1.  Общие положения
1.1.  Политика (далее – Политика) разработана во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152 ФЗ «О персональных данных» (далее — Закон о ПДн, Закон о персональных данных) и определяет порядок обработки и защиты персональных данных, осуществляемых web-сайтом http://shefluley.ru
1.2.  Оператор обеспечивает защиту прав и свобод человека при обработке его персональных данных и несёт ответственность, установленную законодательством РФ. 
1.3.  Политика действует в отношении всех персональных данных, полученных от физических, юридических лиц – клиентов (далее — Клиенты) при исполнении договора на оказание кейтеринговых, ивент услуг (далее – услуги, договор услуг) и информируется путём публикации [ссылка VK, сайт, иной ресурс (ч. 2 ст. 18.1 Закона о ПДн).
1.4.  Контроль за соблюдением требований Политики осуществляет Оператор.
2.  Основные понятия.
персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (далее – субъекту персональных данных, Клиенту);
обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе: 
-  сбор; 
-  запись; 
-  систематизацию; 
-  накопление; 
-  хранение; 
-  уточнение (обновление, изменение); 
-  извлечение; 
-  использование; 
-  передачу (распространение, предоставление, доступ);
-  обезличивание; 
-  блокирование; 
-  удаление; 
-  уничтожение;
распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 
предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных); 
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных; 
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
3.  Основные права и обязанности Оператора
3.1.  Оператор имеет право: 
3.1.1.  Самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом ПДн или другими федеральными законами; 
3.1.2.  Поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных.
3.1.3.  В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных.
3.2.  Оператор обязан:
3.2.1.  Организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
3.2.2.  Отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
3.2.3.  Сообщать в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;
3.2.4.  В порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) персональных данных.
3.3.  Оператор предоставляет РКН, Клиенту сведения, указанные в ч. 7 ст. 14 Закона о ПДн, в течение 10 рабочих дней с момента получения запроса. Срок может быть продлён ещё на 5 дней при направлении Клиенту мотивированного уведомления.
Запрос должен содержать:
-  номер и дату паспорта (или иного документа);
-  данные о договоре либо иную «привязку» к услуге;
-  подпись (допустима ЭП в эл. документе).
3.4.  Клиент несёт ответственность за наличие согласий гостей на передачу их данных в списке гостей, что фиксируется в договоре оказания услуг.
4.  Состав персональных данных
4.1.  Оператор обрабатывает минимальный объём данных, необходимый для оказания услуг: 
-  фамилия, имя (при необходимости — отчество);
-  контактный телефон, e mail, имя пользователя мессенджера;
-  сведения о состоянии здоровья, противопоказаниях, аллергиях, диетических предпочтениях, религиозные ограничения по питанию;
-  фотографии до/после мероприятия; 
-  списки гостей, план рассадки;
-  платёжные данные;
-  иные данные, добровольно предоставленные Клиентом в приложениях, в Telegram, WhatsApp, VK.
4.2.  Для данных несовершеннолетних требуется отдельное согласие законных представителей.
4.3.  Оператор не обрабатывает биометрические или иные специальные категории ПДн, кроме указанных в п. 4.1, без дополнительного согласия.
5.  Цели и правовые основания обработки персональных данных
5.1.  ПДн обрабатываются для: 
5.1.1.  заключения и исполнения договора оказания услуг;
5.1.2.  ведения клиентской карты и анкеты; 
5.1.3.  отправки уведомлений и напоминаний, рекламных сообщений (SMS, Telegram Bot, WhatsApp, push уведомления приложения ____) (согласие - Приложение № 3);
5.1.4.  ведения бухгалтерского и налогового учёта;
5.1.5.  публикации фото, видео, текстовых отзывов в портфолио, социальных сетях и рекламных материалах при наличии отдельного согласия;
5.1.6.  составления меню с учётом диетических, аллергических, религиозных ограничений;
5.1.7.  организации логистики;
5.1.8.  формирования программы лояльности и персональных предложений;
5.1.9.  исполнения требований законодательства РФ. 
5.2.  Основания обработки:
-  договор бытовых услуг (ст. 6 152 ФЗ, ст. 421 ГК РФ);
-  добровольные согласия Клиента; 
-  исполнение обязанностей по закону (налоговое, бухгалтерское, административное).
6.  Условия и способы обработки
6.1.  ПДн обрабатываются как с использованием средств автоматизации (приложения, мессенджеры), так и без них (бумажная клиентская карта). 
6.2.  Доступ к ПДн имеет только Оператор. Передача третьим лицам возможна:
-  сервисам Telegram, WhatsApp при отправке сообщений;
-  уполномоченным органам – по закону. 
6.3.  ПДн граждан РФ хранятся на серверах, расположенных в РФ.
6.4.  Передача ПДн на серверы, находящиеся за пределами РФ (сервисы Telegram LLC, WhatsApp Inc.), допускается только при отдельном письменном согласии Клиента и при условии предварительного уведомления Роскомнадзора в порядке статьи 12 Закона о ПДн. Для рассылок внутри РФ Оператор ведёт учёт местонахождения серверов и приоритетно использует площадки с локализацией в РФ.
6.5.  При использовании сайта [адрес] применяются файлы cookies для:
-  сохранения данных формы заказа (техническая необходимость);
-  анализа посещаемости через Яндекс.Метрику (с согласия).
6.6.  Посетитель может отключить cookies в браузере, но это может повлиять на работу сайта.
7.  Срок хранения и порядок уничтожения
7.1.  Анкета, фото до/после и отзывы — до момента отзыва согласия, но не более 10 лет. 
7.2.  Переписка в мессенджерах — 3 года, затем удаляется или архивируется.
7.3.  При обращении Клиента об уточнении или выявлении факта неправомерной обработки Оператор незамедлительно блокирует соответствующие персональные данные на период проверки, но не более 7 рабочих дней. По результатам проверки блокировка снимается либо данные уничтожаются
7.4.  Порядок уничтожения персональных данных Оператором.
7.5.  Условия и сроки уничтожения персональных данных Оператором:
7.6.  достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение 30 дней;
7.7.  достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение 30 дней;
7.8.  предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
7.9.  отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.
8.  Права клиента
8.1.  Клиент вправе:
-  получить сведения об обработке своих ПДн;
-  требовать уточнения, блокировки или уничтожения ПДн;
-  отозвать согласие, направив запрос на [контактный e mail/телефон];
-  обжаловать действия Оператора в Роскомнадзор или суд;
-  получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;
-  требовать от оператора уточнения его персональных данных, блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
-  дать предварительное согласие на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг;
-  обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.
9.  Меры защиты
9.1.  Оператор применяет организационные и технические меры, предусмотренные ст. 19 Закона о ПДн и Постановления Правительства РФ № 1521:
-  антивирус, парольная защита устройств;
-  двухфакторная аутентификация в мессенджерах;
-  шифрование резервных копий фото;
-  хранение бумажных карт в запираемом шкафу;
-  проведение регулярных резервных копий и обезличивание данных для аналитики.
9.2.  При выявлении неправомерной передачи ПДн Оператор:
-  в течение 24 часов уведомляет Роскомнадзор о факте инцидента, его предполагаемых причинах и принятых мерах;
-  в течение 72 часов направляет результаты внутреннего расследования и сведения о лицах, действия которых стали причиной.
10.  Публикация отзывов и фото
10.1.  Текстовый отзыв, фотографии до/после мероприятия, а также отзыв с упоминанием имени публикуются с согласия Клиента (согласие на обработку персональных данных).
10.2.  Клиент вправе в любой момент отозвать согласие на публикацию; фото и/или отзыв будут удалены в течение 10 календарных дней.
11.  Заключительные положения
11.1.  Политика действует с 1 июня 2025 года до её замены новой редакцией. 
11.2.  Изменения публикуются на http://shefluley.ru не позднее 5 дней с даты утверждения. 
11.3.  По вопросам обработки ПДн обращайтесь:lounge28@yandex.ru, +7(968) 000-23-33