1. Общие положения

1.1. Настоящая Политика в отношении обработки и защиты персональных данных (далее — «Политика») определяет порядок и условия обработки персональных данных, а также меры по обеспечению их безопасности при использовании интернет-магазина «Таймарт» по адресу https://thaimart.shop/.

1.2. Оператором персональных данных является BEYOND BORDERS LOGISTICS TRADING CO., LTD, регистрационный номер 0205565022353, зарегистрированное в Королевстве Таиланд по адресу: 407/11 Pattaya City, Bang Lamung District, Chon Buri 20150, Thailand (далее — «Оператор», «Таймарт»).

1.3. Контактный адрес Оператора по вопросам обработки персональных данных: info@thaimart.shop. Телефон: +7 (909) 072-34-95.

1.4. В отношении обработки персональных данных граждан Российской Федерации Оператор применяет требования Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и иных обязательных норм законодательства Российской Федерации в случаях, когда такие требования распространяются на соответствующую обработку.

1.5. Политика является общедоступным документом и размещается на Сайте в свободном доступе. Использование отдельных функций Сайта, требующих обработки персональных данных, осуществляется после ознакомления пользователя с настоящей Политикой и при наличии необходимого правового основания.

1.6. Политика применяется к персональным данным посетителей Сайта, зарегистрированных пользователей, покупателей, получателей заказов, лиц, направляющих обращения и претензии, а также лиц, давших отдельное согласие на получение рекламных и информационных сообщений.

2. Основные понятия

Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.

Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для их уточнения.

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители.

Cookie — небольшой фрагмент данных, сохраняемый браузером пользователя и используемый для функционирования Сайта, сохранения пользовательских настроек и, при отдельном согласии, веб-аналитики.

3. Принципы обработки персональных данных

3.1. Оператор осуществляет обработку персональных данных на основе принципов законности и справедливости, ограничения обработки конкретными, заранее определенными и законными целями, недопустимости избыточной обработки и объединения баз данных с несовместимыми целями.

3.2. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Оператор принимает меры по обеспечению точности, достаточности и актуальности персональных данных.

3.3. Персональные данные хранятся не дольше, чем этого требуют цели обработки, договорные отношения и обязательные требования законодательства. По достижении целей обработки данные уничтожаются или обезличиваются, если отсутствуют иные законные основания для их дальнейшего хранения.

3.4. Оператор не осуществляет намеренный сбор специальных категорий персональных данных, в том числе сведений о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни, а также биометрических персональных данных.

3.5. Сведения о составе заказа, в том числе при покупке товаров для здоровья, обрабатываются исключительно для исполнения заказа, доставки, возврата, рассмотрения обращений и иных связанных с договором целей. Оператор не использует состав заказа для установления или профилирования состояния здоровья пользователя.

4. Категории субъектов и состав обрабатываемых персональных данных

4.1. Оператор может обрабатывать следующие категории персональных данных в зависимости от действий субъекта на Сайте:

4.2. Оператор не собирает на Сайте паспортные данные и ИНН для целей таможенного оформления. При необходимости такие сведения предоставляются субъектом непосредственно соответствующему перевозчику, таможенному представителю или уполномоченному оператору по используемому ими защищенному каналу.

4.3. Оператор не получает и не хранит полные реквизиты банковских карт. Ввод и обработка реквизитов банковской карты осуществляются на стороне платежного сервиса и обслуживающих его платежных организаций.

5. Цели и правовые основания обработки

5.1. Персональные данные обрабатываются только для целей, для которых они были получены, и при наличии предусмотренного законом правового основания.

5.2. Согласие на обработку персональных данных, когда оно требуется как самостоятельное правовое основание, оформляется отдельно от настоящей Политики, публичной оферты и иных документов, принимаемых пользователем.

5.3. Согласие на рекламные и маркетинговые сообщения является добровольным, оформляется отдельно и не является условием оформления заказа или использования основных функций Сайта.

6. Способы и операции обработки

6.1. Оператор осуществляет смешанную обработку персональных данных с использованием средств автоматизации и, в необходимых случаях, без их использования.

6.2. В зависимости от цели могут осуществляться следующие операции: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение персональных данных.

6.3. Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом существенно затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, кроме случаев, прямо допускаемых законодательством.

7. Локализация и места обработки данных

7.1. Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, собираемых посредством Сайта, осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

7.2. Сайт и его основная база данных размещаются на инфраструктуре российского хостинг-провайдера ООО «Бегет», ОГРН 1077847645590, ИНН 7801451618, юридический адрес: 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А.

7.3. Для ведения взаимоотношений с покупателями Оператор планирует использовать российскую CRM-систему amoCRM. Данные могут обрабатываться с использованием сервиса АО «амоЦРМ», ОГРН 5157746087681, ИНН 7709477879, юридический адрес: 115093, г. Москва, ул. Люсиновская, д. 38, на основании договора и в объеме, необходимом для обслуживания покупателей и заказов.

7.4. Сотрудники Оператора, находящиеся на территории Таиланда, не имеют доступа к персональным данным покупателей и получателей, обрабатываемым в информационных системах Сайта и CRM.

8. Лица, участвующие в обработке и получающие данные

8.1. Оператор вправе предоставлять персональные данные только в объеме, необходимом для достижения соответствующей цели, лицам, участие которых требуется для исполнения договора, обработки платежа, доставки, функционирования Сайта или исполнения обязанности, установленной законодательством.

8.2. К таким лицам относятся:

• ООО «Бегет» — размещение Сайта и баз данных на серверной инфраструктуре в Российской Федерации;
• АО «амоЦРМ» — CRM-система для ведения обращений, заказов и взаимодействия с покупателями после подключения сервиса;
• ООО «СДЭК Финанс» (ОГРН 1215400003433, ИНН 5406810975) — платежный агент и оператор сервиса CDEK Pay для приема и обработки платежей;
• ООО «СДЭК-Глобал» — международная доставка и таможенное сопровождение при выборе соответствующего способа доставки;
• АО «Почта России» — доставка международных почтовых отправлений и связанные с ней таможенные действия при выборе соответствующего способа доставки;
• ООО «ЯНДЕКС» — обработка данных веб-аналитики в сервисе «Яндекс.Метрика» при наличии согласия пользователя на аналитические cookie;
• государственные органы и иные уполномоченные лица — только в случаях и объеме, предусмотренных законом.

8.3. Полные данные банковской карты передаются пользователем непосредственно платежному сервису и обслуживающим его платежным организациям и не поступают в информационные системы Таймарт.

8.4. Если обработка осуществляется другим лицом по поручению Оператора, Оператор обеспечивает наличие в договоре с таким лицом требований к соблюдению конфиденциальности, безопасности, целевому характеру обработки и иных требований, предусмотренных законодательством о персональных данных.

9. Трансграничная передача персональных данных

9.1. В рамках действующей технической и организационной схемы Сайта трансграничная передача персональных данных граждан Российской Федерации Оператором не осуществляется: персональные данные хранятся и обрабатываются в информационных системах, размещенных на территории Российской Федерации, а сотрудники Оператора в Таиланде доступа к таким данным не имеют.

9.2. До начала использования иностранного сервиса, предоставления доступа к персональным данным лицам, находящимся за пределами Российской Федерации, либо иной трансграничной передачи Оператор обязан предварительно выполнить требования законодательства Российской Федерации, применимые к такой передаче, включая необходимые уведомительные и организационные процедуры, и актуализировать настоящую Политику.

10. Обработка данных при оплате

10.1. Оплата заказов осуществляется с использованием платежного сервиса CDEK Pay, платежным агентом которого является ООО «СДЭК Финанс».

10.2. Для инициации платежа Оператор может передавать платежному сервису номер/идентификатор заказа, сумму, назначение платежа и контактные данные в объеме, необходимом для совершения платежа, направления платежного подтверждения и исполнения требований законодательства.

10.3. Реквизиты банковской карты, включая полный номер карты, срок действия и код безопасности, вводятся пользователем в защищенной платежной форме платежного сервиса и Оператором не получаются и не хранятся.

10.4. ООО «СДЭК Финанс» обрабатывает получаемые им персональные и платежные данные в соответствии с применимым законодательством и собственными документами об обработке персональных данных.

11. Cookie и веб-аналитика

11.1. Сайт использует технические cookie, необходимые для корректной работы Сайта, авторизации, сохранения корзины, настроек и обеспечения безопасности.

11.2. Аналитические cookie и сервис «Яндекс.Метрика» используются только после получения соответствующего согласия пользователя, если такое согласие требуется применимым законодательством и настройками Сайта.

11.3. При использовании «Яндекс.Метрики» могут обрабатываться сведения об активности на Сайте, cookie, данные об устройстве, браузере, операционной системе, сетевые и технические идентификаторы и иные сведения, предусмотренные условиями сервиса.

11.4. Оператор не передает в «Яндекс.Метрику» паспортные данные, платежные реквизиты и иные сведения, позволяющие прямо идентифицировать пользователя, за исключением функций сервиса, специально предназначенных для такой передачи и подключаемых только при наличии соответствующего правового основания.

11.5. Пользователь может изменить свой выбор в отношении необязательных cookie с помощью предусмотренного на Сайте механизма управления cookie и/или настроек браузера. Отключение технически необходимых cookie может привести к некорректной работе отдельных функций Сайта.

11.6. Google Analytics, Meta Pixel и иные иностранные системы веб-аналитики настоящей редакцией Политики не предусмотрены и не должны подключаться без предварительной правовой оценки, при необходимости выполнения требований о трансграничной передаче и актуализации Политики.

12. Рекламные и информационные сообщения

12.1. Оператор вправе направлять сообщения, необходимые для исполнения заказа и договора, включая подтверждения заказа, сведения об оплате, комплектации, доставке, возврате и обращения службы поддержки, без отдельного рекламного согласия в пределах соответствующего правового основания.

12.2. Рекламные сообщения, сведения об акциях, специальных предложениях, новинках и аналогичные маркетинговые материалы направляются по e-mail, SMS и через мессенджеры WhatsApp, Telegram и MAX только при наличии отдельного предварительного согласия субъекта.

12.3. Субъект вправе в любое время отказаться от рекламных сообщений способом, указанным в соответствующем сообщении или согласии, либо направив требование на info@thaimart.shop. Отказ от рекламы не влияет на возможность совершать покупки и получать сервисные сообщения.

13. Сроки обработки, блокирование и уничтожение данных

13.1. Срок обработки определяется целью, для которой данные были получены, сроком действия договора, необходимостью рассмотрения обращений и претензий, сроками исковой давности, а также обязательными сроками хранения, установленными применимым законодательством.

13.2. Данные учетной записи обрабатываются в течение периода использования личного кабинета и после прекращения его использования — в пределах срока, необходимого для выполнения незавершенных обязательств и соблюдения требований законодательства.

13.3. Данные о заказах, оплате, доставке, возвратах и претензиях хранятся в течение периода, необходимого для исполнения договора и защиты прав сторон, а затем — в пределах обязательных сроков хранения, если они установлены законодательством.

13.4. Данные, обрабатываемые исключительно на основании согласия, обрабатываются до достижения заявленной цели, истечения указанного в согласии срока либо отзыва согласия, если у Оператора отсутствует иное законное основание для дальнейшей обработки.

13.5. При достижении цели обработки или отзыве согласия Оператор прекращает соответствующую обработку и уничтожает персональные данные в срок, установленный законодательством, если сохранение данных не требуется на ином законном основании.

13.6. При невозможности немедленного уничтожения данных Оператор осуществляет их блокирование и обеспечивает последующее уничтожение в порядке и сроки, предусмотренные законодательством.

14. Права субъекта персональных данных

14.1. Субъект персональных данных вправе получать сведения об обработке его персональных данных и в предусмотренных законом случаях требовать их уточнения, блокирования, прекращения обработки или уничтожения.

14.2. Субъект вправе отозвать ранее предоставленное согласие на обработку персональных данных. Отзыв не влияет на законность обработки, осуществленной до его получения, и не препятствует дальнейшей обработке, если у Оператора имеется иное предусмотренное законом основание.

14.3. Субъект вправе отказаться от рекламных сообщений и обработки данных для целей прямого маркетинга в любое время.

14.4. Для реализации прав субъект направляет обращение на info@thaimart.shop. Обращение должно позволять идентифицировать заявителя и соответствующие данные/учетную запись; Оператор вправе запросить разумно необходимую дополнительную информацию для предотвращения неправомерного раскрытия данных третьему лицу.

14.5. Оператор рассматривает обращения и выполняет законные требования в сроки, установленные законодательством Российской Федерации о персональных данных.

14.6. Субъект вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.

15. Обеспечение безопасности персональных данных

15.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

15.2. В зависимости от характера обработки Оператор применяет, в частности:

• разграничение и минимизацию прав доступа к информационным системам и персональным данным;
• идентификацию и аутентификацию пользователей информационных систем;
• использование защищенного соединения при передаче данных через Сайт;
• резервное копирование и меры по восстановлению работоспособности информационных систем;
• обновление программного обеспечения и устранение известных уязвимостей;
• ведение журналов событий и контроль действий в информационных системах в необходимом объеме;
• защиту учетных записей и административного доступа;
• антивирусную защиту, сетевую фильтрацию и иные средства защиты информации по мере необходимости;
• регламентацию доступа работников и привлеченных лиц к персональным данным;
• договорные требования к лицам, обрабатывающим персональные данные по поручению Оператора;
• периодический контроль соблюдения требований законодательства и внутренних процедур.

15.3. Оператор назначает лицо, ответственное за организацию обработки персональных данных, и обеспечивает принятие внутренних документов, необходимых для соблюдения требований законодательства.

16. Действия при инцидентах с персональными данными

16.1. При выявлении неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным Оператор принимает меры по прекращению нарушения, ограничению возможного вреда и устранению его последствий.

16.2. В случаях, установленных законодательством Российской Федерации, Оператор уведомляет Роскомнадзор о соответствующем инциденте и результатах внутреннего расследования в установленные законом сроки.

16.3. Оператор обеспечивает документирование инцидента, устанавливает его причины и принимает корректирующие меры, направленные на предотвращение аналогичных случаев.

17. Уведомление Роскомнадзора и соблюдение требований законодательства

17.1. До начала обработки персональных данных и в иных предусмотренных законом случаях Оператор обеспечивает направление в Роскомнадзор необходимых уведомлений и поддерживает сведения об обработке персональных данных в актуальном состоянии.

17.2. При изменении целей обработки, состава данных, используемых информационных систем, лиц, осуществляющих обработку по поручению, мест нахождения баз данных или иных сведений, подлежащих сообщению уполномоченному органу, Оператор принимает меры по своевременному обновлению соответствующей информации.

17.3. Трансграничная передача персональных данных до выполнения предусмотренных законодательством предварительных процедур не осуществляется.

18. Заключительные положения

18.1. Оператор вправе изменять настоящую Политику при изменении законодательства, состава используемых сервисов, способов обработки персональных данных или бизнес-процессов.

18.2. Новая редакция Политики вступает в силу с момента ее размещения на Сайте, если в новой редакции не указан иной срок.

18.3. Пользователям рекомендуется периодически проверять актуальную редакцию Политики. Существенные изменения, затрагивающие права субъектов или условия обработки, доводятся до сведения пользователей доступным способом.

18.4. Если Оператор планирует подключение иностранного аналитического, рекламного, CRM, коммуникационного или иного сервиса, который предполагает передачу персональных данных за пределы Российской Федерации, соответствующая обработка начинается только после выполнения применимых требований законодательства и внесения необходимых изменений в настоящую Политику.

19. Реквизиты Оператора