Уведомление о конфиденциальности

Настоящее уведомление о конфиденциальности разъясняет, каким образом Montandor Andorra S.L.U. («Montandor», «мы») собирает, использует, хранит и защищает ваши персональные данные, когда вы посещаете сайт securitshop.com, размещаете заказ или взаимодействуете с закреплённым за вами страновым менеджером через чат бутика. Оно составлено в соответствии с андоррским законодательством о защите персональных данных (Llei Qualificada de Protecció de Dades, LQPD), Общим регламентом ЕС о защите данных (EU 2016/679) в случаях, когда посетитель находится на территории Европейского союза, а также применимыми национальными нормами о защите данных в странах Европы там, где они действуют.

1. Контролёр персональных данных

Montandor Andorra S.L.U., зарегистрированный офис по адресу: Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Княжество Андорра. По любому вопросу, касающемуся конфиденциальности, либо для реализации своих прав направьте письмо на адрес [email protected] или воспользуйтесь чатом бутика, выбрав категорию «Privacy». Мы отвечаем в сроки, установленные применимым законодательством, и в любом случае в течение тридцати (30) дней.

2. Собираемые нами данные

Мы собираем четыре категории данных, строго ограниченных тем, что необходимо для исполнения вашего заказа и ведения коммерческих отношений:

• Данные учётной записи и заказа: полное имя, наименование компании (при наличии), адреса выставления счёта и доставки, электронная почта, телефон, номера заказов, история покупок. Эти данные необходимы для заключения и исполнения договора купли-продажи.
• Платёжные данные: мы никогда не храним полные номера карт. Платёж обрабатывается нашим поставщиком, сертифицированным по стандарту PCI-DSS Level 1. Мы сохраняем только токен транзакции, последние четыре цифры карты, платёжную сеть (Visa, Mastercard, Amex), срок действия и статус платежа — в целях бухгалтерского учёта и противодействия мошенничеству.
• Данные о доставке: адрес доставки, код домофона, инструкции по доставке, трек-номер перевозчика (Chronopost, DHL Express). Передаются исключительно нашему перевозчику и логистическому оператору 3PL для исполнения доставки.
• Технические данные соединения: IP-адрес, user agent, приблизительная страна, просмотренная страница, метка времени. Используются для наших журналов доступа в целях безопасности, предотвращения мошенничества и технической диагностики.

Мы не собираем каких-либо чувствительных данных по смыслу статьи 9 GDPR (этническое происхождение, политические взгляды, религия, состояние здоровья, сексуальная ориентация, членство в профсоюзах, биометрические или генетические данные).

3. Цели и правовое основание

4. Сроки хранения

• Данные заказов и выставления счетов: срок коммерческих отношений плюс десять (10) лет, в соответствии с андоррскими и французскими обязательствами по бухгалтерскому учёту.
• Платёжные данные: тринадцать (13) месяцев для токена транзакции и элементов противодействия мошенничеству, в соответствии с рекомендациями CNIL и требованиями PCI-DSS.
• Неактивная учётная запись клиента: три (3) года после последнего входа, затем удаление или анонимизация (с учётом остаточных обязательств по бухгалтерскому учёту).
• Технические журналы доступа: двенадцать (12) месяцев, затем автоматическое удаление.
• Агрегированное измерение аудитории: тринадцать (13) скользящих месяцев.
• Рассылка: до момента отписки, осуществляемой мгновенно по ссылке в каждом сообщении.

5. Получатели и обработчики

Собранные данные обрабатываются нашей внутренней командой и ограниченным числом технических обработчиков, строго необходимых для исполнения вашего заказа:

• Хостинг инфраструктуры: Microsoft Azure, регион West Europe. Данные хранятся в пределах ЕС.
• Payment: платежи по картам обрабатываются через Redsys (Redsys Servicios de Procesamiento, S.L., Испания — ЕС), наш платёжный шлюз, сертифицированный по стандарту PCI-DSS уровня 1, который обеспечивает получение данных карты, авторизацию, 3-D Secure (PSD2 SCA) и проверку на мошенничество. Банком-эквайером является Creand (Creand Crèdit Andorrà, S.A., Андорра); Андорра пользуется решением Европейской комиссии об адекватности уровня защиты (2010/625/EU). Мы никогда не получаем и не храним полные номера карт.
• Логистика и доставка: логистический оператор 3PL во Франции (склад Grisolles, 82170) и перевозчики (Chronopost, DHL Express) для доставки «последней мили».
• Транзакционная электронная почта: Mailgun (ЕС), для доставки подтверждений, счетов и уведомлений об отправке.
• Сервисы Microsoft 365: внутренняя корпоративная электронная почта, календари, документация. Тенант Montandor.
• Мультиперевозочные тарифы доставки: Upela (Upela SAS, Франция), агрегатор перевозчиков, опрашивающий Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx и DHL. Передаются только данные, строго необходимые для расчёта: почтовый индекс места назначения, город, вес и габариты посылки. На этом этапе персональные данные не передаются.
• Автозаполнение адреса: Google Maps Platform — Maps JavaScript API и Places API (Google Ireland Limited). Скрипт Google загружается только после вашего первого взаимодействия с полем «адрес доставки». См. policies.google.com/privacy.
• Проверка французских компаний (SIRET / SIREN): государственный реестр компаний Франции через recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Публичные данные INSEE/Sirene, повторно используемые по лицензии Licence Ouverte 2.0. Для покупок B2B во Франции дополняется API societe.com (Société.com SAS, Франция).
• Проверка номера НДС ЕС: система VIES Европейской комиссии (DG TAXUD), в соответствии с Регламентом Совета (EU) No 904/2010. Передаётся только введённый вами номер НДС.

Каждый обработчик связан Соглашением об обработке данных (DPA), охватывающим необходимые договорные, организационные и технические меры защиты, за исключением публичных сервисов, повторно используемых по открытой лицензии (DataGouv, VIES), которые не основаны на двустороннем DPA. Актуальный перечень доступен по запросу по адресу [email protected].

6. Международная передача данных

Собранные данные хранятся и обрабатываются в пределах Европейского экономического пространства (Microsoft Azure West Europe, французский логистический склад). Передача в Княжество Андорра может осуществляться для внутренних административных операций — Андорра пользуется решением Европейской комиссии об адекватности (2010/625/EU), гарантирующим уровень защиты, признаваемый равнозначным. Никакая передача в третью страну, не имеющую решения об адекватности, не осуществляется без стандартных договорных положений или равнозначных мер защиты.

7. Безопасность

Мы применяем разумные технические и организационные меры для защиты ваших данных: сквозное шифрование TLS 1.3, токенизацию платежей (PCI-DSS Level 1), строгий контроль доступа к внутренним системам, ведение журналов доступа, многофакторную аутентификацию для административных учётных записей, ежедневные зашифрованные резервные копии, разделение продуктивной и тестовой сред, периодические аудиты безопасности. В случае нарушения, способного повлечь риск для ваших прав и свобод, мы уведомляем компетентный надзорный орган в течение 72 часов и, если риск является высоким, информируем вас напрямую.

8. Автоматизированные решения и профилирование

Никакие решения, порождающие правовые последствия или существенно затрагивающие посетителей, не принимаются полностью автоматизированной обработкой. Мы применяем автоматизированные правила противодействия мошенничеству к платёжным транзакциям (проверка адреса, выявление подозрительного поведения); любое решение о блокировке или отмене может быть оспорено по электронной почте [email protected] и влечёт проверку человеком — членом нашей команды.

9. Ваши права

В соответствии с GDPR и андоррским LQPD вы обладаете следующими правами в отношении касающихся вас данных:

• Право на доступ к вашим данным.
• Право на исправление неточных данных.
• Право на удаление («право быть забытым») на условиях, установленных законом.
• Право на ограничение обработки.
• Право на переносимость ваших данных другому контролёру.
• Право возражать против обработки, основанной на законном интересе.
• Право отозвать согласие в любой момент в отношении обработки, основанной на согласии (например, рассылка).
• Право установить посмертные распоряжения.
• Право подать жалобу в Андоррское агентство по защите данных (APDA), французский CNIL или ваш местный надзорный орган ЕС.

Для реализации своих прав направьте письмо на [email protected] или воспользуйтесь чатом бутика, выбрав «Privacy». Для предотвращения выдачи себя за другое лицо может быть запрошено разумное подтверждение личности.

10. Изменения настоящего уведомления

Настоящее уведомление может изменяться. Дата последнего обновления указана в верхней части страницы. Существенные изменения (смена контролёра, изменение целей, добавление нового значимого обработчика) будут выделены посредством специального информационного баннера в течение тридцати (30) дней.