Политика конфиденциальности

Acnova Oy — Tuusula, Suomi

Настоящая Политика конфиденциальности описывает порядок обработки персональных данных компанией Acnova Oy в соответствии с Общим регламентом ЕС по защите данных (GDPR) и законодательством Финляндии о защите данных.

Мы можем обрабатывать следующие категории данных:

• Имя и фамилия

• Название компании

• Адрес электронной почты

• Телефон

• Адрес доставки и выставления счета

• Данные заказов

• История покупок

• Сообщения, отправленные через формы или чат

• Данные аналитики (при наличии согласия)

• IP-адрес (в хэшированном виде для логирования согласия cookie)

Мы обрабатываем персональные данные на следующих основаниях:

• Исполнение договора (оформление заказов, доставка, платежи)

• Законное обязательство (бухгалтерский и налоговый учет)

• Законный интерес (безопасность сайта, предотвращение мошенничества)

• Согласие (аналитика, маркетинг, cookie)

Мы используем Google Analytics 4 для анализа использования сайта. Аналитика активируется только после получения согласия пользователя. До получения согласия аналитические cookies не загружаются. Используется механизм Google Consent Mode v2.

Логи согласия cookie хранятся 365 дней в защищённом виде (IP и User-Agent хэшируются с использованием соли).

Провайдер:

Google Ireland Limited.

Для обработки платежей используются Stripe и Paytrail. Платёжные провайдеры выступают как независимые контролёры данных в отношении платёжной информации.

Чтобы доставить ваш заказ, мы передаём данные получателя выбранному перевозчику: имя, адрес доставки или пункт выдачи, e-mail и телефон.

Кому. Мы пользуемся перевозчиками Shipit Oy Ab, PostNord Oy. Они действуют как обработчики по нашему поручению и используют данные только для доставки и уведомлений о ней (например, SMS «посылка в пункте выдачи»).

Основание. ст. 6(1)(b) GDPR — обработка необходима для исполнения договора заказа. Отдельное согласие не требуется.

Сколько храним. Контактные данные (e-mail, телефон) удаляются из заказа, когда вы просите удалить аккаунт. Имя и адрес доставки получателя сохраняются в течение установленного законом срока хранения бухгалтерских документов, поскольку они входят в доказательную цепочку исполненного заказа (ст. 17(3)(b) GDPR).

Сервисные сообщения. Сообщения, связанные с вашим заказом, — подтверждение заказа, проформа, счёт, уведомление об оплате и кредит-нота — отправляются на основании исполнения договора (ст. 6(1)(b) GDPR), а в части бухгалтерского и налогового учёта — на основании наших законных обязанностей (ст. 6(1)(c) GDPR). Это не маркетинг: такие сообщения не требуют отдельного согласия и не могут быть отключены, пока действует соответствующий заказ.

Маркетинговые сообщения. Рекламные рассылки и предложения, а также напоминания о незавершённом заказе (брошенной корзине) отправляются только на основании согласия, данного при оформлении заказа, либо в порядке прямого маркетинга существующим клиентам в соответствии с финским Законом об услугах электронной связи (Laki sähköisen viestinnän palveluista 917/2014, § 200). Каждое маркетинговое письмо содержит ссылку для отписки в один клик; после отписки мы такие сообщения вам больше не направляем. Маркетинговые письма рассылаются через сервис Google Workspace.

После получения вами заказа мы также можем поблагодарить вас и предложить оставить отзыв о покупке (в том числе через нашего партнёра по отзывам Trustpilot). Такие письма отправляются на том же основании — прямой маркетинг существующим клиентам (§ 200) — и, как все маркетинговые сообщения, содержат ссылку для отписки в один клик.

Для сбора отзывов используется сервис Trustpilot (Trustpilot A/S, Дания, ЕС). По нашему поручению ему передаются ваши имя, адрес электронной почты и состав заказа, чтобы отправить приглашение оставить отзыв. Trustpilot выступает обработчиком данных на основании договора об обработке данных; контролёром данных остаётся Acnova Oy.

Для связи используются WhatsApp Business API (Meta) и Telegram. В обоих каналах вам отвечает ИИ-ассистент Ханна — см. §9. Передача данных может происходить за пределы ЕЭЗ, см. §13.

В чате на сайте, а также в WhatsApp и Telegram с вами разговаривает Ханна — ИИ-ассистент Acnova Oy. Это не человек. Мы говорим об этом в самом первом сообщении и пишем в шапке чата. В любой момент можно попросить живого сотрудника — достаточно так и написать: разговор передаётся людям, а Ханна в нём останавливается.

Что обрабатывается. Текст ваших сообщений и предыдущие сообщения этого же разговора; файлы, которые вы приложили сами; язык интерфейса и страница, с которой вы написали. Имя, e-mail и — если понадобится — телефон: только те, что вы называете сами.

Зачем и на каком основании. Только чтобы ответить на ваш вопрос и выполнить обращение. Основание — ст. 6(1)(b) GDPR: шаги по вашей же просьбе до заключения договора. Отдельное согласие для этого не требуется, и мы его не запрашиваем. Рассылка — отдельная история: она уходит только по отдельному согласию, подтверждённому ссылкой в письме.

Кто ещё видит переписку. Чтобы Ханна могла ответить, текст разговора передаётся поставщику модели искусственного интеллекта — Anthropic PBC, который выступает нашим под-обработчиком и работает по договору об обработке данных. Контролёром данных остаётся Acnova Oy. Обработка происходит в США; основание передачи — стандартные договорные условия Европейской комиссии (SCC), подробнее в §13. По условиям поставщика ваша переписка не используется для обучения его моделей.

Чего модель не видит никогда. Обращения, в которых речь идёт о здоровье — реакция кожи, ожог, сыпь, обращение к врачу, — внешней модели не передаются вообще: такое обращение сразу берёт человек. Это данные особой категории (ст. 9 GDPR), и мы решили не отдавать их наружу даже на секунду.

Сколько храним. Переписку мы храним, пока она нужна для работы с вашим обращением. Если из разговора вырос заказ или счёт — эти данные подпадают под сроки §12.

Как удалить. Напишите на [email protected] — мы удалим ваши контактные данные и вымараем их из текста переписки без необоснованной задержки и в любом случае в течение месяца (ст. 12(3) GDPR). Сам разговор при этом может остаться в обезличенном виде — без имени, почты и телефона. Мы также сохраняем доказательство того, что вам показали и что вы ответили (ст. 7(1) GDPR): это наша обязанность, и ваши контактные данные из него вычищены.

Если у вас есть личный кабинет, то же самое можно сделать самому: в разделе «Мои данные» видно, что именно о вас есть, до какой даты мы обязаны это хранить, и есть кнопка заявки на удаление.

Для защиты форм используется Google reCAPTCHA.

Сайт может содержать встроенный контент (YouTube, карты), который может собирать данные при взаимодействии.

Использование Cloudflare (CDN и защита сайта)

Наш сайт использует сервис Cloudflare, предоставляемый Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, США), в качестве обратного прокси, сети доставки контента (CDN), файрвола веб-приложений (WAF) и системы защиты от DDoS-атак и вредоносных ботов. Весь трафик между вашим устройством и нашим сайтом проходит через сеть Cloudflare.

Как наш под-обработчик Cloudflare обрабатывает: IP-адрес посетителя, метаданные запроса (в том числе адрес страницы, тип и версию браузера, реферер и заголовки запроса) и служебные cookie Cloudflare. Поскольку Cloudflare выступает обратным прокси и завершает защищённое (TLS) соединение, содержимое передаваемого трафика технически доступно Cloudflare в момент его обработки. Правовым основанием является наш законный интерес (ст. 6(1)(f) GDPR) в обеспечении безопасности, доступности и производительности сайта.

Обработка происходит в глобальной сети Cloudflare, включая серверы в США, что представляет собой передачу персональных данных за пределы ЕЭЗ. Такая передача осуществляется на основании Стандартных договорных условий Европейской комиссии (SCC), включённых в Cloudflare Data Processing Addendum (DPA), с применением дополнительных мер защиты; дополнительно Cloudflare, Inc. сертифицирована по программе EU-U.S. Data Privacy Framework. Подробнее: https://www.cloudflare.com/cloudflare-customer-dpa/ ; https://www.cloudflare.com/gdpr/subprocessors/ ; https://www.cloudflare.com/privacypolicy/ .

Бухгалтерские данные — 10 лет. Заказы, счета, платежи и относящиеся к ним документы мы храним 10 лет с конца отчётного года, в котором документ возник. Каждая компания группы выступает контролёром по документам своих клиентов: Acnova Oy — по счетам и заказам своих (финских и прочих) клиентов, YDE Areal Est OÜ — по счетам и заказам своих эстонских клиентов. Для документов обеих компаний применяется один и тот же срок хранения.

Закон требует меньше: финский закон о бухгалтерском учёте (kirjanpitolaki 1336/1997, гл. 2 § 10) — 10 лет для бухгалтерских книг и 6 лет для первичных документов; эстонский (raamatupidamise seadus § 12) — не менее 7 лет. Мы сознательно выбрали один общий, больший срок — так проще и так мы точно не удалим то, что обязаны хранить.

Пока срок идёт, удалить эти записи по требованию мы не можем — это прямо предусмотрено ст. 17(3)(b) GDPR (обработка необходима для исполнения нашей правовой обязанности). Но обработка их ограничивается (ст. 18 GDPR): такие записи исключаются из маркетинга, аналитики и рекомендаций и живут только ради закона. Когда срок истечёт, они удаляются обычным порядком. Точную дату по своим данным вы можете посмотреть сами — в личном кабинете, раздел «Мои данные».

Остальное. Маркетинговые данные — до отзыва согласия. Логи согласия cookie — 365 дней. Переписка в чате — см. §9.

Часть наших поставщиков обрабатывает данные за пределами ЕЭЗ. Мы называем их прямо, чтобы вы понимали, о ком речь:

— Anthropic PBC (США) — модель искусственного интеллекта, на которой работает ассистент Ханна. Передаётся текст переписки и приложенные вами файлы (§9). — Cloudflare, Inc. (США) — защита и доставка сайта. Что именно передаётся и на каком основании — подробно в §11. — WhatsApp / Meta — переписка в канале WhatsApp (§8). — Google Ireland Limited — аналитика и почтовый сервис (§4, §7); в рамках группы Google данные могут обрабатываться за пределами ЕЭЗ.

Основание передачи: стандартные договорные условия Европейской комиссии (SCC), включённые в договоры об обработке данных с поставщиками; там, где применимо, дополнительно действует сертификация конкретного поставщика по программе EU-U.S. Data Privacy Framework.

Копию применённых гарантий (договорных условий передачи) вы можете запросить у нас по адресу [email protected] — мы обязаны её предоставить (ст. 13(1)(f) и ст. 15(2) GDPR).

Вы имеете право:

• Получить доступ к своим данным

• Требовать исправления

• Требовать удаления

• Ограничить обработку

• Отозвать согласие

• Подать жалобу в Уполномоченный по защите данных Финляндии (Tietosuojavaltuutettu)

Acnova Oy

Email:

[email protected]

Телефон:

+358 9 424 513 15