1Оператор

Оператором персональных данных является:

Оператор осуществляет обработку персональных данных с использованием средств автоматизации и без использования таковых, а также обеспечивает их защиту в соответствии с законодательством Российской Федерации.

2Субъект персональных данных

Субъектом персональных данных (далее — Субъект) признаётся физическое лицо, направляющее свои данные Оператору одним из способов, указанных в разделе «Порядок выражения согласия», с целью получения товаров, услуг или информации.

Субъект подтверждает, что является лицом, достигшим возраста 18 лет, либо получил предварительное согласие законного представителя на передачу персональных данных Оператору.

3Перечень обрабатываемых персональных данных

3.1. Персональные данные общей категории

• Фамилия, имя, отчество (при наличии);
• Контактный номер телефона;
• Адрес электронной почты;
• Адрес доставки (регион, город, улица, дом, квартира/офис);
• Идентификаторы в мессенджерах (Telegram, MAX) — при выборе соответствующего канала коммуникации;
• Дата рождения — при добровольном заполнении профиля для получения персональных скидок;
• Сведения о заказах: номенклатура, количество, стоимость, история покупок, применённые бонусы.

3.2. Технические данные, собираемые автоматически

• IP-адрес устройства;
• Тип и версия браузера, операционной системы;
• Файлы cookie, идентификаторы сессии;
• Геолокация на уровне города (по IP либо через геоопределение браузера) — исключительно для выбора ближайших аптек и корректного отображения цен региона.

3.3. Специальные категории персональных данных (сведения о состоянии здоровья)

К данной категории относятся сведения, передаваемые Субъектом добровольно в связи с подбором лекарственного препарата:

• Сведения о симптомах и жалобах (при использовании поиска по симптомам на сайте);
• Сведения об аллергических реакциях и индивидуальной непереносимости компонентов препаратов;
• Сведения о хронических заболеваниях — при добровольном заполнении раздела «Подбор аналогов» или опций напоминания о повторной покупке («Chronic Care»);
• Сведения о приобретаемых рецептурных лекарственных препаратах — в объёме, необходимом для бронирования в аптеке.

4Цели обработки

В соответствии с требованиями статьи 9 Федерального закона № 152-ФЗ, согласие Субъекта предоставляется отдельно по каждой из целей, указанных ниже. При проставлении отметки в чекбоксе «Согласен с обработкой персональных данных» Субъект соглашается с обработкой в пределах целей, применимых к конкретной форме (например, при оформлении заказа — цели 4.1, 4.2, 4.3; при регистрации в личном кабинете — цели 4.1, 4.4).

4.1. Исполнение договора розничной купли-продажи лекарственных препаратов

Правовое основание: пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ (обработка необходима для исполнения договора, стороной которого является Субъект).

Состав данных: ФИО, телефон, адрес доставки, номенклатура заказа, сумма.

4.2. Доставка заказа и взаимодействие с курьерскими службами

Правовое основание: пункт 5 части 1 статьи 6, пункт 5 части 1 статьи 6 (поручение обработки третьим лицам на основании статьи 6 части 3).

Состав данных: ФИО, телефон, адрес доставки, комментарии к заказу, геолокация пункта выдачи.

4.3. Информирование о статусе заказа, наличии товара, акциях и сервисных уведомлениях

Правовое основание: согласие Субъекта (часть 1 статьи 9 Федерального закона № 152-ФЗ).

Состав данных: ФИО, телефон, email, идентификаторы в мессенджерах.

Каналы: SMS, электронная почта, push-уведомления (при установленном PWA), Telegram, MAX.

4.4. Регистрация в личном кабинете и обеспечение доступа к персонализированным сервисам

Правовое основание: согласие Субъекта, пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ.

Состав данных: номер телефона, история заказов, избранное, бонусный баланс, адреса доставки.

4.5. Подбор лекарственных препаратов по симптомам и характеристикам здоровья

Правовое основание: подпункт 2.1 пункта 2 статьи 10 Федерального закона № 152-ФЗ (отдельное согласие на обработку специальных категорий).

Состав данных: сведения о симптомах, аллергиях, хронических заболеваниях (раздел 3.3).

4.6. Улучшение качества сервиса, аналитика и противодействие мошенничеству

Правовое основание: пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ (законный интерес Оператора), обработка осуществляется в обезличенном виде.

Состав данных: обезличенные данные о поведении пользователя, отказах, времени отклика, ошибках сайта.

5Перечень действий с персональными данными

Оператор осуществляет следующие действия с персональными данными Субъекта: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Обработка осуществляется как с использованием средств автоматизации, так и без их использования (смешанная обработка).

6Передача персональных данных третьим лицам

Оператор вправе передавать персональные данные Субъекта исключительно в объёме, необходимом для достижения соответствующей цели, следующим категориям лиц на основании поручения по статье 6 части 3 Федерального закона № 152-ФЗ:

• Аптечные организации — для бронирования лекарственных препаратов в выбранной аптеке (сеть «Фарма+» и партнёрские точки);
• Курьерские службы — ООО «СДЭК-Глобал», иные логистические операторы, привлекаемые для доставки заказа;
• Процессинговые и платёжные системы — АО «ЮKassa», иные уполномоченные платёжные агенты — для обработки платежей;
• Операторы связи и сервисы рассылок — для отправки SMS-кодов подтверждения, push-уведомлений и сервисных сообщений;
• Мессенджер-платформы — Telegram Messenger LLP, VK Group (MAX) — при выборе Субъектом соответствующего канала авторизации или доставки кодов;
• Информационные системы контроля оборота лекарственных средств — ФГИС МДЛП («Честный ЗНАК»), иные государственные информационные системы — в случаях, прямо предусмотренных законодательством Российской Федерации;
• Государственные и правоохранительные органы — по их мотивированному запросу в случаях, установленных законом.

7Срок обработки и хранения

Срок обработки персональных данных определяется Оператором исходя из целей обработки и не может превышать срок, необходимый для их достижения:

• Исполнение договора розничной купли-продажи — до исполнения договора и 3 (три) года после его исполнения (для целей бухгалтерского и налогового учёта в соответствии со статьёй 29 Федерального закона от 06.12.2011 № 402-ФЗ);
• Личный кабинет и персонализированные сервисы — до момента удаления учётной записи по запросу Субъекта;
• Информационные рассылки и уведомления — до отзыва согласия;
• Специальные категории (сведения о здоровье) — до отзыва согласия, но не более 1 (одного) года с момента последнего обращения за подбором препарата;
• Записи видеонаблюдения и лог-файлы — не более 90 (девяноста) дней.

По истечении срока обработки персональные данные подлежат уничтожению либо обезличиванию в соответствии с требованиями Приказа Роскомнадзора от 28.10.2022 № 179.

8Права Субъекта и порядок отзыва согласия

Субъект в любой момент вправе реализовать следующие права, предусмотренные статьями 14–16, 20–21 Федерального закона № 152-ФЗ:

• Получить от Оператора сведения об обработке персональных данных, относящихся к Субъекту;
• Требовать уточнения, блокирования или уничтожения неполных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для заявленной цели персональных данных;
• Отозвать настоящее согласие полностью либо в отношении отдельных целей обработки;
• Обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

Отзыв согласия осуществляется одним из следующих способов:

1. Направлением письменного заявления на адрес электронной почты: privacy@farmaplus24.ru;
2. Направлением заказного письма с уведомлением о вручении на юридический адрес Оператора (см. раздел 1);
3. Через личный кабинет на сайте farmaplus24.ru — функция «Удалить учётную запись».

Оператор обязан прекратить обработку персональных данных и уничтожить их в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, за исключением случаев, когда обработка должна продолжаться в соответствии с требованиями законодательства Российской Федерации (например, для целей бухгалтерского учёта или исполнения судебных актов).

9Меры по защите персональных данных

Оператор применяет правовые, организационные и технические меры для защиты персональных данных в соответствии со статьёй 19 Федерального закона № 152-ФЗ, Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21:

• Назначение лица, ответственного за организацию обработки персональных данных;
• Принятие локальных актов по вопросам обработки персональных данных;
• Применение средств защиты информации, прошедших процедуру оценки соответствия;
• Шифрование трафика с использованием протокола TLS 1.2 и выше (сертификаты Let's Encrypt / GlobalSign);
• Ограничение круга лиц, имеющих доступ к персональным данным, на основе принципа минимально необходимых привилегий;
• Резервное копирование и восстановление данных;
• Регулярный контроль принимаемых мер по обеспечению безопасности персональных данных.

10Порядок обращения Субъекта

Для реализации своих прав, а также при возникновении вопросов по обработке персональных данных Субъект вправе обратиться к Оператору по следующим каналам:

В обращении необходимо указать: фамилию, имя, отчество; сведения, позволяющие идентифицировать Субъекта (например, номер телефона, использованный при оформлении заказа); суть обращения; желаемый способ получения ответа.