Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок сбора, обработки, хранения, передачи и защиты персональных данных, которые обрабатываются в рамках работы программной платформы KatrIva (далее — «Платформа»), доступной по адресу https://katriva.com.ua и на связанных доменах Магазинов. Политика является неотъемлемой частью Публичной оферты на предоставление доступа к Платформе (далее — «Оферта») и применяется ко всем лицам, использующим Платформу: Заказчикам (владельцам Магазинов) и Покупателям (конечным потребителям, оформляющим заказы в Магазинах).
Платформа обслуживает Заказчиков и Покупателей независимо от страны их нахождения, в том числе резидентов Украины, Европейского Союза и других государств. Обработка персональных данных осуществляется с учётом требований Закона Украины «О защите персональных данных» от 01.06.2010 № 2297-VI (далее — «Закон»), а в отношении субъектов данных, находящихся в Европейском Союзе, — также с учётом Регламента (ЕС) 2016/679 (GDPR) в части, применимой к Исполнителю как контролёру / обработчику данных. В отношении субъектов данных из других юрисдикций Исполнитель руководствуется общими принципами законности, добросовестности и минимизации обработки данных, изложенными в настоящей Политике.
1. Термины
- Исполнитель / Оператор Платформы — владелец и оператор Платформы KatrIva (реквизиты — в разделе 10 настоящей Политики и в Оферте).
- Заказчик — физическое лицо-предприниматель или юридическое лицо, использующее Платформу для создания и ведения Магазина; является владельцем персональных данных своих Покупателей в понимании Закона.
- Покупатель — физическое лицо, оформляющее заказ товаров/услуг Заказчика через витрину Магазина.
- Персональные данные — любая информация, которая прямо или косвенно позволяет идентифицировать физическое лицо (имя, номер телефона, e-mail, адрес доставки, платёжные реквизиты в объёме, передаваемом Платформе, IP-адрес, данные cookie-файлов и т.п.).
- Обработка персональных данных — любое действие или совокупность действий с персональными данными (сбор, регистрация, накопление, хранение, изменение, использование, распространение, обезличивание, уничтожение).
2. Какие данные обрабатываются
- Данные Заказчика: регистрационные данные учётной записи (имя, название Магазина, e-mail, номер телефона, логин); платёжные и реквизитные данные для выставления счетов за Услугу (код ЕГРПОУ/РНОКПП, банковские реквизиты); технические данные (IP-адрес, данные об устройстве и браузере, журналы действий в админке, cookie-файлы).
- Данные Покупателей, полученные через витрину Магазина: имя, номер телефона, e-mail, адрес доставки; содержание заказа (перечень товаров, сумма, комментарии); технические данные посещения витрины (IP-адрес, тип устройства/браузера, cookie и аналогичные технологии, данные о взаимодействии пользователя с витриной — просмотренные страницы, последовательность переходов, события взаимодействия); данные, передаваемые платёжным системам для оплаты заказа (Платформа не хранит полные реквизиты платёжных карт).
3. Цель и правовые основания обработки
Обработка осуществляется с такими целями и на таких основаниях:
- исполнение Оферты и предоставление доступа к Платформе Заказчику — на основании заключённого договора (ст. 11 Закона; ст. 6(1)(b) GDPR);
- обеспечение оформления и обработки заказов Покупателей в Магазине — на основании договора купли-продажи между Заказчиком и Покупателем, стороной которого Исполнитель не является, но технически обеспечивает обработку в интересах Заказчика;
- исполнение законных требований (бухгалтерский учёт, запросы государственных органов) — на основании закона (ст. 6(1)(c) GDPR);
- обеспечение технической безопасности, предотвращение мошенничества и злоупотреблений — на основании законного интереса Исполнителя (ст. 6(1)(f) GDPR);
- отправка маркетинговых сообщений (при наличии) — на основании отдельного согласия субъекта данных, которое может быть отозвано в любой момент.
4. Распределение ролей: Заказчик и Исполнитель
- Заказчик является владельцем персональных данных своих Покупателей: именно он определяет цель сбора этих данных (продажа товаров/услуг), отвечает за законность их получения и за исполнение обязанности по информированию Покупателей (в том числе путём размещения собственной политики конфиденциальности Магазина, если это требуется законодательством страны Покупателя).
- Исполнитель выступает распорядителем / обработчиком персональных данных Покупателей в части, необходимой для технического функционирования Платформы (хранение данных заказов, отправка технических уведомлений, обеспечение работы checkout). Исполнитель обрабатывает такие данные исключительно по поручению и в интересах Заказчика и не использует их в собственных маркетинговых целях без отдельного законного основания.
- В отношении данных самого Заказчика (учётная запись, реквизиты оплаты Услуги) Исполнитель является владельцем персональных данных и самостоятельно определяет цель их обработки в пределах, необходимых для оказания Услуги.
- Для Заказчиков, на которых распространяется GDPR, условия обработки персональных данных могут дополнительно регулироваться отдельным Data Processing Agreement (DPA), который имеет приоритет в части обработки персональных данных.
5. Передача данных третьим лицам
Для обеспечения работы Платформы Исполнитель может привлекать и передавать персональные данные таким категориям третьих лиц:
- хостинг-провайдеры и дата-центры — для хранения данных;
- платёжные системы и эквайеры — для обработки оплат (Исполнитель не хранит полные реквизиты платёжных карт; эти данные обрабатываются платёжной системой в соответствии с PCI DSS);
- службы доставки — в объёме, необходимом для доставки (имя, телефон, адрес Покупателя);
- сервисы аналитики и уведомлений (в том числе мессенджеры, e-mail) — в объёме, необходимом для функционирования сервиса;
- государственные органы — в случаях и порядке, предусмотренных законодательством.
Исполнитель требует от привлекаемых третьих лиц обеспечения надлежащего уровня защиты персональных данных, соответствующего требованиям Закона и, при необходимости, GDPR.
6. Трансграничная передача данных
Поскольку Платформа обслуживает пользователей в разных странах, а часть инфраструктуры может располагаться за пределами Украины, персональные данные могут передаваться за рубеж, в том числе в государства, не обеспечивающие уровень защиты, эквивалентный Закону или GDPR. В таких случаях Исполнитель принимает разумные меры для обеспечения надлежащей защиты (в том числе Standard Contractual Clauses, сертификации провайдера и т.п.), насколько это технически и коммерчески доступно.
7. Файлы cookie и аналогичные технологии
- Платформа и витрины Магазинов используют cookie и аналогичные технологии для: обеспечения технической работы checkout и авторизации; аналитики посещаемости; при наличии — таргетированной рекламы и ремаркетинга.
- Использование нетехнических cookie (аналитика, маркетинг) осуществляется на основании отдельного согласия посетителя, если это требуется применимым законодательством. Технические cookie, необходимые для работы сервиса, могут применяться без отдельного согласия.
- Посетитель может управлять cookie через настройки браузера. Отключение отдельных cookie может ограничить функциональность витрины (например, работу корзины).
- При наличии требований применимого законодательства Платформа и/или Магазины могут отображать уведомление об использовании cookie и запрашивать согласие пользователя.
8. Срок хранения персональных данных
Персональные данные хранятся в течение срока действия Оферты с Заказчиком и в течение дополнительного срока, необходимого для исполнения требований законодательства (в том числе налогового и бухгалтерского учёта — не менее сроков, установленных применимым законодательством, а при их отсутствии — до 3 лет), а также для защиты законных интересов сторон в случае спора. После прекращения действия Оферты данные Магазина хранятся и удаляются в соответствии с разделом 9 Оферты, если более длительный срок не требуется законодательством.
9. Права субъектов персональных данных
В соответствии с Законом и (где применимо) GDPR субъект персональных данных имеет право: знать об источниках сбора и цели обработки; получать доступ к своим данным; требовать исправления неточных или устаревших данных; требовать удаления данных или отозвать согласие (право «быть забытым»); возражать против обработки на основании законного интереса; требовать ограничения обработки и получать данные в структурированном машиночитаемом формате (портативность) — для субъектов GDPR; подать жалобу в уполномоченный орган (в Украине — Уполномоченный Верховной Рады Украины по правам человека; для резидентов ЕС — национальный надзорный орган соответствующей страны).
Запросы могут направляться Заказчику (в отношении данных Магазина) или Исполнителю по контактам раздела 10. Ответ — в срок, предусмотренный законодательством (как правило, в течение 30 календарных дней).
10. Защита персональных данных и контакты
Исполнитель принимает технические и организационные меры для защиты персональных данных от несанкционированного доступа, утраты, уничтожения или разглашения, в том числе: разграничение прав доступа, шифрование каналов передачи, резервное копирование (в объёме, определённом Офертой).
При выявлении инцидента безопасности, который может привести к несанкционированному доступу к персональным данным, Исполнитель принимает разумные меры для минимизации последствий и, если это требуется законодательством, уведомляет соответствующих субъектов данных или компетентные органы в установленные сроки.
Наименование / ФИО Исполнителя: Физическое лицо-предприниматель
Лучкин Антон Викторович, осуществляющий деятельность под коммерческим
обозначением «KatrIva»
Статус: ФОП, плательщик единого налога 2 группы
Код ЕГРПОУ / РНОКПП: 3230400379
Адрес: Украина, 02093, г. Киев, ул. Бориспольская,
дом 17, 52
E-mail для обращений по персональным данным:
hello@katriva.com.ua
Сайт:
https://katriva.com.ua
11. Изменения в Политике
Исполнитель вправе вносить изменения в настоящую Политику путём публикации новой редакции на Сайте. Новая редакция вступает в силу через 7 календарных дней после опубликования, если иной срок не указан на Сайте. Продолжение использования Платформы после вступления в силу означает согласие с её условиями.
Заказчикам рекомендуется доводить содержание настоящей Политики до сведения своих Покупателей (например, ссылкой на витрине Магазина) для исполнения обязанности по информированию Покупателей.