Политика обработки персональных данных

1.1. Настоящая Политика определяет порядок обработки персональных данных (далее — ПД) и меры по обеспечению их безопасности в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

1.2. Оператор персональных данных:

• E-mail для запросов по ПД: legal@shaolin.toys
• Бренд: Shaolin Toys (Independent Premium Designer Toy Brand)

1.3. Политика действует в отношении ПД, получаемых при использовании сайта https://shaolin.toys, оформлении заказов, обращении в поддержку и использовании мобильного приложения Shaolin Toys и Telegram-бота @ShaolinToysBot.

1.4. Использование сайта и оформление заказа означают ознакомление с настоящей Политикой. В случае несогласия пользователь обязан прекратить использование сайта.

Оператор обрабатывает ПД исключительно для следующих целей:

• Оформление и исполнение заказа на коллекционные дизайнерские фигурки (заключение и исполнение договора публичной оферты).
• Организация доставки заказа транспортными компаниями.
• Формирование и передача фискальных чеков в соответствии с 54-ФЗ.
• Прием оплат через лицензированные платежные шлюзы.
• Обработка обращений и техническая поддержка.
• Активация цифрового компаньона (Digital Companion) по уникальному QR-коду на подошве фигурки.
• Транзакционные уведомления о статусе заказа.
• Аналитика использования сайта на основе обезличенных данных.

Обработка для иных целей не осуществляется.

• Согласие субъекта ПД (п. 1 ч. 1 ст. 6 152-ФЗ) — через отдельные чекбоксы при оформлении заказа и подписке на уведомления.
• Заключение и исполнение договора, стороной которого является субъект ПД (п. 5 ч. 1 ст. 6 152-ФЗ) — обработка заказа, доставка, возвраты.
• Исполнение обязанностей, предусмотренных законодательством РФ (п. 2 ч. 1 ст. 6 152-ФЗ) — фискализация по 54-ФЗ, налоговый учет.

4.1. Данные, предоставляемые пользователем:

• Фамилия, имя.
• Адрес электронной почты.
• Номер мобильного телефона.
• Адрес доставки.

4.2. Данные, собираемые автоматически:

• IP-адрес, cookie, идентификаторы сессии.
• Тип устройства, браузера, операционной системы.
• Дата и время посещения, история просмотров страниц.

4.3. Данные, связанные с продуктом:

• Идентификатор заказа.
• Статус активации QR-кода фигурки (активирован / не активирован).

4.4. Оператор НЕ собирает и НЕ хранит:

• Полные реквизиты банковских карт (обработка выполняется на стороне лицензированного платежного шлюза по стандарту PCI DSS).
• Биометрические данные, данные о здоровье, политических или религиозных убеждениях.
• Данные криптокошельков, приватные ключи, seed-фразы (продукт не использует криптовалютные платежи).

5.1. Обработка осуществляется на принципах законности, ограничения конкретными целями и минимизации объема данных (ст. 5 152-ФЗ).

5.2. Обработка ведется с использованием средств автоматизации.

5.3. В соответствии с ч. 5 ст. 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение ПД граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Хостинг-провайдер: [хостинг-провайдер].

5.4. Трансграничная передача ПД не осуществляется. При необходимости трансграничной передачи Оператор предварительно уведомляет Роскомнадзор и обеспечивает адекватную защиту данных в стране-получателе.

6.1. Передача осуществляется только в объеме, необходимом для достижения целей обработки, на основании договоров, содержащих условия конфиденциальности и безопасности ПД.

6.2. Категории получателей:

• Платежные шлюзы (Т-Банк, ЮKassa, CloudPayments) — идентификатор заказа и сумма платежа. Данные карт не проходят через серверы Оператора.
• Транспортные компании (СДЭК, Почта России) — ФИО, телефон, адрес доставки.
• Оператор фискальных данных (ОФД) и сервис облачной онлайн-кассы — данные, необходимые для формирования чека по 54-ФЗ.
• Сервисы транзакционных уведомлений (SMTP) — e-mail и содержание уведомления.
• Хостинг-провайдер — хранение данных на серверах в РФ.

6.3. Оператор не передает ПД в маркетинговых целях, не продает данные и не передает их брокерам данных.

7.1. Сроки хранения:

• Данные заказа и доставки — 5 лет (требования налогового законодательства РФ).
• Фискальные данные — сроки, установленные 54-ФЗ и НК РФ.
• Данные обращений и претензий — 3 года с момента завершения гарантийного срока.
• Аналитические cookie — не более 12 месяцев.

7.2. При достижении цели обработки, истечении срока хранения или отзыве согласия ПД уничтожаются в течение 30 дней, если иное не предусмотрено законодательством РФ (ст. 21 152-ФЗ).

8.1. Субъект ПД имеет право (ст. 14 152-ФЗ):

• Получать информацию об обработке своих ПД.
• Требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных или незаконно полученных данных.
• Отзывать согласие на обработку.
• Обжаловать действия Оператора в Роскомнадзоре или в суде.

8.2. Запрос направляется на e-mail: legal@shaolin.toys. Оператор предоставляет ответ в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с мотивированным уведомлением (ст. 12 152-ФЗ).

9.1. Субъект вправе отозвать согласие, направив запрос на legal@shaolin.toys.

9.2. При отзыве согласия Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней с даты поступления отзыва, если обработка не требуется для исполнения договора или обязанностей по закону (ст. 21 152-ФЗ).

10.1. Сайт использует cookie для работы сессии, корзины и обезличенной аналитики.

10.2. Пользователь может отключить cookie в настройках браузера; это может повлиять на работу корзины и оформления заказа.

10.3. Аналитика используется с анонимизацией IP-адресов; обезличенные данные не являются ПД.

11.1. Оператор принимает правовые, организационные и технические меры защиты ПД (ст. 18.1, 19 152-ФЗ):

• Шифрование трафика TLS 1.2/1.3 (HTTPS).
• Ограничение доступа по ролевой модели.
• Защита от SQL-инъекций, XSS, CSRF.
• Журналирование доступа и мониторинг инцидентов.
• Соглашения о неразглашении с сотрудниками, имеющими доступ к ПД.
• Назначение ответственного за организацию обработки ПД.

12.1. Продукты Shaolin Toys — коллекционные арт-объекты с рейтингом 14+, не детские игрушки.

12.2. Оформление заказов допускается с 18 лет либо с согласия законного представителя.

12.3. При выявлении ПД лица младше 14 лет они удаляются в кратчайшие сроки.

13.1. Каждая фигурка содержит уникальный криптографический QR/HMAC-код на подошве. Сканирование кода в приложении активирует Digital Companion.

13.2. Активация фиксирует факт использования продукта и не требует передачи ПД на сервер Оператора для базовой функциональности.

13.3. Синхронизация между устройствами доступна по желанию пользователя через создание аккаунта по e-mail и требует отдельного согласия.

14.1. Оператор вправе вносить изменения. Новая редакция вступает в силу с момента публикации.

14.2. Существенные изменения (новые цели, новые категории данных, новые получатели) доводятся до сведения пользователей не менее чем за 14 дней до вступления в силу.

• Поддержка: support@shaolin.toys
• Уполномоченный орган: Роскомнадзор (https://rkn.gov.ru)