Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые ИП Голованенко Анной Владимировной (ОГРНИП 314231124000021, ИНН 230201461334) (далее — Оператор).

1.2. Оператор уведомил Роскомнадзор о начале обработки персональных данных в соответствии с требованиями статьи 22 Закона о персональных данных. Уведомление подано 29.05.2025 и зарегистрировано в реестре операторов персональных данных Роскомнадзора под номером 23-25-152540.

1.3. Оператор обязуется обеспечивать конфиденциальность персональных данных в соответствии с законодательством РФ и настоящей Политикой.

1.4. Настоящая Политика применяется ко всей информации, которую Оператор может получить о пользователях сайта togs.ru (далее — Сайт), в том числе при оформлении заказов, регистрации в личном кабинете, подписке на рассылку и иных взаимодействиях.

2. Основные понятия

2.1. В настоящей Политике используются следующие понятия:

2.1.1. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

2.1.2. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

2.1.3. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.1.4. Обезличивание персональных данных — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному Пользователю или иному субъекту персональных данных.

2.1.5. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.1.6. Оператор — юридическое лицо, организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

2.1.7. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому Пользователю Сайта.

2.1.8. Пользователь — любое физическое лицо или представитель юридического лица/ИП, взаимодействующее с Сайтом, оформляющее заказ или регистрирующееся в личном кабинете.

2.1.9. Согласие на обработку персональных данных — свободно данное, конкретное, информированное и однозначное выражение воли субъекта данных, посредством которого он соглашается на обработку своих персональных данных.

2.1.10. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3. Категории субъектов персональных данных, цели обработки, обрабатываемые данные, правовые основания и виды обработки

3.1. Для зарегистрированных пользователей Сайта

3.1.1. Цель обработки: идентификация пользователя в личном кабинете, предоставление персонализированных услуг, связь с Пользователем для подтверждения заказов и информирования о статусе услуг.

3.1.2. Обрабатываемые персональные данные: ФИО, номер телефона, e-mail, адрес доставки, история заказов, данные для пошива (мерки, предпочтения по дизайну и материалам), технические данные (IP-адрес в обезличенном виде, cookie, информация об устройстве).

3.1.3. Правовые основания: исполнение договора (регистрация на Сайте), согласие субъекта на обработку данных для рассылок и аналитики, выполнение требований законодательства РФ.

3.1.4. Виды обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (в т. ч. третьим лицам), обезличивание (для аналитики), блокирование, удаление, уничтожение.

3.1.5. Способ обработки: смешанная, по электронным каналам связи с использованием сети Интернет.

3.2. Для незарегистрированных пользователей Сайта

3.2.1. Цель обработки: анализ поведения пользователей для улучшения пользовательского опыта, оценка эффективности сайта и оптимизация сервисов, проведение аналитики.

3.2.2. Обрабатываемые персональные данные: технические данные (IP-адрес в обезличенном виде, cookie, информация об устройстве, геолокация на уровне региона/города, сведения о действиях на сайте).

3.2.3. Правовые основания: согласие субъекта на обработку данных (при наличии), выполнение требований законодательства РФ, законный интерес Оператора в улучшении работы Сайта.

3.2.4. Виды обработки: сбор, систематизация, хранение, обезличивание, использование для аналитики, удаление.

3.2.5. Способ обработки: автоматизированная, по электронным каналам связи.

3.3. Для клиентов — физических лиц, заказывающих пошив одежды или униформы

3.3.1. Цель обработки: исполнение договора купли-продажи/подряда на пошив одежды, связь с Пользователем для согласования деталей заказа, информирования о статусе изготовления и доставки, предоставление технической поддержки, проведение аналитики и улучшение качества услуг.

3.3.2. Обрабатываемые персональные данные: ФИО, пол, дата и место рождения, паспортные данные (серия, номер, кем и когда выдан), номер телефона, e-mail, адрес доставки, индивидуальные мерки (обхваты, длины и т. д.), выбранный размер из размерной сетки, предпочтения по дизайну и материалам, история заказов, состав заказа, выбранные материалы и фурнитура, спецификации, эскизы/фото для индивидуального дизайна, платёжные данные (не хранятся на сервере, передаются платёжному шлюзу), технические данные.

3.3.3. Правовые основания: исполнение договора, стороной которого является субъект персональных данных, согласие субъекта на обработку данных для рассылок, выполнение требований налогового и бухгалтерского законодательства РФ.

3.3.4. Виды обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (в т. ч. службам доставки, платёжным системам), обезличивание (для аналитики), блокирование, удаление, уничтожение.

3.3.5. Способ обработки: смешанная, по электронным каналам связи с использованием сети Интернет.

3.4. Для представителей юридических лиц и ИП, заключающих договоры на изготовление продукции

3.4.1. Цель обработки: заключение и исполнение договоров на изготовление продукции, ведение бухгалтерского и налогового учёта, взаимодействие с представителями заказчика, доставка заказа, проведение внутренней аналитики.

3.4.2. Обрабатываемые персональные данные: наименование организации, ИНН/КПП, ОГРН/ОГРНИП, юридический адрес, банковские реквизиты, контакты ответственных лиц, данные подписантов договоров, история заказов и спецификаций, данные для пошива продукции, технические данные об использовании сайта.

3.4.3. Правовые основания: исполнение гражданско-правового договора, выполнение требований законодательства РФ (налоговое, бухгалтерское).

3.4.4. Виды обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

3.4.5. Способ обработки: смешанная, по электронным каналам связи с использованием сети Интернет.

4. Сроки хранения персональных данных

4.1. Персональные данные хранятся в течение срока, необходимого для достижения целей обработки, с учётом требований законодательства РФ.

4.2. Конкретные сроки хранения:

4.2.1. Для данных, обрабатываемых в рамках исполнения договоров (включая историю заказов, данные для пошива, контактные данные клиентов), — в течение срока действия договора и 5 лет после его исполнения.

4.2.2. Для данных, используемых для рассылок (e-mail, телефон), — до момента отзыва согласия субъектом персональных данных.

4.2.3. Технические данные (IP-адрес в обезличенном виде, cookie, информация об устройстве, геолокация на уровне региона/города, сведения о действиях на сайте) хранятся не более 5 лет с момента сбора для целей анализа поведения пользователей и оптимизации Сайта. По истечении указанного срока данные автоматически обезличиваются и могут использоваться для общей аналитики без ограничения срока, при условии невозможности идентификации конкретного субъекта персональных данных.

4.2.4. Данные, переданные в Яндекс Метрику, хранятся в соответствии с политикой конфиденциальности Яндекса.

4.2.5. Платёжные данные (номер карты, срок действия, CVV) не хранятся на серверах Оператора — передаются платёжному шлюзу и удаляются сразу после подтверждения оплаты.

4.2.6. Персональные данные, собранные для целей, не связанных с договором (например, для аналитики), хранятся до достижения цели обработки или отзыва согласия, если иное не предусмотрено законом.

5. Порядок уничтожения персональных данных

5.1. Уничтожение персональных данных производится в следующих случаях:

5.1.1. По истечении сроков хранения, установленных настоящей Политикой и законодательством РФ.

5.1.2. По запросу субъекта персональных данных (в рамках его прав, предусмотренных ст. 14–16 Закона о персональных данных).

5.1.3. При достижении целей обработки.

5.1.4. При выявлении неправомерной обработки персональных данных.

5.1.5. При отзыве согласия субъекта, если отсутствуют иные правовые основания для обработки.

5.2. Способы уничтожения:

5.2.1. Для электронных данных — безвозвратное удаление из баз данных и всех резервных копий с предотвращением возможности восстановления.

5.2.2. Для бумажных носителей — механическое уничтожение (шредирование, сжигание) с составлением акта об уничтожении.

5.3. Акт об уничтожении персональных данных составляется по установленной Оператором форме и содержит: дату и место составления; ФИО и должность лица, ответственного за уничтожение; перечень уничтожаемых данных; способ уничтожения; подписи ответственных лиц.

6. Меры защиты персональных данных

6.1. Организационные меры

6.1.1. Назначение ответственного за организацию обработки персональных данных (ФИО, должность).

6.1.2. Ограничение доступа к персональным данным внутри системы Оператора: разграничение прав доступа сотрудников в зависимости от их должностных обязанностей.

6.1.3. Обучение сотрудников, имеющих доступ к персональным данным, правилам работы с персональными данными и требованиям законодательства.

6.1.4. Контроль за действиями обработчиков и партнёров, которым передаются персональные данные.

6.1.5. Разработка и внедрение внутренних регламентов по обработке и защите персональных данных.

6.2. Технические меры

6.2.1. Использование сертифицированных средств защиты информации.

6.2.2. Применение защищённых каналов передачи данных (HTTPS, SSL/TLS, API с аутентификацией).

6.2.3. Регулярное обновление паролей и средств аутентификации, использование двухфакторной аутентификации для административных учётных записей.

6.2.4. Антивирусная защита, межсетевое экранирование.

6.2.5. Регулярное резервное копирование данных с обеспечением их сохранности.

6.2.6. Протоколирование действий с персональными данными (журналирование).

6.2.7. Обеспечение защиты от несанкционированного доступа, утечки, уничтожения, изменения, блокирования, копирования и распространения персональных данных.

6.2.8. Хранение баз данных на серверах, расположенных на территории РФ.

6.3. Реагирование на инциденты, связанные с утечкой персональных данных

6.3.1. При выявлении факта неправомерной или случайной передачи персональных данных (утечки) Оператор обязан: уведомить Роскомнадзор через Портал персональных данных в течение 24 часов с момента выявления инцидента; провести внутреннее расследование и предоставить в Роскомнадзор отчёт о результатах в течение 72 часов; при необходимости уведомить затронутых субъектов персональных данных о факте утечки и принятых мерах.

6.3.2. Порядок действий сотрудников при обнаружении утечки закреплён во внутреннем регламенте Оператора.

7. Передача персональных данных третьим лицам

7.1. Передача осуществляется только в случаях, предусмотренных законодательством РФ, либо при наличии согласия субъекта персональных данных.

7.2. Категории получателей и передаваемые данные:

7.2.1. Транспортные компании — ФИО, номер телефона, адрес доставки (исключительно для выполнения доставки заказа).

7.2.2. Платёжные системы — данные, необходимые для проведения оплаты (не хранятся на сервере Оператора).

7.2.3. Яндекс Метрика — технические данные в обезличенном виде (IP-адрес с маскировкой последних октетов, cookie, информация об устройстве, геолокация на уровне региона/города, сведения о действиях на сайте).

7.2.4. Государственные органы — в случаях, предусмотренных законодательством РФ (налоговые органы, правоохранительные органы и т. д.).

7.3. Условия передачи:

7.3.1. Заключение с получателем данных договора, содержащего обязательства по обеспечению конфиденциальности и безопасности персональных данных.

7.3.2. Проверка соответствия мер защиты данных у получателя требованиям законодательства РФ.

7.3.3. Уведомление субъекта персональных данных о передаче его данных (если это не противоречит закону).

7.4. Трансграничная передача персональных данных не осуществляется.

8. Порядок отзыва согласия на обработку персональных данных

8.1. Субъект персональных данных вправе в любое время отозвать своё согласие на обработку персональных данных без объяснения причин (ч. 2 ст. 9 Закона о персональных данных).

8.2. Способ отзыва:

8.2.1. Направление письменного заявления на e-mail hello@togs.pro с темой «Отзыв согласия на обработку персональных данных».

8.2.2. Через форму обратной связи в личном кабинете на Сайте.

8.3. Заявление должно содержать: ФИО субъекта персональных данных; контактные данные (номер телефона, e-mail или почтовый адрес); паспортные данные (для физических лиц); реквизиты ранее выданного согласия (при наличии); чёткое указание на намерение отозвать согласие.

8.4. Оператор обязан:

8.4.1. Прекратить обработку персональных данных в течение 30 календарных дней с даты получения заявления (ч. 5 ст. 21 Закона о персональных данных).

8.4.2. Обеспечить прекращение обработки и уничтожение данных лицом, обрабатывающим данные по поручению Оператора.

8.4.3. Уведомить субъекта персональных данных о результатах рассмотрения заявления в течение 30 дней (факт прекращения обработки либо основания для продолжения обработки с указанием нормы закона).

8.4.4. Уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий 30 дней с даты получения отзыва (если иное не предусмотрено договором или законом).

9. Ответственный за организацию обработки персональных данных

9.1. Ответственным за организацию обработки персональных данных является: ИП Голованенко Анна Владимировна (ОГРНИП 314231124000021, ИНН 230201461334).

9.2. Контакты ответственного лица: e-mail: hello@togs.pro; телефон: +7 (989) 813-50-50.

10. Изменения в Политике обработки персональных данных

10.1. Оператор вправе вносить изменения в настоящую Политику.

10.2. Новая редакция Политики размещается на Сайте togs.ru с указанием даты внесения изменений.

10.3. Субъекты персональных данных самостоятельно осуществляют отслеживание изменения настоящего документа.

11. Заключительные положения

11.1. Настоящая Политика вступает в силу с момента её публикации на Сайте и действует бессрочно.

11.2. Вопросы, не урегулированные настоящей Политикой, подлежат разрешению в соответствии с законодательством РФ.

11.3. Споры, возникающие в связи с обработкой персональных данных, разрешаются в порядке, установленном законодательством РФ.