1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иными нормативными правовыми актами Российской Федерации.
1.2. Оператором персональных данных является:
Федеральное государственное бюджетное учреждение культуры «Всероссийское музейное объединение «Государственная Третьяковская галерея» (далее — Оператор, Галерея, Третьяковская галерея).
ОГРН: 1027739407079
ИНН: 7706032800
КПП: 770601001
Место нахождения: 119017, г. Москва, пер. Лаврушинский, д. 10
Сайт интернет-магазина: https://shop.tretyakovgallery.ru
Email: tretyakov@tretyakov.ru
Телефон: +7 (495) 957-07-00
1.3. Настоящая Политика регулирует отношения, возникающие между Оператором и пользователями сайта интернет-магазина (далее — Пользователь, Субъект персональных данных) в части обработки персональных данных.
1.4. Основные термины:
Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу;
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Cookie — небольшой фрагмент данных, отправленный веб-сервером и хранимый на устройстве пользователя;
CDР-система (Customer Data Platform) — платформа управления данными клиентов, используемая для сбора, хранения и анализа информации о взаимодействиях клиентов с Оператором;
Рекомендательные технологии — информационные технологии, направленные на формирование для пользователя персональных рекомендаций товаров, услуг или информации на основе анализа его поведения и предпочтений.
1.5. Использование Пользователем сайта интернет-магазина означает согласие с настоящей Политикой и условиями обработки персональных данных Пользователя.
1.6. В случае несогласия Пользователя с условиями настоящей Политики использование сайта интернет-магазина должно быть прекращено.
1.7. Оператор не проверяет достоверность персональных данных, предоставляемых Пользователем. Оператор исходит из того, что Пользователь предоставляет достоверные и достаточные персональные данные, а также поддерживает такие данные в актуальном состоянии.
2. СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Оператор обрабатывает следующие категории персональных данных Пользователей:
2.1.1. Данные, предоставляемые Пользователем самостоятельно:
Фамилия, имя, отчество;
Дата рождения;
Адрес электронной почты;
Номер контактного телефона;
Адрес доставки (фактический адрес);
Сведения о факте оплаты заказа (платёжные данные обрабатываются платёжным провайдером);
История заказов и покупок;
Предпочтения по товарам и категориям.
2.1.2. Данные, автоматически собираемые при использовании сайта:
ІР-адрес;
Информация из cookie;
Информация о браузере пользователя (или иной программе, с помощью которой осуществляется доступ к сайту);
Время доступа к сайту;
Адреса запрашиваемых страниц;
Поисковые запросы Пользователя;
Данные о поведении на сайте (просмотры, клики, время пребывания на страницах);
Веб-отметки.
2.1.3. Данные, формируемые в результате обработки:
Номер заказа;
История обращений в ИИ-ассистента (логи диалогов);
Профиль клиента в CDР-системе (сегментация, предпочтения, поведенческие паттерны).
2.2. В случаях, предусмотренных законодательством Российской Федерации, данные, собираемые посредством cookie, ІР-адреса и онлайн-идентификаторы могут рассматриваться как персональные данные и обрабатываться в соответствии с настоящей Политикой.
2.3. Оператор не обрабатывает специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных законодательством Российской Федерации.
2.4. Оператор не обрабатывает биометрические персональные данные (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность), за исключением случаев, когда такая обработка необходима в связи с использованием законодательства Российской Федерации.
3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Оператор обрабатывает персональные данные Пользователей исключительно для достижения следующих конкретных, заранее определенных и законных целей:
Цель обработки | Категории персональных данных | Действия с персональными данными | Правовое основание | Срок обработки |
|---|---|---|---|---|
Исполнение договора купли-продажи, оформление и доставка заказов | ФИО, адрес электронной почты, номер телефона, адрес доставки, сведения о заказе, сведения о факте оплаты | Сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (службам доставки и платежным организациям), удаление, уничтожение | Исполнение договора, законный интерес Оператора либо согласие субъекта (при необходимости) | В течение срока, необходимого для рассмотрения обращения, но не более срока, установленного разделом 9 Политики |
Направление информационных и рекламных сообщений | ФИО, адрес электронной почты, номер телефона | Сбор, хранение, использование, передача сервисам рассылок, удаление | Согласие субъекта персональных данных | До отзыва согласия |
Анализ поведения пользователей, персонализация предложений и применение рекомендательных технологий | Cookie, IP-адрес, сведения о браузере, история просмотров, история покупок, предпочтения пользователя | Сбор, запись, систематизация, анализ, обезличивание, использование, удаление | Согласие субъекта персональных данных, если оно требуется законодательством РФ | До достижения целей обработки либо до отзыва согласия |
Ведение бухгалтерского и налогового учета | ФИО, сведения о заказах и оплате | Сбор, хранение, использование, передача государственным органам в случаях, предусмотренных законодательством | Требования законодательства РФ | В сроки, установленные законодательством РФ |
3.2. Оператор не осуществляет обработку персональных данных, несовместимую с целями сбора персональных данных.
3.3. Оператор не осуществляет объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
4. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Обработка персональных данных осуществляется Оператором на следующих правовых основаниях:
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Гражданский кодекс Российской Федерации;
Налоговый кодекс Российской Федерации;
Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»;
Федеральный закон от 07.02.1992 № 2300-1 «О защите прав потребителей»;
Устав Оператора;
Согласие субъекта персональных данных на обработку его персональных данных (для целей, требующих согласия);
Договор, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (для целей исполнения договора);
Осуществление прав и законных интересов Оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта персональных данных.
5. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Обработка персональных данных осуществляется Оператором с использованием средств автоматизации (автоматизированная обработка), а также без использования таких средств (неавтоматизированная обработка).
5.2. Обработка персональных данных осуществляется следующими способами:
Сбор;
Запись;
Систематизация;
Накопление;
Хранение;
Уточнение (обновление, изменение);
Извлечение;
Использование;
Передача (предоставление, доступ);
Обезличивание;
Блокирование;
Удаление;
Уничтожение.
5.3. Обработка персональных данных осуществляется как по территории Российской Федерации, так и с передачей по информационно-телекоммуникационным сетям (сети Интернет).
5.4. Локализация баз данных: все базы данных, содержащие персональные данные субъектов, размещены исключительно на территории Российской Федерации в соответствии с требованиями п. 5 ст. 18 Федерального закона «О персональных данных».
5.5. Оператор осуществляет обработку персональных данных пользователей Интернет-магазина только в целях, указанных в разделе з настоящей Политики.
5.6. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.
6. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Трансграничная передача персональных данных не осуществляется.
6.2. Все используемые сервисы и информационные системы размещаются на территории Российской Федерации либо обрабатывают данные в соответствии с требованиями законодательства Российской Федерации.
7. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
7.1. Оператор вправе передавать персональные данные третьим лицам в следующих случаях:
7.1.1. С согласия субъекта персональных данных:
Сервисам рассылок для направления информационных и рекламных сообщений;
CDР-системе для профилирования клиентов и персонализации предложений;
Поставщикам рекомендательных технологий.
7.1.2. Без согласия субъекта персональных данных, если передача предусмотрена законодательством Российской Федерации:
Уполномоченным органам государственной власти по их законным запросам;
В рамках исполнения договоров, стороной которых является субъект персональных данных.
7.1.3. В рамках исполнения договоров купли-продажи:
Службам доставки — для доставки заказов (фамилия, имя, отчество, адрес доставки, номер контактного телефона);
Платёжным системам и банкам-эквайерам — для обработки платежей (сведения о факте оплаты);
Курьерским службам — для вручения заказов;
Операторам связи — для осуществления сервисного СМС-информирования о статусе заказов.
7.2. Обработка персональных данных может осуществляться лицами, действующими по поручению Оператора в соответствии со ст. б Федерального закона № 152-ФЗ «О персональных данных».
7.3. Актуальный перечень лиц, осуществляющих обработку персональных данных по поручению Оператора, публикуется на странице: https://shop.tretyakovgallery.ru/legal/processors
7.4. При передаче персональных данных третьим лицам Оператор обязывает таких лиц соблюдать конфиденциальность персональных данных, обеспечивать безопасность персональных данных при их обработке, а также осуществлять обработку персональных данных исключительно в целях и на условиях, указанных в поручении оператора.
7.5. Персональные данные не могут передаваться третьим лицам для маркетинговых, коммерческих или иных аналогичных целей без предварительного согласия субъекта персональных данных.
8. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Субъект персональных данных имеет право:
8.1.1. На получение информации:
Получать информацию, касающуюся обработки его персональных данных, за исключением случаев, когда наличие такого права ограничено в соответствии с федеральными законами;
Получать информацию о месте нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные;
Получать информацию об обрабатываемых персональных данных, источниках их получения, целях обработки, сроках обработки.
8.1.2. На уточнение и блокирование:
Требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
Требовать от Оператора извещения всех лиц, которым ранее были сообщены его неверные или неполные персональные данные, обо всех произведённых в них изменениях.
8.1.3. На отзыв согласия:
Отозвать своё согласие на обработку персональных данных в порядке, установленном настоящей Политикой и законодательством Российской Федерации.
8.1.4. На отказ от рекомендательных технологий:
В любой момент отказаться от использования его персональных данных для формирования персональных рекомендаций в порядке, установленном разделом 11 настоящей Политики.
8.1.5. На защиту прав:
Обращаться в уполномоченный орган по защите прав субъектов персональных (Роскомнадзор) или в судебном порядке для защиты своих прав;
На возмещение убытков и или компенсацию морального вреда в судебном порядке. данных
8.2. Для реализации своих прав субъект персональных данных вправе направить Оператору письменный запрос по адресу электронной почты: tretyakov@tretyakov.ru или почтовым отправлением по адресу: 119017, г. Москва, пер. Лаврушинский, д. 10.
8.3. Оператор обязан рассмотреть запрос субъекта персональных данных и предоставить ответ в течение 30 календарных дней с даты получения запроса.
9. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Обработка персональных данных осуществляется Оператором в течение сроков, необходимых для достижения целей обработки, указанных в разделе 3 настоящей Политики, если федеральным законом не установлены иные сроки хранения.
9.2. Сроки хранения персональных данных:
9.2.1. Для целей исполнения договоров купли-продажи:
Персональные данные, необходимые для исполнения договора: до полного исполнения обязательств по договору;
Данные для целей бухгалтерского и налогового учёта: 5 лет в соответствии с Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
Данные для целей защиты прав: З года (срок исковой давности).
9.2.2. Для целей консультирования через ИИ-ассистента:
Логи диалогов: 1 год с момента последнего обращения. Логи не используются для обучения моделей ИИ и не передаются третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации.
9.2.3. Для целей информационных и рекламных рассылок (включая СМС):
Персональные данные подписчиков: до момента отзыва согласия субъекта;
При отписке от рассылки: удаление в течение 30 дней.
9.2.4. Для целей профилирования клиентов (CDР-система):
Профили клиентов: 3 года с момента последнего взаимодействия;
При отсутствии активности: автоматическое удаление или обезличивание.
9.3. Хранение персональных данных осуществляется согласно Федеральному закону от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» и иным нормативно-правовым актам в области архивного дела и архивного хранения.
9.4. По достижении целей обработки или в случае утраты необходимости в достижении этих целей персональные данные подлежат уничтожению или обезличиванию, если иное не установлено законодательством Российской Федерации.
10. УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Оператор обязан уничтожить или обеспечить уничтожение персональных данных в следующих случаях и сроки:
10.1.1. В случае выявления неправомерной обработки персональных данных — в течение 30 календарных дней с даты выявления неправомерной обработки.
10.1.2. По достижении целей обработки персональных данных — в срок, не превышающий 30 календарных дней с даты достижения цели обработки, если иное не предусмотрено договором или законодательством.
10.1.3. В случае отзыва субъектом персональных данных согласия на обработку персональных данных — в срок, не превышающий 30 календарных дней с даты поступления указанного отзыва, если иное не предусмотрено договором или законодательством.
10.1.4. В случае обращения субъекта персональных данных с требованием о прекращении обработки персональных данных — в срок, не превышающий 30 календарных дней с даты получения соответствующего требования.
10.2. Уничтожение персональных данных осуществляется способом, исключающим возможность восстановления данных.
11. МЕРЫ БЕЗОПАСНОСТИ
11.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ними третьих лиц.
11.2. Меры по обеспечению безопасности персональных данных при их обработке включают:
Назначение ответственного за организацию обработки персональных данных (назначается приказом Оператора);
Издание документов, определяющих политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных;
Применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
Обеспечение раздельного хранения персональных данных, обрабатываемых в разных целях;
Контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищённости информационных систем персональных данных;
Ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных;
Применение средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации;
Разграничение доступа пользователей к персональным данным в информационных системах;
Регистрация и учёт действий пользователей информационных систем персональных данных;
Резервное копирование персональных данных;
Антивирусная защита и защита от несанкционированного доступа.
11.3. Несмотря на принимаемые меры защиты, передача данных через сеть Интернет не может гарантировать абсолютную безопасность.
12. ИСПОЛЬЗОВАНИЕ COOKІЕ, АВTОМАТИЗИРОВАННАЯ ОБРАБОТКА И РЕКОМЕНДАТЕЛЬНЫЕ ТЕХНОЛОГИИ
12.1. Использование cookie:
12.1.1. Оператор использует файлы cookie для обеспечения корректной работы сайта интернет-магазина, улучшения пользовательского опыта, анализа трафика и персонализации контента.
12.1.2. Виды используемых cookie:
Технические (необходимые) - обеспечивают базовую функциональность сайта (авторизация, корзина, оформление заказа);
Аналитические - собирают информацию о том, как Пользователи используют сайт; Функциональные - запоминают предпочтения Пользователя (язык, регион, настройки отображения);
Маркетинговые - используются для показа релевантной рекламы и анализа эффективности рекламных кампаний.
12.1.3. Пользователь может в любое время отключить использование cookie в настройках своего браузера. Однако это может повлиять на функциональность сайта.
12.1.4. Согласие на использование соokie предоставляется Пользователем через баннер при первом посещении сайта.
12.1.5. Подробная информация о cookie размещена в Политике использования cookie:
https://shop.tretyakovgallery.ru/legal/cookies
12.2. Автоматизированная обработка персональных данных:
12.2.1. Оператор осуществляет автоматизированную обработку персональных данных с использованием следующих информационных систем и сервисов:
ИИ-ассистент — для консультирования Пользователей, проверки статусов заказов. ИИ-ассистент обрабатывает запросы Пользователей в автоматическом режиме, используя технологии искусственного интеллекта. При необходимости Пользователь может быть переключен на оператора службы поддержки;
CDР-система (Customer Data Platform) — для профилирования клиентов, сегментации аудитории и персонализации предложений;
Сервисы рассылок — для автоматизированной отправки информационных и рекламных сообщений (email и СМС);
Сервисы СМС-информирования — для отправки сервисных сообщений о статусе заказов;
Системы аналитики — для анализа поведения Пользователей на сайте и оптимизации пользовательского опыта.
2.2.2. Оператор не принимает решения, порождающие юриридические последствия в отношении субъекта персональных данных или иным образом затрагивающие его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.
12.2.3. Ответы ИИ-ассистента носят информационный характер и не являются ююридически значимыми действиями Оператора.
12.3. Рекомендательные технологии:
12.3.1. Оператор использует рекомендательные технологии для формирования индивидуальных предложений товаров и услуг на основе анализа поведения Пользователей на сайте, истории покупок и предпочтений.
12.3.2. Пользователь уведомлён о факте применения рекомендательных технологий.
12.3.3. Персональные рекомендации не оказывают существенного влияния на права и законные интересы Пользователя.
12.3.4. Пользователь вправе в любой момент отказаться от использования его персональных данных для формирования персональных рекомендаций способами, указанными на специальной странице сайта: https://shop.tretyakovgallery.ru/legal/recommendations
13. ИЗМЕНЕНИЕ ПОЛИТИКИ
13.1. Оператор имеет право вносить изменения в настоящую Политику.
13.2. Новая редакция Политики вступает в силу с момента её размещения на сайте интернет-магазина, если иное не предусмотрено новой редакцией Политики.
13.3. Действующая редакция Политики постоянно доступна на сайте интернет-магазина по адресу: https://shop.tretyakovgallery.ru/legal/privacy
14. КОНТАКТНАЯ ИНФОРМАЦИЯ
14.1. Все вопросы, связанные с обработкой персональных данных, можно направлять Оператору по следующим контактам:
Адрес: 119017, г. Москва, пер. Лаврушинский, д. 10
Email: tretyakov@tretyakov.ru