных данных клиентов;
настоящая Политика;
другие локальные акты по вопросам обработки и обеспечения безопасности персональных данных.

6.3.3. применены правовые, организационные и технические меры по обеспечению безопасности персональных данных;

6.3.4. осуществляется внутренний контроль соответствия обработки персональных данных требованиям законодательства РК о персональных данных и их защите, настоящей Политики, локальных актов Оператора;

6.3.5. оценивает риски нарушения прав субъектов и соразмерность применяемых мер защиты;

6.3.6. знакомит работников, допущенных к данным, с применимыми требованиями и правилами конфиденциальности.

6.4. В Оператора реализуются следующие требования к защите персональных данных:

организован режим обеспечения безопасности помещений, в которых размещены информационные системы, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
реализовано обеспечение сохранности носителей персональных данных;
определение перечня лиц, которым доступ необходим для выполнения обязанностей;
используются средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства РК в области информатизации и обеспечения безопасности информации.

7. Положения по конфиденциальности и защите персональной информации в интернет-магазине

7.1. ИП «TB Corp» осуществляет обработку данных покупателей и посетителей интернет-магазина HERRA.

7.2. К персональным данным, собранным на сайте, относятся:

ФИО;
сведения об оформленных заказах и их исполнении;
адрес доставки заказа;
номер мобильного телефона;
адрес электронной почты;
содержание обращения и технические сведения, необходимые для работы и защиты сайта;

7.3. Данные клиента используются для оформления, оплаты, доставки, возврата и сопровождения заказа. Согласие на обработку подтверждается отдельно, когда оно требуется законом. Предоставление данных для заказа не означает согласия на рекламу.

7.4. При наличии личного кабинета доступ к нему осуществляется способом, предусмотренным на сайте. Кабинет может содержать историю заказов и настройки клиента.

7.5. Клиент имеет право пользоваться всеми разделами личного кабинета на сайте, изменять и удалять информацию о себе.

7.6. Для удаления или уточнения данных обратитесь в WhatsApp +7 707 122 9876. Удаление производится при прекращении цели и отсутствии законных оснований хранения. Обязательные документы не уничтожаются до истечения установленного срока.

7.7. Клиент обязан сохранять в тайне данные доступа. При подозрении на посторонние действия следует сообщить магазину. Ответственность сторон определяется с учётом установленных причин нарушения; собственные обязанности по защите данных сохраняются за Оператором.

7.8. Реклама направляется при наличии отдельного согласия по выбранным каналам. Отказаться можно через доступные настройки либо сообщением в WhatsApp +7 707 122 9876. Отказ от рекламы не препятствует покупке.

7.9. Необходимые сообщения о заказе и действиях клиента направляются для сопровождения соответствующего обращения или покупки. Включение рекламы требует отдельного основания.

7.10. Сайт может использовать cookie для корзины, входа и настроек. Состав, поставщики, цели и сроки раскрываются в перечне технологий сайта: [ссылка или перечень]. Необязательная аналитика и реклама включаются после соответствующего выбора пользователя. Само посещение сайта не заменяет необходимого согласия.

7.11. IP-адрес и технические сведения используются в необходимом объёме для работы и защиты сайта. К ним применяются требования к персональным данным, когда они позволяют определить пользователя.

7.12. Запись телефонного разговора допускается при предварительном уведомлении клиента и наличии необходимого законного основания. Доступ к записи ограничивается целью обращения и установленным сроком хранения.

8. Информация о продавце

8.1. Продавец и Оператор: ИП «TB Corp», бренд HERRA. Ф.И.О. предпринимателя: Туркебаев Б.Б. Адрес:Алматы, Таугуль 1 д. 43 офис 80 Сайт: __________. WhatsApp для обращений, доставки и возвратов: +7 707 122 9876.

9. Заключительные положения

9.1. Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных документов по обработке и защите персональных данных.

9.2. Политика размещается на сайте HERRA. Изменение текста не расширяет ранее полученное согласие автоматически. При необходимости Оператор получает новое согласие.

9.3. Контроль исполнения требований настоящей Политики осуществляется ответственным за обеспечение безопасности персональных данных ИП «TB Corp».