Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет, какие персональные данные, для каких целей, на каких основаниях и как обрабатывает Оператор при работе сайта, на котором размещена Политика (далее — Сайт), а также какие права есть у субъектов и как их реализовать.

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными применимыми актами Российской Федерации.

1.3. Политика опубликована в соответствии со статьёй 18.1 Закона и находится в неограниченном доступе на странице Сайта /privacy-policy.

1.4. Политика действует в отношении всех персональных данных, которые Оператор получает через Сайт: из формы «Запросить прайс-лист / Получить коммерческое предложение», от технических средств посетителя и при обращении к Оператору по контактам из раздела 3.

1.5. Отправляя форму, пользователь отмечает два независимых поля: (а) согласие на обработку персональных данных и (б) отдельное согласие на трансграничную передачу персональных данных в Китайскую Народную Республику. Тексты обоих согласий размещены на странице Сайта /personal-data-consent (далее — Согласие). Факт и время каждого согласия фиксируются отдельно. Политика не заменяет Согласие и не дублирует его. При расхождении в части объёма согласия применяется Согласие, в части порядка обработки и прав субъекта — Политика.

1.6. Сайт предназначен для делового взаимодействия (B2B) и не ориентирован на лиц младше 18 лет. Оператор сознательно не собирает их данные; если такие данные стали известны, они удаляются.

1.7. Продолжая пользоваться Сайтом, посетитель подтверждает, что ознакомился с Политикой. Это не заменяет Согласие и не является согласием на использование cookie-идентификаторов (раздел 7).

2. Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
• Субъект — физическое лицо, чьи данные обрабатываются: представитель компании-покупателя, индивидуальный предприниматель, иной посетитель Сайта.
• Оператор — лицо, указанное в разделе 3, которое определяет цели и состав обработки.
• Обработка — любое действие с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Трансграничная передача — передача данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу.
• Заявка — обращение, отправленное через форму на Сайте.
• Cookie — небольшие записи, которые Сайт и подключённые сервисы сохраняют в браузере посетителя.

3. Оператор, контакты и ответственные лица

3.1. Оператор — Shandong Bangyi Metal Products Co., Ltd. (山东榜益金属制品有限公司), бренд «BANGYI METAL», иностранное юридическое лицо, зарегистрированное в Китайской Народной Республике 02.05.2017. Унифицированный код социального кредита (USCC): 91371623MA3DKQ581R.

3.2. Адрес Оператора: КНР, провинция Шаньдун, г. Биньчжоу, уезд Уди, посёлок Шуйвань, деревня Сюйцзядаокоу (Xujiadaokou Village, Shuiwan Town, Wudi County, Binzhou City, Shandong Province, China).

3.3. У Оператора нет юридического лица, филиала или представительства в Российской Федерации.

3.4. Представитель Оператора в Российской Федерации по вопросам обработки персональных данных не назначен. Обращения принимаются по контактам п. 3.5.

3.5. Контакты по вопросам персональных данных:

• электронная почта: bangyi@bzbangyi.com;
• телефоны: +86 153 1556 6186, +86 187 6305 6388 (сотрудник отдела продаж отвечает на русском языке с 9:00 до 17:30 по московскому времени);
• почтовый адрес: указан в п. 3.2.

Запросы и обращения удобнее всего направлять на электронную почту. Порядок и требования к запросу — в разделе 11.

3.6. Лицо, ответственное за организацию обработки персональных данных, назначается приказом Оператора. Связаться с ним можно по контактам п. 3.5.

3.7. Оператор направляет в Роскомнадзор уведомление об обработке персональных данных в порядке ст. 22 Закона; сведения об Операторе вносятся в реестр операторов персональных данных.

4. Субъекты, категории данных и источники

4.1. Субъекты: представители организаций-покупателей и потенциальных покупателей; индивидуальные предприниматели и иные физические лица, направляющие заявку; посетители Сайта.

4.2. Данные, которые субъект указывает сам в форме:

• фамилия, имя (поле «Имя»);
• наименование организации (поле «Компания»; для индивидуальных предпринимателей может совпадать с ФИО);
• адрес электронной почты и/или номер телефона (хотя бы одно);
• вид запроса (коммерческое предложение или прайс-лист) и интересующая продукция;
• сведения из свободного поля «Детали заказа»;
• отметки о согласиях и время их проставления.

4.3. При посещении Сайта и отправке заявки автоматически фиксируются технические данные: IP-адрес, данные об устройстве и браузере (user-agent), дата и время, запрошенные страницы. Эти данные могут попадать в серверные журналы веб-сервера. Для ограничения злоупотреблений IP-адрес временно используется в оперативной памяти сервера и для этой цели отдельно на постоянное хранение не записывается. При отправке заявки IP-адрес и user-agent сохраняются вместе с ней (цель 3 раздела 5).

4.4. Если посетитель принял cookie-уведомление, сервис «Яндекс Метрика» собирает данные, указанные в разделе 7.

4.5. Если на Сайте появится возможность прикрепить файлы к заявке (спецификации, чертежи, таблицы, изображения), Оператор будет обрабатывать эти файлы и содержащиеся в них данные в тех же целях и на тех же условиях, что и сведения из поля «Детали заказа». Пока такая функция не запущена, пункт не применяется.

4.6. Оператор не запрашивает специальные категории персональных данных (о здоровье, убеждениях, национальной и расовой принадлежности, судимости, интимной жизни) и биометрические данные. Просим не указывать их в свободных полях. Если такие данные получены, Оператор вправе удалить их, если нет самостоятельного основания для их обработки.

4.7. Если субъект указывает в заявке данные третьих лиц (коллег, контактных лиц), он подтверждает, что вправе сообщить их Оператору и что эти лица об этом осведомлены.

4.8. Данные Оператор получает от самого субъекта и с его устройства при работе Сайта.

4.9. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки данных. Оператор не распространяет персональные данные неопределённому кругу лиц и не размещает их на Сайте.

5. Цели и правовые основания обработки

5.1. Оператор обрабатывает данные только для заранее определённых целей. Для каждой цели указаны данные и основание по статье 6 Закона.

Цель 1. Рассмотрение заявки: подготовка и направление коммерческого предложения или прайс-листа, связь с субъектом по его запросу.

• Данные: имя, организация, e-mail, телефон, вид запроса, продукция, «Детали заказа».
• Основание: согласие субъекта (п. 1 ч. 1 ст. 6); для индивидуальных предпринимателей и иных физических лиц, действующих от своего имени, — также совершение действий по инициативе субъекта в целях заключения договора (п. 5 ч. 1 ст. 6).

Цель 2. Заключение и исполнение договора поставки, если стороны к нему придут, и деловая переписка по заявке и договору.

• Данные: перечисленные в цели 1, а также данные, которые субъект дополнительно передаст для договора.
• Основание: исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6); в отношении представителей юридических лиц — согласие (п. 1 ч. 1 ст. 6) и законный интерес Оператора в исполнении договора с представляемой организацией (п. 7 ч. 1 ст. 6), если не нарушаются права и свободы субъекта.

Цель 3. Подтверждение согласия и защита прав Оператора: хранение факта и времени согласий, IP-адреса и user-agent, доказательство при споре.

• Данные: отметки и время согласий, IP-адрес, user-agent, содержание заявки.
• Основание: законный интерес Оператора (п. 7 ч. 1 ст. 6), поскольку обязанность доказать получение согласия лежит на операторе (ч. 3 ст. 9 Закона).

Цель 4. Обеспечение работы и безопасности Сайта: защита от автоматических и злоупотребляющих обращений, диагностика сбоев.

• Данные: IP-адрес, user-agent, время и адрес запроса, технические журналы.
• Основание: законный интерес Оператора (п. 7 ч. 1 ст. 6); данные не используются для идентификации лица в иных целях.

Цель 5. Веб-аналитика: понимание, как посетители пользуются Сайтом, и улучшение его работы.

• Данные: идентификаторы cookie, IP-адрес, данные об устройстве и браузере, сведения о действиях на Сайте (раздел 7).
• Основание: согласие, выраженное нажатием «Принять» в cookie-уведомлении, в котором указаны сервис и состав сведений (п. 1 ч. 1 ст. 6). Без этого согласия аналитика не запускается.

Цель 6. Выполнение обязанностей, возложенных на Оператора законом: ответы на законные запросы уполномоченных органов, хранение документов.

• Данные: те, что запрошены или подлежат хранению по закону.
• Основание: п. 2 ч. 1 ст. 6 Закона.

5.2. Оператор не обрабатывает данные в целях рекламной рассылки и не отправляет рассылки. Если начнёт, то сначала получит отдельное согласие по ст. 15 Закона и обновит Политику.

5.3. Обработка, несовместимая с целями сбора, не допускается. Для новой цели Оператор получит новое согласие либо использует иное основание из ст. 6 Закона.

6. Принципы, способы и условия обработки

6.1. Оператор придерживается принципов ст. 5 Закона: законности, добросовестности, ограничения обработки заранее определёнными целями, соответствия объёма данных целям, точности, ограничения срока хранения.

6.2. Обработка смешанная: с использованием средств автоматизации (форма Сайта, база данных) и без них (ручное прочтение и перенос данных работником). Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление доступа), блокирование, удаление, уничтожение.

6.3. Доступ к данным имеют только работники Оператора, которым он необходим для выполнения обязанностей, и только в этих пределах. Работники обязаны сохранять конфиденциальность.

6.4. Оператор не продаёт данные и не передаёт их третьим лицам в маркетинговых целях.

6.5. Оператор вправе поручить обработку третьему лицу только на основании договора или иного акта с условиями ч. 3 ст. 6 Закона. Иных лиц, обрабатывающих данные по поручению, кроме указанных в разделе 9, Оператор не привлекает.

6.6. Согласие даётся в форме, позволяющей подтвердить его получение: для заявки — проставлением отметки в соответствующем поле формы. Молчание и предзаполненные поля согласием не считаются. Согласие на обработку и согласие на трансграничную передачу даются раздельно.

7. Cookie и «Яндекс Метрика»

7.1. Сайт использует:

• технические данные в браузере, необходимые для работы Сайта, в том числе запись о вашем выборе в cookie-уведомлении;
• сервис веб-аналитики «Яндекс Метрика» (ООО «Яндекс»), который включается только после нажатия кнопки «Принять».

7.2. Выбор в cookie-уведомлении сохраняется в локальном хранилище браузера (localStorage) под именем cookie-consent и хранится, пока посетитель не очистит данные Сайта в браузере.

7.3. Если нажать «Отклонить» или не делать выбора, «Яндекс Метрика» не загружается, а Сайт работает полностью. Выбор сохраняется в браузере. Cookie-идентификаторы и сведения о действиях на Сайте могут быть персональными данными, поэтому их сбор осуществляется только на основании согласия (п. 1 ч. 1 ст. 6). Cookie-уведомление называет сервис и ведёт ссылкой на настоящий раздел. Согласие на cookie даётся отдельно от Согласия и не связано с отправкой заявки.

7.4. После согласия «Яндекс Метрика» собирает и передаёт ООО «Яндекс»: идентификаторы cookie (в том числе с префиксом _ym); IP-адрес; данные об устройстве, браузере, ОС и разрешении экрана; адреса посещённых страниц и источник перехода; клики, прокрутку, переходы по ссылкам; время на странице и признаки отказа; факт отправки заявки как цель (без содержания заявки).

7.5. Включены карта кликов, отслеживание переходов по ссылкам и точный показатель отказов. Запись сессий («Вебвизор») отключена: то, что посетитель вводит в поля, в том числе в форму заявки, в «Яндекс Метрику» не передаётся.

7.6. Согласие на cookie и «Яндекс Метрику» можно отозвать в любое время: очистив данные сайта в браузере (cookie-уведомление появится снова) либо направив заявление на bangyi@bzbangyi.com (срок — по разделу 11). Можно использовать средства браузера и расширения для блокировки счётчика. Отзыв не отменяет законность обработки до его момента.

7.7. Чтобы изменить выбор, достаточно очистить данные Сайта в браузере: при следующем посещении cookie-уведомление появится снова.

7.8. Яндекс обрабатывает данные счётчика на условиях своих документов (условия использования сервиса «Яндекс Метрика», политика конфиденциальности Яндекса), размещённых на сайтах Яндекса. Оператор использует данные «Яндекс Метрики» только в виде отчётов о посещаемости и не получает через неё имён и контактов посетителей.

7.9. Если Оператор запустит рекламу в «Яндекс Директ» и использование данных для ретаргетинга, Политика будет обновлена и будет получено отдельное согласие.

8. Сроки хранения и уничтожение

8.1. Данные хранятся не дольше, чем требуют цели обработки, если более длительный срок не установлен законом или договором, стороной которого является субъект.

8.2. Сроки по видам данных:

• Заявки, по которым договор не заключён, — не более 12 месяцев с момента последнего контакта.
• Данные по заключённому договору — в течение срока действия договора и 3 лет после его завершения, если более длительный срок не требуется законом или договором.
• Серверные журналы — не более 30 дней.
• Резервные копии базы данных — до перезаписи при ротации, но не более 30 дней.
• Отметки о согласиях и время их проставления — в течение срока хранения данных, к которым они относятся, и 3 лет после него.
• Данные «Яндекс Метрики» хранятся в соответствии с настройками счётчика и правилами Яндекса.

8.3. Данные уничтожаются или обезличиваются в следующие сроки: при достижении цели обработки — не более 30 дней с даты достижения цели (ч. 4 ст. 21 Закона); при отзыве согласия, если нет иного основания, — не более 30 дней с даты поступления отзыва (ч. 5 ст. 21 Закона); по истечении срока хранения — по достижении этого срока в тот же срок, что и при достижении цели; при выявлении неправомерной обработки — в сроки, указанные в разделе 11. Если уничтожить данные в срок невозможно, Оператор блокирует их и уничтожает не позднее шести месяцев, если иной срок не установлен федеральным законом.

8.4. Из резервных копий данные удаляются при их плановой ротации. До этого резервные копии используются только для восстановления работы Сайта после сбоя.

8.5. Уничтожение данных подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

9. Место хранения, получатели данных и трансграничная передача

9.1. Хранение в Российской Федерации. База данных с заявками размещена на сервере (VPS) на территории Российской Федерации. Первоначальная запись данных, полученных через форму Сайта, осуществляется в эту базу.

9.2. Сервер предоставляет российский хостинг-провайдер; оборудование размещено в центре обработки данных на территории Российской Федерации.

9.3. Резервные копии базы данных, если они создаются, хранятся на территории Российской Федерации.

9.4. Доступ из Китайской Народной Республики. Оператор находится в КНР. Менеджер по продажам и уполномоченные работники Оператора просматривают заявки и связываются с субъектами по телефону и e-mail, находясь в КНР. Поэтому персональные данные из заявок становятся доступными в КНР. Оператор рассматривает такой доступ как трансграничную передачу, даже когда получателем является сам Оператор (п. 3.1, адрес — п. 3.2). Цели — цели 1–3 и 6 раздела 5. Передаваемые данные — данные из пп. 4.2 и 4.3, относящиеся к заявке.

9.5. Основание трансграничной передачи. Оператор исходит из того, что КНР не входит в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Передача данных в КНР осуществляется на основании отдельного согласия субъекта на трансграничную передачу, которое проставляется в форме независимо от согласия на обработку (п. 1.5).

9.6. До начала трансграничной передачи Оператор уведомляет Роскомнадзор о намерении её осуществлять в соответствии со ст. 12 Закона.

9.7. Данные, хранящиеся в базе в Российской Федерации, при просмотре менеджером отображаются на экране его рабочего устройства в КНР; копии заявок на этом устройстве не сохраняются.

9.8. Оператор не выгружает базу заявок целиком и не ведёт отдельных баз данных заявок на территории КНР.

9.9. Получатели. Оператор раскрывает данные только:

• хостинг-провайдеру как владельцу инфраструктуры, на которой размещена база;
• ООО «Яндекс» — данные «Яндекс Метрики» по разделу 7, при наличии согласия посетителя;
• государственным органам по их мотивированному запросу, основанному на законе, в объёме, установленном законом.

9.10. Если хостинг-провайдер обрабатывает данные по поручению Оператора, договор с ним содержит условия ч. 3 ст. 6 Закона.

9.11. Уведомления для отдела продаж через Telegram содержат только номер заявки и ссылку; имён, контактов и текста заявки они не содержат.

9.12. Кнопки WhatsApp и WeChat на Сайте — ссылки на внешние сервисы. Сайт не получает и не обрабатывает содержание переписки в них. Если субъект напишет Оператору в мессенджер, данные обрабатываются этим сервисом по его правилам, а Оператором — в объёме, необходимом для ответа. Просим не передавать там лишних данных.

9.13. Иные получатели, не названные в Политике, доступа к данным не имеют. Если круг получателей изменится, Оператор обновит Политику до начала такой передачи. Оператор не передаёт данные в другие иностранные государства.

10. Меры защиты

10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона, соразмерно рискам. Абсолютную защиту не гарантирует ни один оператор; Оператор обязуется применять указанные меры и реагировать на инциденты.

10.2. Организационные меры: ограничение круга работников, имеющих доступ к данным; обязанность работников сохранять конфиденциальность.

10.3. Технические меры: шифрование соединения (HTTPS) между браузером и Сайтом; доступ к базе данных только по учётным данным; ограничение частоты обращений с одного IP-адреса и скрытое поле для отсеивания автоматической отправки формы.

10.4. Доступ к заявкам предоставляется только уполномоченным работникам по индивидуальным учётным данным.

10.5. Оператор принимает меры по восстановлению данных, изменённых или уничтоженных вследствие несанкционированного доступа к ним.

10.6. Оператор применяет внутренние правила обработки и защиты персональных данных.

10.7. При утечке данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона). Субъекты уведомляются в порядке, предусмотренном законом.

11. Права субъекта и порядок обращения

11.1. Субъект вправе:

• получить подтверждение факта обработки, правовые основания, цели, способы, состав и источник данных, сроки обработки и хранения, сведения о получателях и о трансграничной передаче (ч. 7 ст. 14 Закона);
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели;
• отозвать согласие в любое время (ч. 5 ст. 9 Закона), в том числе отдельно согласие на трансграничную передачу;
• требовать прекращения обработки в целях продвижения товаров, работ, услуг (ст. 15 Закона) и не подвергаться решениям исключительно на основании автоматизированной обработки (ст. 16 Закона);
• обжаловать действия или бездействие Оператора в Роскомнадзор или в суд (ст. 17 Закона);
• защищать свои права, в том числе требовать возмещения убытков и компенсации морального вреда в судебном порядке.

11.2. Если субъект считает, что обработка на основании законного интереса Оператора нарушает его права, он может направить мотивированное обращение в свободной форме. Оператор рассмотрит его и ответит в сроки, указанные в п. 11.4. Это не создаёт отдельного права возражать сверх предусмотренного законом.

11.3. Как направить запрос. Запрос направляется на bangyi@bzbangyi.com либо по почтовому адресу из п. 3.2. Запрос должен содержать: сведения об основном документе, удостоверяющем личность, дате его выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, e-mail и дату заявки, номер договора); подпись субъекта или его представителя (ст. 14 Закона). Запрос по e-mail Оператор принимает в любом из видов: (а) с электронной подписью; (б) со скан-копией подписанного запроса; (в) с адреса электронной почты, указанного в заявке, при условии, что запрос содержит сведения из заявки, позволяющие идентифицировать субъекта. Если данных недостаточно для идентификации, Оператор вправе запросить дополнительные сведения; запрос представителя подтверждается доверенностью.

11.4. Сроки (ст. 14, 20, 21 Закона):

• ответ на запрос о сведениях об обработке — 10 рабочих дней с момента получения запроса; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением;
• уточнение неполных, неточных или неактуальных данных — не более 7 рабочих дней со дня получения подтверждающих сведений;
• уничтожение данных, полученных незаконно или не необходимых для цели, — не более 7 рабочих дней со дня получения подтверждающих сведений;
• при обращении субъекта о неправомерной обработке или неточности данных — блокирование с момента обращения на период проверки, если оно не нарушает прав третьих лиц;
• при выявлении неправомерной обработки — прекращение не позднее 3 рабочих дней с даты выявления; если обеспечить правомерность невозможно — уничтожение не позднее 10 рабочих дней с даты выявления; об устранении нарушений или уничтожении Оператор уведомляет субъекта;
• достижение цели обработки — уничтожение в срок не более 30 дней (ч. 4 ст. 21);
• отзыв согласия — прекращение обработки и уничтожение в срок не более 30 дней, если нет иного основания (ч. 5 ст. 21).

11.5. Оператор вправе отказать в предоставлении сведений только по основаниям ч. 8 ст. 14 Закона с мотивированным ответом.

11.6. Отзыв согласия. Согласие отзывается заявлением на bangyi@bzbangyi.com в свободной форме с указанием имени, организации и контактов из заявки. После отзыва Оператор прекращает обработку и уничтожает данные в сроки п. 11.4, кроме данных, которые обязан хранить по закону или обрабатывает по иному основанию из ст. 6 Закона. Отзыв согласия на cookie — по разделу 7.

11.7. Отзыв согласия на трансграничную передачу. После отзыва этого согласия Оператор прекращает трансграничную передачу и доступ к данным из КНР в части, основанной на этом согласии. Данные, которые Оператор вправе обрабатывать по иному основанию, продолжают обрабатываться в этом объёме. Поскольку Оператор и его работники находятся в КНР, после отзыва рассмотрение новой заявки через Сайт может стать невозможным; Оператор сообщит об этом в ответе. Данные, обработка которых прекращена, уничтожаются в сроки п. 11.4.

11.8. Жалоба в Роскомнадзор. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций: 109074, г. Москва, Китайгородский проезд, д. 7, стр. 2; сайты: rkn.gov.ru, pd.rkn.gov.ru.

11.9. Ответы направляются на русском языке на контакты, указанные в запросе.

12. Ссылки на сторонние ресурсы

12.1. Сайт может содержать ссылки на внешние ресурсы (мессенджеры, сервисы Яндекса). Оператор не отвечает за их политики и обработку данных на них.

13. Изменение Политики и заключительные положения

13.1. Оператор вправе изменять Политику, в частности при изменении законодательства, состава получателей, целей, сроков хранения, функций Сайта. Новая редакция публикуется на этой странице с обновлённой датой вступления в силу.

13.2. Если изменение расширяет цели обработки, круг получателей или условия трансграничной передачи, Оператор до его применения получает новое согласие там, где оно необходимо по закону.

13.3. К отношениям по обработке персональных данных применяется законодательство Российской Федерации в части, обязательной для Оператора. Права субъекта на обращение в Роскомнадзор и суд по правилам законодательства РФ не ограничиваются.

13.4. Вопросы по Политике можно направить по контактам из п. 3.5.