Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных на сайте xcar.ru и в личном кабинете, а также сведения о мерах их защиты. Политика составлена во исполнение части 2 статьи 18.1 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» и действует в отношении всех данных, которые Оператор получает через сайт.

Персональные данные — любые сведения, относящиеся к определённому или определяемому физическому лицу. Обработка — любое действие с такими сведениями: сбор, запись, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление и уничтожение. Субъект — человек, к которому эти сведения относятся. Оператор — тот, кто определяет цели и состав обрабатываемых данных и совершает с ними эти действия.

Политика открыта всем и размещена по постоянному адресу xcar.ru/politika. Действующей считается редакция, размещённая по этому адресу.

2. Оператор и связь с ним

Оператор персональных данных — индивидуальный предприниматель Гуров Дмитрий Александрович, ОГРНИП 325665800244712, которому принадлежит сайт xcar.ru.

Любое обращение по обработке персональных данных — запрос сведений, требование уточнить, заблокировать или удалить данные, отзыв согласия — направляется на адрес dev@dgurov.com. По этому же адресу принимает обращения лицо, ответственное за организацию обработки персональных данных.

3. Принципы и правовые основания обработки

Оператор обрабатывает персональные данные законно и на справедливой основе, только для заявленных здесь целей и в объёме, который этим целям соответствует. Данные, собранные для одной цели, не используются для целей, с ней несовместимых; избыточные данные не собираются, а данные, надобность в которых отпала, уничтожаются.

Правовые основания обработки:

• согласие субъекта на обработку его персональных данных — пункт 1 части 1 статьи 6 Закона № 152-ФЗ;
• исполнение договора, стороной которого является субъект, и совершение действий по его просьбе до заключения договора — пункт 5 части 1 статьи 6;
• достижение законных интересов Оператора, если этим не нарушаются права и свободы субъекта, — пункт 7 части 1 статьи 6: защита сайта от автоматических регистраций и злоупотреблений, разбор спорных ситуаций по сделкам;
• исполнение обязанностей, возложенных на Оператора законом, включая Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Текст согласия, которое субъект даёт при регистрации и при обращении через сайт, размещён отдельным документом: Согласие на обработку персональных данных.

4. Категории субъектов персональных данных

• посетители сайта, не заводившие учётной записи;
• зарегистрированные покупатели — владельцы учётной записи и участники сделок;
• авторы обращений, отправленных через форму на странице контактов.

Оператор не собирает персональные данные лиц младше восемнадцати лет. Учётная запись заводится для деловых отношений, и заводить её вправе только совершеннолетний.

5. Состав обрабатываемых данных

При регистрации субъект сообщает фамилию и имя, номер телефона, адрес электронной почты и город. Пароль сохраняется в виде необратимого криптографического преобразования — самого пароля Оператор не знает и восстановить его не может.

В личном кабинете субъект по своему усмотрению дополняет профиль отчеством, родом занятий и изображением профиля, а также указывает отдельный адрес почты для уведомлений и выбирает, о чём его извещать. Если субъект привязал к учётной записи Telegram, сохраняется его идентификатор в этом сервисе.

В ходе пользования сайтом сохраняются: содержание переписки в чатах и обращений, отправленных через форму контактов, приложенные к ним файлы, документы, загруженные субъектом по этапам сделки, отметки интереса к автомобилям, отложенные предложения и названные субъектом цены.

Технически фиксируются IP-адрес и время регистрации, а также время последнего входа. Эти сведения нужны, чтобы отличить человека от автоматической регистрации и восстановить обстоятельства спорного действия.

Оператор не обрабатывает специальные категории персональных данных — сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья и интимной жизни, — а также биометрические персональные данные. Решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки не принимаются.

6. Цели обработки

• заведение и ведение учётной записи, вход на сайт и восстановление доступа;
• связь с субъектом по его заявке, обращению или сделке;
• ведение переписки, подготовка и сопровождение сделки, оформление и хранение относящихся к ней документов;
• извещение о событиях, на которые субъект подписан, и о ходе его сделок;
• защита сайта от автоматических регистраций, перебора паролей и иных злоупотреблений;
• исполнение обязанностей, возложенных на Оператора законом, и разрешение споров.

Рассылок рекламного характера Оператор не ведёт. Письма приходят только по подпискам, которые субъект включил сам, и по его сделкам.

7. Порядок и условия обработки

Обработка ведётся с использованием средств автоматизации и без таковых и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление и уничтожение данных.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации, — как того требует часть 5 статьи 18 Закона № 152-ФЗ.

К обработке по поручению Оператора привлекаются поставщик услуг размещения оборудования и данных и служба доставки электронной почты. Такие лица обрабатывают данные только по указанию Оператора, в объёме, необходимом для поручения, и обязаны соблюдать конфиденциальность и требования к защите данных. Иным третьим лицам персональные данные не передаются и не раскрываются, за исключением случаев, прямо предусмотренных законом. Данные не передаются в рекламных целях, не продаются и не предоставляются для формирования сторонних рекламных аудиторий.

Трансграничная передача персональных данных не осуществляется.

8. Файлы cookie и технические сведения

Сайт сохраняет в браузере технические файлы cookie, без которых он не работает: идентификатор сессии, защитный токен формы, токен подписки на живые обновления каталога и уведомлений, а также выбранное оформление — светлое или тёмное.

Счётчиков посещаемости, рекламных пикселей, сторонних систем аналитики и подмены телефонных номеров на сайте нет. Поведение субъекта на сайте не передаётся сторонним сервисам.

Технические файлы cookie можно запретить средствами браузера, но тогда вход на сайт и работа личного кабинета станут невозможны.

9. Сроки хранения и уничтожение

• данные учётной записи и профиля — пока учётная запись существует;
• переписка, документы и сведения о сделках — три года с завершения последней сделки: этот срок отвечает общему сроку исковой давности и нужен на случай спора;
• обращения через форму контактов от лиц без учётной записи — три года с даты обращения;
• записи о данных согласиях — до отзыва согласия и три года после него;
• сведения, которые Оператор обязан хранить по закону, — в течение установленного законом срока.

По достижении цели обработки, при отзыве согласия или по требованию субъекта данные удаляются или обезличиваются в срок, не превышающий тридцати дней, кроме тех, хранение которых предписано законом. Резервные копии обновляются по своему расписанию, и удалённые данные исчезают из них в пределах того же срока.

10. Меры защиты

Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного доступа, уничтожения, изменения, копирования и распространения:

• назначено лицо, ответственное за организацию обработки персональных данных;
• доступ сотрудников к данным разграничен ролями и открывается только в объёме, нужном для работы;
• обмен данными между браузером и сайтом идёт по защищённому соединению;
• пароли хранятся в виде необратимого криптографического преобразования;
• файлы, приложенные к переписке и сделкам, лежат в закрытом хранилище и выдаются только участникам;
• ведётся резервное копирование, доступ к оборудованию ограничен;
• внутренние документы, определяющие порядок обработки, поддерживаются в актуальном состоянии.

11. Права субъекта и порядок обращения

Субъект вправе получить сведения об обработке своих персональных данных, требовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели, а также отозвать согласие и обжаловать действия Оператора в Роскомнадзоре или в суде.

Обращение направляется на dev@dgurov.com. Чтобы Оператор мог убедиться, что обращается сам субъект, в письме указываются фамилия, имя и номер телефона либо адрес почты, на которые заведена учётная запись, и существо требования. Ответ даётся в течение десяти рабочих дней с даты обращения; этот срок может быть продлён не более чем на пять рабочих дней с уведомлением о причинах.

Отозвать согласие и удалить учётную запись можно тем же письмом. После отзыва Оператор прекращает обработку и уничтожает данные в срок, указанный в разделе 9; пользование сайтом при этом становится невозможным.

12. Изменение Политики

Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента размещения по адресу xcar.ru/politika, если в ней не указано иное. Дата действующей редакции стоит под заголовком.