Политика в отношении обработки персональных данных и использования файлов cookie

1.Оператор и общие положения

Оператор персональных данных: Ус Николай Геннадьевич (физическое лицо, владелец сайта).

• Адрес для любых обращений по вопросам персональных данных: info@russianfactories.ru
• Обязанности оператора, включая рассмотрение обращений субъектов, исполняет он лично.

Политика действует в отношении сайта russianfactories.ru и всех его страниц, включая карту производителей, каталог заводов, страницы отдельных предприятий в разделе /zavod/, личный кабинет покупателя и личный кабинет завода.

Политика утверждена и размещена в свободном доступе во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Ссылка на неё есть в шапке каждой страницы сайта.

Оператор не проверяет достоверность сообщённых ему данных и исходит из того, что посетитель указывает свои собственные данные либо располагает согласием того лица, чьи данные он указывает. Если вы заполняете форму от имени организации и указываете в ней чужие контакты, ответственность за наличие согласия этого человека лежит на вас.

2.Термины

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (ст. 3 152-ФЗ). На этом сайте это, в частности, имя, телефон, адрес электронной почты, IP-адрес и идентификаторы, записанные в cookie.
• Обработка — любое действие с персональными данными: сбор, запись, хранение, использование, передача, удаление.
• Оператор — лицо, определяющее цели и состав обрабатываемых данных, то есть организация, указанная в разделе 1.
• Cookie — небольшой фрагмент данных, который сайт просит браузер сохранить и вернуть при следующем запросе. Именно cookie позволяют браузеру «помнить», что вы вошли в кабинет.
• Покупатель — посетитель, оформивший подписку на доступ к контактам заводов.
• Завод — предприятие из каталога; его уполномоченный представитель может входить в кабинет завода.

3.Правовые основания обработки

Оператор обрабатывает персональные данные на основании:

• согласия субъекта — п. 1 ч. 1 ст. 6 и ст. 9 152-ФЗ. На этом основании работает веб-аналитика (Яндекс.Метрика, включая Вебвизор) и обработка данных, которые вы сами вводите в формы сайта;
• исполнения договора, стороной которого является субъект, — п. 5 ч. 1 ст. 6 152-ФЗ. На этом основании обрабатывается адрес электронной почты подписчика: без него нельзя ни выдать доступ, ни выставить чек, ни продлить подписку;
• исполнения обязанностей, возложенных законом, — п. 2 ч. 1 ст. 6 152-ФЗ: выдача кассового чека по Федеральному закону от 22.05.2003 № 54-ФЗ, хранение бухгалтерских документов;
• законных интересов оператора — п. 7 ч. 1 ст. 6 152-ФЗ: защита сайта от автоматизированных злоупотреблений (ограничение частоты запросов, капча), при условии что права субъекта при этом не нарушаются.

Согласие даётся свободно, своей волей и в своём интересе, оно конкретное, предметное, информированное, сознательное и однозначное (ч. 1 ст. 9 152-ФЗ). Сайт не использует заранее проставленных галочек и не считает согласием сам факт продолжения просмотра страниц.

Отказ от необязательного согласия не лишает вас доступа к сайту. Если вы отклоните аналитические cookie, карта, каталог, страницы заводов, тарифы и форма обратной связи продолжат работать в полном объёме. Отказ также не является основанием для отказа в заключении договора подписки.

4.Чьи данные и какие именно мы обрабатываем

4.1. Любой посетитель сайта

• IP-адрес, из которого пришёл запрос;
• дата и время запроса, запрошенный адрес страницы, тип и версия браузера, операционная система, разрешение экрана, язык, адрес страницы-источника перехода — эти сведения попадают в журналы веб-сервера и в Яндекс.Метрику, если вы согласились на аналитику;
• идентификаторы, записанные в cookie аналитического сервиса, и записанное Вебвизором поведение на странице — только при согласии, см. разделы 6 и 7.

IP-адрес используется ещё и как ключ ограничения частоты обращений к публичным эндпоинтам сайта: это защита от массовой автоматической выгрузки каталога. Записи такого журнала подчищаются автоматически по мере устаревания.

4.2. Отправитель любой формы на сайте

Это три формы: «Запрос КП» на карточке завода, обращение на странице «Контакты» и заявка на добавление завода. Все они собирают одно и то же: имя, адрес электронной почты, телефон (в части форм необязательно), текст обращения и IP-адрес, с которого форма отправлена. Заявка на добавление завода собирает ещё название и город предприятия — это сведения о юридическом лице, а не о человеке.

4.3. Покупатель подписки

Собирается адрес электронной почты. Он же служит логином: вход выполняется по одноразовой ссылке из письма, пароля на сайте нет. Дополнительно хранятся служебные сведения о подписке — статус, дата окончания оплаченного периода и идентификаторы платежей, присвоенные платёжным сервисом. Номер карты, срок её действия и код проверки на сайт не попадают: данные карты вводятся на стороне платёжного сервиса.

4.4. Представитель завода в кабинете завода

Собирается адрес электронной почты, указанный в карточке предприятия; вход — по одноразовой ссылке, так же как у покупателя.

4.5. Что мы НЕ обрабатываем

• специальные категории данных (национальность, политические взгляды, религия, здоровье, интимная жизнь) — ст. 10 152-ФЗ;
• биометрические персональные данные — ст. 11 152-ФЗ;
• данные несовершеннолетних: сайт адресован специалистам по закупкам и представителям предприятий и не предназначен для лиц младше 18 лет;
• реквизиты банковских карт;
• данные геолокации устройства посетителя. Координаты, которые вы видите на карте, — это координаты заводов, а не ваши.

Профилирование, автоматическое принятие решений, порождающих юридические последствия (ст. 16 152-ФЗ), а также передача данных для рекламных рассылок третьих лиц не осуществляются.

5.Цели обработки

1. Передать заводу ваш запрос. Имя, телефон, email и текст заявки нужны, чтобы производитель мог ответить вам напрямую.
2. Ответить на обращение, отправленное через страницу «Контакты».
3. Рассмотреть заявку на добавление предприятия в каталог и связаться с заявителем при необходимости уточнений.
4. Предоставить доступ по подписке: идентифицировать покупателя, выдать сессию, посчитать оставшиеся показы контактов, продлить оплаченный период.
5. Провести оплату и выдать кассовый чек в соответствии с 54-ФЗ.
6. Дать представителю завода доступ в кабинет предприятия.
7. Понимать, как посетители пользуются сайтом: какие разделы открывают, где теряются, какие фильтры не находят. Это цель веб-аналитики, и только она требует вашего согласия на cookie.
8. Обеспечить работоспособность и защиту сайта: ограничение частоты запросов, проверка капчей, защита форм от подделки межсайтовых запросов, диагностика сбоев.

Обработка ограничена перечисленными целями. Данные, собранные для одной цели, не используются для другой без нового основания (ч. 2 ст. 5 152-ФЗ). Массовых рекламных рассылок оператор не ведёт.

6.Файлы cookie и локальное хранилище

Отдельного закона о файлах cookie в России нет. Они регулируются через 152-ФЗ: если cookie позволяет прямо или косвенно соотнести действия с конкретным человеком, её содержимое является персональными данными и требует основания для обработки. Поэтому мы делим cookie на две группы и обращаемся с ними по-разному.

6.1. Необходимые — ставятся всегда

Без них вход в личный кабинет и защита форм работать не могут. Они не используются для аналитики, рекламы и отслеживания на других сайтах. Правовое основание — исполнение договора и законный интерес оператора в защите сайта.

Это три технические метки, которые ставит сам сайт: две помнят, что вы вошли в личный кабинет покупателя или завода, третья защищает действия в кабинете от подделки со стороннего сайта. Все три живут тридцать дней, передаются только по защищённому соединению и недоступны скриптам страницы. Аналитики в них нет.

Кроме cookie сайт использует локальное хранилище браузера (localStorage) для одной записи — rf_cookie_consent. В ней хранится ваш ответ на уведомление о cookie («принято» или «отклонено»), номер версии уведомления и время выбора. Запись нужна ровно для того, чтобы не спрашивать вас снова и чтобы при отказе не запускать аналитику. Она остаётся в вашем браузере, на сервер не передаётся и никаких сведений о вас не содержит.

6.2. Аналитические — только с вашего согласия

Их ставит сервис Яндекс.Метрика. До нажатия кнопки «Принять» скрипт Метрики на страницу не загружается вовсе, а значит эти cookie не появляются. Технически это так: счётчик больше не встроен в код страниц, его запускает отдельный сценарий и только после вашего согласия. При отказе на сайте не остаётся ни одной аналитической cookie.

Метрика ставит несколько собственных меток со сроком жизни до года. Они нужны, чтобы отличить повторный визит от нового, запомнить дату первого посещения и вести запись действий на странице. Их точный состав, имена и сроки определяет Яндекс и может изменить в любой момент, поэтому перечислять их здесь бессмысленно — актуальные сведения публикует сам сервис, ссылка ниже. Оператор видит только обезличенные отчёты и не может по ним установить личность посетителя.

Точный состав и сроки этих cookie определяет Яндекс и может их менять; актуальный перечень публикует сам сервис. Оператор передаёт вам эти сведения справочно.

6.3. Cookie сторонних сервисов, встроенных в страницы

Часть страниц подключает внешние сервисы, необходимые для их работы. Эти сервисы получают ваш IP-адрес и сведения о браузере просто потому, что ваш браузер обращается к ним напрямую, и могут ставить собственные cookie в соответствии со своими правилами:

• Яндекс.Карты (api-maps.yandex.ru) — подложка и метки на карте производителей; без этого сервиса главная страница не работает;
• Яндекс SmartCaptcha (smartcaptcha.yandexcloud.net) — проверка, что форму заполняет человек, а не робот; защищает заводы от потока фальшивых заявок;
• ЮKassa (yookassa.ru) — приём платежей; переход на страницу оплаты происходит по вашему действию;
• Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — загрузка шрифтов оформления;
• jsDelivr (cdn.jsdelivr.net) — загрузка библиотеки построения графиков, только при открытии карточки с финансовой аналитикой.

Оператор не управляет содержимым cookie этих сервисов и не имеет к ним доступа. Правила обработки данных каждого из них определяет соответствующая компания.

6.4. Как отказаться

Аналитику можно отключить кнопкой «Отклонить» в уведомлении внизу экрана или в разделе управления согласием на этой странице. Дополнительно любые cookie можно запретить или удалить средствами самого браузера — в этом случае необходимые cookie тоже перестанут работать, и вход в личный кабинет станет невозможен.

7.Яндекс.Метрика и Вебвизор

Сайт использует сервис веб-аналитики Яндекс.Метрика (счётчик № 105361736), предоставляемый ООО «ЯНДЕКС». Мы выделяем этот сервис в отдельный раздел, потому что у него включена функция Вебвизор, и это заметно больше, чем обычный подсчёт посещений.

7.1. Что именно записывает Вебвизор

Вебвизор сохраняет ход вашего визита так, что его можно воспроизвести как видеозапись: перемещения указателя мыши, нажатия, прокрутку страницы, изменение размера окна, последовательность открытых страниц, факт ввода в поля форм. Помимо этого Метрика собирает карту кликов, глубину прокрутки, источник перехода, IP-адрес, сведения о браузере и устройстве.

Содержимое полей форм в записи не передаётся. Все поля, куда вы вводите имя, телефон, адрес электронной почты и текст запроса, помечены служебными классами ym-disable-keys и ym-disable-submit: Вебвизор не записывает нажатия клавиш в них и не отправляет их содержимое при отправке формы. Это прямое требование п. 4.1.2 условий использования Яндекс.Метрики, запрещающего собирать через запись сессий напрямую идентифицирующие сведения, и предусмотренный п. 4.1.3 тех же условий способ его исполнить.

Тем не менее по совокупности остальных сведений — маршрут по страницам, IP-адрес, характеристики устройства — запись визита может быть косвенно соотнесена с конкретным человеком. Поэтому мы обрабатываем её как персональные данные и запрашиваем согласие, а не полагаемся на то, что запись «обезличена».

7.2. На каком основании и как отказаться

Основание — исключительно ваше согласие. До нажатия «Принять» код счётчика на страницу не загружается: ни скрипт, ни отслеживающее изображение. Если вы нажали «Отклонить», Метрика не запускается ни на одной странице сайта, включая страницы отдельных заводов.

Отозвать согласие можно в любой момент в разделе управления согласием. Отзыв действует сразу для последующих страниц; ранее собранные записи удаляются по вашему запросу, направленному оператору (см. раздел 13), а также автоматически по истечении срока хранения на стороне сервиса.

Дополнительно Яндекс предоставляет собственный инструмент отказа от Метрики на всех сайтах сразу — блокировщик Яндекс.Метрики. Правила обработки данных сервисом описаны в политике конфиденциальности Яндекса и в условиях использования Яндекс.Метрики.

В отношении данных, собранных Метрикой, ООО «ЯНДЕКС» выступает самостоятельным лицом, обрабатывающим персональные данные по поручению оператора в объёме, определённом условиями сервиса.

8.Согласие и его отзыв

8.1. Как даётся согласие

• На аналитику — нажатием кнопки «Принять» в уведомлении внизу экрана. Кнопки «Принять» и «Отклонить» одинаковы по размеру, цвету и заметности: отказ не должен быть труднее согласия. Если вы не нажали ничего, согласие считается неполученным и аналитика не запускается.
• На обработку данных из форм — отправкой заполненной формы после ознакомления с настоящей политикой, ссылка на которую есть в шапке каждой страницы. Отправляя форму, вы подтверждаете согласие на обработку указанных в ней данных для целей раздела 5.

Молчание и бездействие согласием не считаются. Заранее проставленных отметок на сайте нет.

8.2. Как отозвать согласие

• Аналитика — раздел управления согласием ниже. Одно нажатие, без обращения к оператору.
• Данные из форм и учётной записи — письмом на адрес info@russianfactories.ru с указанием, какие данные и по какому обращению следует прекратить обрабатывать.

Отзыв согласия не затрагивает законность обработки, совершённой до отзыва. После отзыва оператор прекращает обработку и уничтожает данные, если нет иного основания их хранить — например, обязанности хранить документы об оплате, установленной законодательством о бухгалтерском учёте и о применении контрольно-кассовой техники.

9.Передача данных третьим лицам

Оператор не продаёт персональные данные и не передаёт их для чужих рекламных целей. Передача происходит только в следующих случаях:

• Заводу-получателю заявки. Отправляя запрос коммерческого предложения, вы поручаете нам передать ваши имя, телефон, email и текст запроса выбранному предприятию — иначе оно не сможет вам ответить. Дальнейшую обработку этих данных предприятие ведёт самостоятельно и как самостоятельный оператор.
• ЮKassa (ООО НКО «ЮМани») — адрес электронной почты плательщика и сведения о заказе, необходимые для проведения платежа и формирования кассового чека по 54-ФЗ.
• ООО «ЯНДЕКС» — данные веб-аналитики, при вашем согласии (раздел 7), а также обращения к сервисам карт и капчи.
• Хостинг-провайдеру на территории Российской Федерации — в силу размещения сайта на его оборудовании; провайдер выступает лицом, обрабатывающим данные по поручению оператора.
• Уполномоченным государственным органам — по мотивированному запросу в порядке и объёме, установленных законом.

Общедоступных источников персональных данных (справочников, адресных книг) в смысле ст. 8 152-ФЗ оператор не создаёт. Каталог заводов содержит сведения о юридических лицах — см. раздел 14.

10.Трансграничная передача и размещение баз

Базы данных, в которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, находятся на территории Российской Федерации — требование ч. 5 ст. 18 152-ФЗ. Сервер сайта и база данных размещены у российского хостинг-провайдера, указанного в разделе 9.

Целенаправленной трансграничной передачи персональных данных оператор не осуществляет и уведомление о такой передаче по ст. 12 152-ФЗ не подавал. Вместе с тем следует учитывать: страницы сайта подключают шрифты Google Fonts и библиотеку графиков с сети доставки контента jsDelivr, поэтому ваш браузер обращается к этим ресурсам напрямую и раскрывает им свой IP-адрес. Оператор эти обращения не инициирует от вашего имени и полученных сведений не получает, но обязан о них сообщить.

11.Сроки хранения и уничтожение

Данные хранятся не дольше, чем этого требует цель обработки (ч. 7 ст. 5 152-ФЗ).

При достижении цели обработки, отзыве согласия или получении требования субъекта данные уничтожаются в срок, установленный ст. 21 152-ФЗ, если отсутствует иное законное основание для их хранения.

12.Меры защиты

Оператор принимает правовые, организационные и технические меры, требуемые ст. 18.1 и ст. 19 152-ФЗ. В частности:

• сайт работает по протоколу HTTPS; cookie сессий помечены флагами Secure и SameSite=Lax, а сессионные — ещё и HttpOnly, то есть недоступны сценариям на странице;
• вход выполняется по одноразовой ссылке ограниченного срока действия; пароли на сайте не хранятся;
• токен сессии подписан и может быть отозван на стороне сервера при выходе из кабинета;
• файл базы данных размещён вне корневой директории сайта и закрыт от прямого обращения из интернета;
• обращения к базе выполняются только подготовленными выражениями — защита от внедрения SQL-кода;
• формы защищены капчей и ограничением частоты обращений; действия в кабинете завода — проверкой межсайтового токена;
• контакты и финансовые показатели заводов по умолчанию замаскированы и раскрываются только в пределах оплаченной квоты;
• доступ к персональным данным имеет ограниченный круг лиц, определённый оператором;
• ведётся резервное копирование данных.

Ни одна мера не даёт абсолютной гарантии. Если оператору станет известно о неправомерном доступе к персональным данным, он действует в порядке, установленном ч. 3.1 ст. 21 152-ФЗ, включая уведомление Роскомнадзора в установленные сроки.

13.Права субъекта персональных данных

Вы вправе (ст. 14, 20, 21 152-ФЗ):

• получить подтверждение факта обработки ваших данных и сведения о ней: правовое основание, цели, состав данных, сроки обработки, кому они передавались;
• требовать уточнения данных, если они неполны, устарели или неточны;
• требовать блокирования или уничтожения данных, если они получены незаконно или не нужны для заявленной цели;
• отозвать согласие на обработку;
• возражать против обработки;
• обжаловать действия оператора в Роскомнадзоре как уполномоченном органе по защите прав субъектов персональных данных или в суде.

Как обратиться

Направьте запрос на info@russianfactories.ru. По ч. 3 ст. 14 152-ФЗ запрос должен содержать:

1. сведения, подтверждающие ваше участие в отношениях с оператором, — например, адрес электронной почты, с которого отправлялась заявка или оформлялась подписка, дату обращения;
2. номер основного документа, удостоверяющего личность, сведения о дате его выдачи и выдавшем органе — либо иные сведения, подтверждающие факт обработки данных оператором;
3. подпись субъекта или его представителя (для запроса в форме электронного документа — электронную подпись).

Оператор отвечает в течение десяти рабочих дней с даты получения запроса. Этот срок может быть продлён, но не более чем на пять рабочих дней, с направлением уведомления о причинах продления (ст. 20 152-ФЗ). Ответ направляется в той же форме, в которой поступил запрос, если в нём не указано иное, и предоставляется безвозмездно.

Если запрос не позволяет установить, чьи данные запрашиваются, оператор вправе запросить дополнительные сведения — иначе он рискует раскрыть данные постороннему.

Роскомнадзор: 109992, г. Москва, Китайгородский пр., д. 7, стр. 2; rkn.gov.ru. Форма обращения — на портале pd.rkn.gov.ru.

14.Сведения о заводах из открытых источников

Каталог содержит сведения о предприятиях: наименование и организационно-правовая форма, ИНН, регион и город, адрес, телефон, адрес электронной почты, сайт, выпускаемые марки продукции и показатели бухгалтерской отчётности. Источники — ЕГРЮЛ, Реестр российской промышленной продукции Минпромторга, государственный информационный ресурс бухгалтерской отчётности ФНС России и официальные сайты производителей.

Сведения о юридическом лице персональными данными не являются — они относятся к организации, а не к физическому лицу. Тем не менее в отдельных случаях запись может касаться индивидуального предпринимателя либо содержать именной адрес электронной почты сотрудника. Такие сведения оператор обрабатывает как персональные данные, полученные из источников, доступ к которым открыт неограниченному кругу лиц самим субъектом или по его требованию (п. 10 ч. 1 ст. 6 152-ФЗ), и исключительно в целях справочного каталога производителей.

Если вы считаете, что в карточке предприятия опубликованы ваши персональные данные, вы вправе потребовать их уточнения, блокирования или удаления. Напишите на info@russianfactories.ru, укажите ссылку на карточку и что именно должно быть изменено. Проверка и исправление выполняются в сроки раздела 13.

15.Изменение политики

Оператор вправе изменять настоящую политику. Действующая редакция всегда размещена по адресу russianfactories.ru/privacy.html; дата редакции указана в начале документа.

Если изменения затронут состав обрабатываемых данных или цели обработки, уведомление о cookie будет показано заново и потребуется новое согласие: прежний выбор новые цели не покрывает. Косметические правки текста согласие не аннулируют.