Политика обработки персональных данных
Публичная редакция для размещения на сайте (/privacy). Не заменяет локальные акты Оператора и уведомление в Роскомнадзор. Актуализация сведений в реестре операторов ПДн (цели сайта/B2B) — отдельно.
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных (далее — ПДн) лиц, использующих сайт и B2B-кабинет SVA Flora (далее — Платформа), а также меры по защите ПДн.
1.2. Оператор персональных данных: индивидуальный предприниматель Сердюк Владимир Анатольевич (ИНН 235308747712, ОГРНИП 318237500096642), коммерческое обозначение SVA Flora Group (далее — Оператор).
1.3. Оператор внесён в реестр операторов, осуществляющих обработку персональных данных: регистрационный номер 77-25-265954 (уведомление от 28.05.2025, приказ Роскомнадзора № 283 от 18.06.2025). Сведения в реестре подлежат актуализации в части целей и условий обработки, связанных с Платформой.
1.4. Адрес для корреспонденции и посещения магазина: Российская Федерация, г. Москва, ул. Дорогобужская, д. 14, стр. 29.
1.5. Контакты Оператора: телефон +7 995 880-00-58; электронная почта main@svaflora.ru.
1.6. Запросы субъектов ПДн (доступ, уточнение, отзыв согласия, удаление и иные обращения по 152-ФЗ): исключительно doc@svaflora.ru.
1.7. Политика разработана в соответствии с:
- Конституцией Российской Федерации;
- Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ);
- Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- постановлениями Правительства РФ и иными подзаконными актами в сфере ПДн;
- разъяснениями и требованиями уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор).
1.8. Используя Платформу, направляя заявку на доступ, оформляя заказ или иным образом предоставляя ПДн Оператору, субъект ПДн подтверждает ознакомление с Политикой. Отдельные действия (регистрация, аналитические cookie, формы) сопровождаются получением согласия в объёме, предусмотренном настоящей Политикой и интерфейсом Платформы.
1.9. Политика применяется к обработке ПДн с использованием средств автоматизации и без таковых, если обработка без автоматизации соответствует характеру действий Оператора на Платформе.
1.10. Политика не регулирует отношения по обработке ПДн работников Оператора в рамках трудового учёта (кадры и бухгалтерия) — такие отношения определяются локальными актами Оператора. Публичная Политика касается Платформы и связанных с ней обращений.
2. Основные понятия
В Политике используются термины в значениях 152-ФЗ, в том числе:
- персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн);
- обработка персональных данных — любое действие (операция) или совокупность действий с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение;
- оператор — лицо, организующее и (или) осуществляющее обработку ПДн, а также определяющее цели и состав ПДн;
- субъект персональных данных — физическое лицо, к которому относятся ПДн;
- согласие субъекта — свободное, конкретное, информированное и сознательное волеизъявление;
- обезличивание — действия, в результате которых невозможно определить принадлежность ПДн конкретному субъекту без дополнительной информации.
3. Принципы обработки
Оператор обрабатывает ПДн на основе принципов:
- законности и справедливости;
- ограничения обработки заранее определёнными законными целями; недопустимости обработки, несовместимой с целями сбора;
- соответствия содержания и объёма ПДн заявленным целям (минимизация);
- точности, достаточности и актуальности ПДн;
- хранения не дольше, чем требуют цели обработки (если иной срок не установлен законом или договором);
- обеспечения безопасности ПДн при обработке.
Оператор не обрабатывает через Платформу специальные категории ПДн (в т.ч. о состоянии здоровья, биометрические ПДн для идентификации) и не имеет целью обработку ПДн несовершеннолетних.
4. Категории субъектов персональных данных
| № | Категория субъектов | Описание |
|---|---|---|
| 1 | Пользователи B2B-кабинета | Физические лица — уполномоченные представители клиентов (юридических лиц, ИП), имеющие учётную запись на Платформе |
| 2 | Посетители Платформы | Лица, просматривающие публичные разделы без входа в кабинет |
| 3 | Заявители | Лица, заполняющие заявку на доступ /register (ответы передаются в Яндекс.Формы) |
| 4 | Контактные лица в заказах | Физические лица, сведения о которых указываются в адресе доставки, сохранённых адресах, комментариях к заказу или связанных сообщениях |
Данные контрагента как юридического лица / ИП (наименование, ИНН, адреса организации), поступающие из учётной системы Оператора, сами по себе не являются ПДн; однако связанные с ними контакты физических лиц и случаи, когда контрагент — физическое лицо, обрабатываются по правилам настоящей Политики.
Отдельной формы опроса качества на Платформе нет. Ранее существовавший адрес /anketa перенаправляет в каталог. Обратная связь по поставленным позициям — оценка в кабинете (п. 5.7).
5. Состав обрабатываемых персональных данных
5.1. Учётная запись и профиль
- имя пользователя (логин);
- фамилия, имя, отчество (при наличии);
- адрес электронной почты;
- номер телефона;
- сведения, необходимые для входа и работы учётной записи (в том числе защищённое хранение пароля; пароль в открытом виде не сохраняется);
- роль пользователя в связи с контрагентом (служебный признак доступа).
Пользователь может уточнить ФИО, email и телефон в профиле кабинета (/profile). Свободное поле «должность» на Платформе не собирается. Вход — по логину и паролю Оператора; кнопки входа через Google, Apple ID и иные иностранные сервисы авторизации не используются.
5.2. Заказы, корзина и адреса
- адрес доставки, в том числе сохранённые адреса Пользователя по контрагенту;
- комментарий к заказу (свободный текст; субъект не должен указывать избыточные ПДн);
- состав корзины и сведения заказа (позиции, количества, способ и дата доставки), связывающие заявку с учётной записью и контрагентом;
- сведения, передаваемые во внутреннюю учётную систему Оператора (1С) для исполнения договора поставки.
5.3. Заявка на доступ (/register)
Заявка заполняется на Платформе и передаётся в сервис Яндекс.Формы (ООО «Яндекс»). В собственной базе Платформы заявка как отдельная анкета не хранится. Состав полей на момент настоящей редакции:
- как к вам обращаться;
- телефон;
- email;
- Telegram или WhatsApp;
- город работы;
- вид деятельности;
- название компании или точки;
- комментарий (необязательно).
Согласие на обработку фиксируется чекбоксом на сайте (не предустановлен); в Яндекс.Форму отметка согласия не передаётся.
5.4. Технические данные посетителя и пользователя
- файлы cookie и сходные технологии браузера — по Политике cookie;
- сведения, нужные для безопасности и стабильной работы Платформы (в том числе данные сессии и технические журналы доступа);
- при наличии согласия — данные статистики посещений (Яндекс.Метрика).
5.5. Уведомления кабинета (Web Push)
Если пользователь сам включает уведомления в кабинете, Оператор сохраняет технические сведения подписки браузера, необходимые для доставки служебных сообщений:
- адрес доставки уведомления (
endpointpush-сервиса браузера); - криптографические ключи подписки (
p256dh,auth) — для шифрования текста на стороне Оператора (RFC 8291); - сведения о программе просмотра (user-agent) — для диагностики доставки.
Текст уведомления шифруется до передачи в push-сервис. В уведомлениях не указываются цены, состав заказа, телефоны и иные избыточные сведения. Отключить уведомления можно в кабинете (профиль). Гость без учётной записи подписку не создаёт.
5.6. Корзина, заказы и отчёт интереса к каталогу
Для одобренного пользователя кабинета Оператор хранит на серверах в Российской Федерации состав корзины и оформленные заказы. Сотрудники Оператора могут видеть агрегированный отчёт по позициям (что кладут в корзину и покупают, склад или «в пути») без списка конкретных пользователей, открывавших карточку. Отдельный журнал просмотров карточек товара в настоящей редакции Платформы не ведётся. Этот учёт не включается и не выключается баннером cookie: это работа кабинета. Гость без входа в корзину и заказы кабинета не попадает.
5.7. Оценка поставленных позиций
После поставки пользователь кабинета может оценить позицию (оценка от 1 до 5 и необязательный комментарий до 200 символов). Окно оценки открывается в кабинете (в том числе по служебной ссылке с параметром ocenka). Данные хранятся в базе Платформы на территории РФ и доступны сотрудникам Оператора для разбора качества. Это не внешний опрос и не претензия по договору поставки.
5.8. Данные, которые Оператор не собирает через Платформу
Паспортные данные, СНИЛС, дата рождения, фотографии для идентификации, биометрические ПДн, реквизиты банковских карт посетителя/пользователя Платформы — не запрашиваются интерфейсами Платформы.
6. Цели и правовые основания обработки
| Цель | Правовое основание (ст. 6 152-ФЗ и иные) | Основные данные |
|---|---|---|
| Рассмотрение заявки на доступ к кабинету | Согласие; действия по заключению договора по инициативе субъекта | Сведения формы /register, контакты |
| Создание и ведение учётной записи, аутентификация, предоставление функций кабинета | Согласие; исполнение договора / предоставление доступа по договору с клиентом | Логин, ФИО, email, телефон, сессия |
| Оформление и сопровождение заказов (заявок), сохранённые адреса, взаимодействие по поставке | Исполнение договора, стороной которого является клиент, в интересах которого действует пользователь; согласие — где применимо | Адрес, комментарий, сведения заказа, контрагент |
| Связь с пользователем / заявителем (email, телефон, мессенджеры по ссылкам на Платформе — по инициативе субъекта) | Исполнение договора; согласие | Контакты |
| Обеспечение безопасности, стабильности и защиты Платформы от злоупотреблений | Законные интересы Оператора при условии соблюдения прав субъекта; исполнение договора | Логи, сессия, технические идентификаторы |
| Оценка поставленных позиций | Исполнение договора / предоставление функций кабинета; согласие на отправку оценки | Оценка, комментарий, связь с заказом и учётной записью |
| Учёт посещаемости и улучшение Платформы (Яндекс.Метрика) | Согласие на аналитические cookie | Идентификаторы и события Метрики |
| Улучшение ассортимента и кабинета (состав корзины и заказов одобренного пользователя; отчёты по позициям) | Исполнение договора / предоставление функций кабинета; законный интерес Оператора при соблюдении прав субъекта | Состав корзины и заказов; в отчётах для сотрудников — позиции без списка пользователей |
| Служебные уведомления кабинета (статус заказа, правки менеджера, новые поставки, публикации сезонности, служебные сообщения; для сотрудников — новый заказ клиента) | Согласие (включение уведомлений в кабинете); исполнение договора в части информирования о заказе | Endpoint подписки, ключи шифрования, user-agent |
| Исполнение требований закона, ответы на запросы уполномоченных органов | Обязанности, возложенные законодательством РФ | Данные в объёме запроса / обязанности |
Рекламные и информационные рассылки (email/SMS и аналоги) в настоящей редакции Политики не заявлены как текущая цель. При запуске рассылок Политика будет дополнена, а согласие на рекламу будет запрашиваться отдельно от согласия на обработку ПДн для доступа к кабинету.
7. Порядок и способы обработки
7.1. Обработка включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение ПДн; при необходимости — обезличивание.
7.2. Обработка осуществляется преимущественно автоматизированным способом с использованием серверов, баз данных и программного обеспечения Платформы; отдельные операции могут выполняться без средств автоматизации (например, рассмотрение заявки менеджером).
7.3. Согласие на обработку ПДн фиксируется активным действием субъекта:
- на
/register— чекбокс (не предустановлен) со ссылками на настоящую Политику и пользовательское соглашение; - при первом входе по персональной ссылке (
/welcome,/set-password) — аналогичный чекбокс перед заданием пароля; - баннер cookie — для аналитики;
- включение служебных уведомлений в профиле кабинета.
Предустановленные отметки согласия не используются. Отдельная галочка в конструкторе Яндекс.Форм для заявки не дублируется: согласие даётся на Платформе.
7.4. Публичные разделы Платформы (главная, каталог «в наличии», «в пути», хиты, новинки, сезонность, помощь, юридические страницы) доступны без создания учётной записи. В этом случае обрабатываются технические данные и cookie в объёме Политики cookie. Функции корзины, оформления заказа, профиля и оценки позиций — после предоставления доступа Оператором.
7.5. Пользователь одной организации не получает через Платформу доступ к контактным ПДн других пользователей той же организации (учётные записи коллег друг другу не отображаются).
8. Локализация, хранение и сроки
8.1. Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан Российской Федерации при сборе с использованием Платформы осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Платформа размещается в Yandex Cloud, регион Россия (ru-central1): сервер приложения, управляемая СУБД PostgreSQL, объектное хранилище фотографий каталога. Учётная система 1С Оператора работает на отдельном хосте Оператора на территории РФ.
8.2. Трансграничная передача. Иностранные сервисы веб-аналитики на Платформе не используются. При включённых уведомлениях кабинета (Web Push) технический endpoint подписки и зашифрованное тело уведомления передаются в push-сервис браузера пользователя: Google LLC (Chrome / Android, Firebase Cloud Messaging), Mozilla Corporation (Firefox), Apple Inc. (Safari / iOS, APNs). Вендор доставляет пакет и не получает открытый текст (шифрование RFC 8291 aes128gcm). Это трансграничная передача технических идентификаторов доставки. Основание — согласие субъекта (включение уведомлений) и необходимость информировать о ходе заказа. Отзыв: выключение уведомлений в кабинете и/или отзыв разрешения в браузере. Запись, хранение учётных и заказных данных по-прежнему осуществляется в базах на территории Российской Федерации.
8.3. Сроки хранения:
| Данные / контекст | Срок |
|---|---|
| Учётная запись и связанные с договором сведения | В течение срока действия договорных / доступовых отношений с клиентом и 5 (пять) лет после их окончания, если иной срок не установлен законом или договором |
| Заказы и сведения, переданные в учётную систему (1С), бухгалтерский учёт | В сроки, установленные законодательством о бухгалтерском учёте и налоговым законодательством, а также внутренними правилами Оператора — независимо от удаления учётной записи на Платформе |
| Заявки без заключённого договора (Яндекс.Формы) | До рассмотрения и в разумный срок после него, либо до отзыва согласия, если нет иных оснований хранения |
| Оценка поставленных позиций | В течение срока хранения связанного заказа, если нет отзыва и иных оснований |
| Сохранённые адреса доставки | Пока действует учётная запись либо до удаления адреса пользователем |
| Cookie и локальное хранилище | Согласно Политике cookie |
| Подписка Web Push (endpoint, ключи) | Пока включены уведомления и действует учётная запись; удаляется при выключении на устройстве, удалении подписки браузером (ответы 404/410) или удалении учётной записи |
| Состав корзины | Пока пользователь не изменит / не оформит заказ; история оформленных заказов — по срокам заказов |
| Технические журналы | Не дольше, чем нужно для безопасности и разбора инцидентов, если закон не требует иного |
8.4. При удалении учётной записи или отзыве согласия, когда обработка основывалась на согласии, Оператор прекращает обработку соответствующих ПДн, за исключением данных, сохранение которых обязательно по закону или необходимо для исполнения договора (заказы, данные в 1С, бухгалтерский учёт) — в объёме и сроки, указанные в п. 8.3. Самостоятельного удаления учётной записи клиентом в кабинете нет: запрос направляется на doc@svaflora.ru.
9. Передача третьим лицам и поручение обработки
9.1. Оператор может передавать ПДн либо поручать обработку в объёме, необходимом для целей Политики:
| Получатель | Назначение |
|---|---|
| ООО «Яндекс» (Yandex Cloud: вычислительные мощности, управляемая СУБД, объектное хранилище) | Размещение Платформы, баз данных, резервных копий и фото каталога на территории РФ (по договору / условиям облака) |
| Внутренняя учётная система Оператора (1С) | Исполнение договоров поставки, учёт заказов и контрагентов |
| ООО «Яндекс» (сервис Яндекс.Формы) | Приём заявок на доступ /register; обработка на условиях сервиса Яндекса |
| ООО «Яндекс» (Яндекс.Метрика) | Аналитика посещений — только после согласия на аналитические cookie |
| Мессенджеры, ссылки на которые размещены на Платформе | Если субъект сам переходит по таким ссылкам; дальнейшая обработка — по правилам соответствующих сервисов |
| Google LLC (Firebase Cloud Messaging) | Доставка Web Push в Chrome / Android; вендор видит endpoint и факт доставки, не открытый текст |
| Mozilla Corporation (Autopush) | Доставка Web Push в Firefox |
| Apple Inc. (APNs) | Доставка Web Push в Safari / установленном веб-приложении на iOS |
| Государственные органы | Только при наличии законных оснований и в объёме требования |
9.2. Лица, обрабатывающие ПДн по поручению Оператора, обязаны соблюдать конфиденциальность и обеспечивать безопасность ПДн. Оператор заключает с такими лицами договоры (принимает условия), соответствующие требованиям 152-ФЗ.
9.3. Оператор не продаёт ПДн и не передаёт их третьим лицам для их собственного маркетинга. Отдельного сервиса email/SMS-рассылок Платформа не подключает: персональную ссылку входа менеджер направляет клиенту сам.
10. Cookie и смежные технологии
Подробное описание типов cookie, локального хранилища, сроков, Яндекс.Метрики и порядка согласия («Принять» / «Только необходимые») содержится в отдельной Политике использования cookie. Положения Политики cookie являются неотъемлемой частью режима обработки технических данных на Платформе.
11. Права субъекта персональных данных
11.1. Субъект ПДн имеет право:
- получать сведения об обработке своих ПДн Оператором;
- требовать уточнения, блокирования или уничтожения ПДн, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку ПДн (если обработка основана на согласии), направив обращение на doc@svaflora.ru;
- отключить служебные уведомления кабинета в профиле и/или отозвать разрешение уведомлений в браузере;
- изменить выбор аналитических cookie на странице Политики cookie;
- требовать устранения неправомерных действий Оператора;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
- на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в порядке, установленном законом.
11.2. Для реализации прав субъект направляет запрос на doc@svaflora.ru. В запросе целесообразно указать ФИО, суть требования и данные, позволяющие идентифицировать субъекта (например, логин или email учётной записи). Оператор вправе запросить дополнительную информацию для подтверждения личности заявителя.
11.3. Срок ответа — в пределах сроков, установленных 152-ФЗ (как правило, до 30 дней с момента получения запроса; при необходимости срок может быть продлён в порядке, предусмотренном законом, с уведомлением субъекта).
11.4. Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва, и не всегда влечёт немедленное уничтожение всех сведений — см. п. 8.4.
12. Меры по обеспечению безопасности ПДн
12.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:
- назначение лица, ответственного за организацию обработки ПДн (ИП Сердюк В.А.);
- издание и применение локальных актов по вопросам обработки ПДн;
- ограничение доступа к ПДн по кругу лиц;
- защищённая передача данных при работе с Платформой;
- учёт и управление учётными записями, защищённое хранение паролей;
- контроль значимых действий и резервное копирование на территории Российской Федерации;
- контроль за привлекаемыми обработчиками (хостинг и иные сервисы).
12.2. Конкретный состав мер определяется с учётом актуальных угроз, характера ПДн и требований законодательства; отдельные сведения о средствах защиты могут не раскрываться публично в объёме, допускаемом законом.
13. Инциденты (утечки) персональных данных
13.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Оператор действует в соответствии со ст. 21 152-ФЗ и внутренним регламентом реагирования, включая:
- уведомление Роскомнадзора в срок не позднее 24 часов с момента выявления инцидента (первичное уведомление);
- направление дополнительных сведений (результаты внутреннего расследования) в срок не позднее 72 часов;
- при необходимости — уведомление субъектов ПДн в случаях и порядке, предусмотренных законом.
Внутренний порядок действий, роли и чеклисты 24/72 ч зафиксированы в регламенте Оператора (не публикуется на Платформе).
13.2. Субъект может сообщить о подозрении на инцидент на doc@svaflora.ru.
14. Заключительные положения
14.1. Актуальная редакция Политики публикуется на Платформе по адресу /privacy. Дата версии указана в начале документа.
14.2. Оператор вправе изменять Политику. При существенных изменениях Оператор может дополнительно информировать пользователей доступными каналами (в т.ч. уведомление в кабинете или на сайте). Продолжение использования Платформы после публикации новой редакции означает принятие изменений в части, не требующей отдельного согласия; где закон требует нового согласия — оно будет запрошено отдельно.
14.3. К отношениям, связанным с обработкой ПДн, применяется право Российской Федерации. Споры подлежат рассмотрению в порядке, установленном законодательством РФ.
14.4. По вопросам обработки ПДн: doc@svaflora.ru. Иные вопросы по Платформе: main@svaflora.ru, +7 995 880-00-58.