Политика конфиденциальности

В политике используются понятия в значении, которое придаёт им Закон о персональных данных:

• персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор — лицо, которое организует и осуществляет обработку персональных данных и определяет её цели, состав данных и действия с ними;
• обработка — любое действие с персональными данными, совершаемое с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение;
• пользователь — посетитель Сайта, в том числе лицо, оформившее заказ;
• поручение обработки — обработка персональных данных другим лицом по договору с Оператором и в соответствии с его указаниями (ч. 3 ст. 6 Закона о персональных данных).

Оператор обрабатывает персональные данные, соблюдая следующие принципы:

• обработка ведётся законно, справедливо и только для заранее определённых целей;
• обрабатываются только те данные, которые нужны для этих целей, в объёме, не превышающем необходимый;
• не объединяются базы данных, обработка которых ведётся для несовместимых между собой целей;
• данные должны быть точными и актуальными; неточные сведения уточняются или удаляются;
• данные хранятся не дольше, чем этого требуют цели обработки или закон, после чего уничтожаются.

Оператор обрабатывает персональные данные для следующих целей:

• оформление, приготовление и передача заказа покупателю, в том числе доставка по указанному адресу;
• связь с покупателем по вопросам заказа: уточнение состава, адреса, времени, сообщение об изменениях;
• ведение профиля покупателя по номеру телефона из принятого заказа: имя, адрес доставки и история заказов — чтобы подставлять эти данные в следующих заказах;
• участие в бонусной программе: начисление, списание и учёт бонусов;
• рассмотрение отзывов, обращений и претензий;
• публикация отзыва на Сайте с сокращённым именем — только по отдельному согласию на распространение, которое пользователь даёт, отметив в форме отзыва флажок «Разрешаю опубликовать отзыв с моим именем»;
• обеспечение безопасности Сайта: защита от подбора кодов и промокодов, ограничение частоты запросов;
• исполнение обязанностей, возложенных на Оператора законодательством (бухгалтерский и налоговый учёт, защита прав потребителей).

Оператор обрабатывает следующие данные пользователей:

• имя, как его указал пользователь;
• номер телефона;
• адреса доставки, координаты точки на карте и уточнения к адресу (подъезд, этаж, квартира);
• сведения о местоположении устройства — только если пользователь разрешил их определение, чтобы выбрать адрес на карте; Оператор сохраняет лишь выбранную точку доставки, а иные координаты использует только для поиска адреса, и они могут оставаться лишь в технических журналах сервера;
• комментарии к заказу;
• состав, сумма, время и история заказов, выбранный способ получения и оплаты, статус оплаты;
• имя участника общей корзины, как он его указал, и выбранные им блюда — если пользователь присоединяется к общей корзине по ссылке;
• отзывы о заказах: оценка и текст;
• бонусный баланс и история операций с бонусами;
• технические данные: IP-адрес, сведения о браузере (User-Agent), идентификатор сессии в cookie, дата и время запросов;
• после удаления аккаунта — псевдонимизированный идентификатор номера телефона (хеш с секретным ключом Оператора) с признаком наличия заказов, а также сведения об использованных промокодах (код, дата и тот же идентификатор вместо номера телефона) — чтобы приветственные бонусы и скидки на первый заказ не выдавались повторно;

Оператор обрабатывает персональные данные на следующих основаниях:

• исполнение договора, стороной которого является пользователь, и заключение такого договора по его инициативе (п. 5 ч. 1 ст. 6 Закона о персональных данных) — для оформления, оплаты и передачи заказа;
• согласие пользователя на обработку персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных), текст которого опубликован по адресу https://demo.meenu.ru/personal-data-consent;
• исполнение обязанностей, возложенных на Оператора законом (п. 2 ч. 1 ст. 6 Закона о персональных данных), — бухгалтерский и налоговый учёт, рассмотрение претензий потребителей;
• законные интересы Оператора (п. 7 ч. 1 ст. 6 Закона о персональных данных) — хранение имени и адреса доставки по номеру телефона из принятого заказа для подстановки в следующие заказы с того же номера, если пользователь не возражает; защита Сайта от злоупотреблений, в том числе от повторного получения приветственных бонусов и скидок на первый заказ; обеспечение работы Сайта — при условии что права пользователей при этом не нарушаются.

Для достижения целей обработки Оператор может передавать данные или поручать их обработку:

• сотрудникам и курьерам Оператора — в объёме, необходимом для приготовления и передачи заказа;
• ООО «Дейта Кью» (сервис DaData) — введённый текст адреса или координаты точки на карте для подсказок и уточнения адреса;
• ООО «ЯНДЕКС» (сервис «Яндекс Карты») — для отображения карты, определения местоположения (с разрешения пользователя) и выбора точки доставки;
• государственным органам — в случаях и порядке, предусмотренных законом.

Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, распространения и уничтожения, в том числе:

• назначает ответственного за организацию обработки персональных данных и утверждает локальные документы;
• предоставляет сотрудникам доступ к данным только в пределах их ролей и обязанностей;
• хранит пароли сотрудников в виде стойких хешей, а не в открытом виде;
• передаёт данные между браузером и сервером только по защищённому протоколу HTTPS;
• ограничивает число попыток ввода кодов и промокодов и частоту запросов к Сайту;
• показывает на странице заказа, открытой по ссылке, имя и адрес получателя в сокращённом виде (инициал имени, адрес без квартиры, подъезда и этажа);
• контролирует принимаемые меры и уровень защищённости информационной системы.

Пользователь как субъект персональных данных вправе:

• получить сведения об обработке своих персональных данных: какие данные обрабатываются, для чего, на каком основании и кому передаются;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, получены незаконно или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных, в том числе согласие на публикацию имени в отзыве;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.