Политика обработки персональных данных
Политика в отношении сбора, обработки и защиты персональных данных
ОсОО «Avalon Solutions (Авалон Салюшенс)» — интернет-магазин Vendara (vendara.kg)
Редакция от 7 августа 2026 года Место публикации: /info/privacy
1. Общие положения
1.1. Настоящая Политика определяет порядок сбора, обработки и защиты персональных данных в Обществе с ограниченной ответственностью «Avalon Solutions (Авалон Салюшенс)», ИНН уточняется (далее — «Оператор»), и утверждена во исполнение обязанности собственника и (или) оператора принимать документы, определяющие политику в отношении обработки персональных данных, установленной Законом КР «Об информации персонального характера» (далее — «Закон о ПДн»).
1.2. Политика применяется ко всем персональным данным, которые Оператор получает от посетителей и покупателей интернет-ресурса vendara.kg, а также иным способом в ходе своей деятельности.
1.3. Оператор одновременно выступает собственником и оператором базы персональных данных в значении Закона о ПДн.
1.4. Действующая редакция Политики постоянно доступна по адресу /info/privacy на кыргызском и русском языках.
1.5. Использование интернет-ресурса vendara.kg означает согласие субъекта с настоящей Политикой. При несогласии с её условиями субъект обязан прекратить использование интернет-ресурса.
2. Термины
Персональные данные (ПДн) — сведения, относящиеся к определённому или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
Субъект персональных данных (Субъект) — физическое лицо, к которому относятся персональные данные.
Сбор ПДн — действия, направленные на получение персональных данных.
Обработка ПДн — действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.
Трансграничная передача ПДн — передача персональных данных на территорию иностранного государства.
3. Правовые основания обработки
Оператор обрабатывает персональные данные на следующих основаниях:
3.1. Согласие Субъекта, полученное в порядке, предусмотренном Законом о ПДн, — в электронной форме путём проставления отметки при оформлении заказа, регистрации личного кабинета, подписке на рассылку или направлении обращения через формы интернет-ресурса.
3.2. Заключение и исполнение договора, стороной которого является Субъект, — публичной оферты о заключении договора купли-продажи товаров.
3.3. Исполнение обязанностей, возложенных на Оператора законодательством Кыргызской Республики, — налоговым законодательством, законодательством о бухгалтерском учёте, о применении контрольно-кассовых машин, о защите прав потребителей.
4. Перечень обрабатываемых персональных данных
4.1. Оператор обрабатывает следующие категории персональных данных:
| Категория | Состав данных | Цель |
|---|---|---|
| Идентификационные | фамилия, имя, отчество (при наличии) | оформление и исполнение заказа, оформление документов |
| Контактные | номер телефона, адрес электронной почты | связь по заказу, направление уведомлений, чеков и документов |
| Адресные | адрес доставки, город, населённый пункт | доставка товара |
| Данные о заказах | состав, стоимость, дата, способ оплаты и доставки, история покупок | исполнение договора, гарантийное обслуживание, бухгалтерский учёт |
| Учётные | логин, хешированный пароль, дата регистрации | доступ к личному кабинету |
| Данные представителей юридических лиц | ФИО, должность, рабочий телефон и электронная почта | оформление договоров и первичных документов B2B |
| Технические | IP-адрес, тип и версия браузера и операционной системы, идентификаторы файлов cookie, источник перехода, действия на интернет-ресурсе | обеспечение работы интернет-ресурса, аналитика, защита от мошенничества |
4.2. Оператор не собирает и не обрабатывает биометрические персональные данные, а также персональные данные специальных категорий (о состоянии здоровья, расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, судимости).
4.3. Оператор не хранит реквизиты банковских платёжных карт Субъектов. Обработка платежей осуществляется сертифицированным платёжным провайдером на его стороне.
4.4. Оператор не собирает персональные данные лиц, не достигших восемнадцати лет, осознанно. При выявлении факта сбора таких данных без согласия законного представителя данные подлежат уничтожению.
5. Цели обработки
Персональные данные обрабатываются исключительно в следующих целях:
- заключение и исполнение договора купли-продажи товаров: оформление, комплектация, доставка и передача заказа;
- идентификация Субъекта в качестве покупателя и предоставление доступа к личному кабинету;
- информирование о статусе заказа, направление электронных чеков и сопроводительных документов;
- гарантийное и постгарантийное обслуживание, приём и рассмотрение претензий, возврат и обмен товара;
- выставление счетов, оформление электронных счетов-фактур и первичных бухгалтерских документов;
- исполнение налоговых обязанностей и требований законодательства о бухгалтерском учёте;
- направление информационных и рекламных сообщений — только при наличии отдельного согласия Субъекта;
- улучшение работы интернет-ресурса, анализ пользовательского поведения в обезличенном виде;
- обеспечение информационной безопасности, предотвращение мошеннических операций;
- рассмотрение обращений и обратная связь.
Обработка персональных данных в целях, не совместимых с указанными, не осуществляется.
6. Порядок получения согласия
6.1. Согласие Субъекта на сбор и обработку персональных данных предоставляется в электронной форме способом, позволяющим подтвердить его получение, в соответствии с Законом о ПДн: проставлением отметки в соответствующем поле формы на интернет-ресурсе.
6.2. Форма согласия содержит сведения, предусмотренные Законом о ПДн: наименование и ИНН Оператора, фамилию и имя Субъекта, срок действия согласия, сведения о возможной передаче данных третьим лицам, о трансграничной передаче, о распространении в общедоступных источниках, а также перечень собираемых данных.
6.3. Оператор фиксирует и хранит сведения о факте, дате, времени и способе получения согласия, что обеспечивает исполнение обязанности представлять доказательство получения согласия Субъекта.
6.4. Согласие на получение рекламных и информационных рассылок предоставляется отдельной отметкой и не является условием оформления заказа. Отказ от рассылки возможен в любой момент по ссылке в письме либо по обращению на help@vendara.kg.
6.5. Согласие может быть отозвано Субъектом в любое время, за исключением случаев, когда отзыв противоречит законам Кыргызской Республики либо при наличии неисполненного обязательства. Обработка прекращается в течение 15 (пятнадцати) рабочих дней с момента получения отзыва, после чего данные уничтожаются, если отсутствуют иные законные основания их хранения, либо Оператор представляет мотивированный отказ.
7. Передача персональных данных третьим лицам
7.1. Оператор передаёт персональные данные третьим лицам только в объёме, необходимом для достижения целей обработки, и на основании согласия Субъекта либо в силу требований законодательства.
7.2. Категории получателей:
| Категория получателя | Передаваемые данные | Основание |
|---|---|---|
| Службы доставки и курьерские компании | ФИО, телефон, адрес доставки, состав заказа | исполнение договора |
| Банки и платёжные провайдеры | сумма, идентификатор заказа, контактные данные | исполнение договора, законодательство о платежах |
| Оператор фискальных данных, органы налоговой службы | сведения о расчётах, контакты для направления чека | налоговое законодательство |
| Сервисные центры и авторизованные партнёры изготовителя | ФИО, телефон, сведения о товаре и покупке | гарантийное обслуживание |
| Поставщики хостинга и информационных систем | технические данные, данные заказов | обеспечение функционирования интернет-ресурса |
| Государственные органы | по мотивированному запросу в объёме требования | законодательство Кыргызской Республики |
7.3. Оператор требует от получателей соблюдения конфиденциальности и применения мер защиты персональных данных, соответствующих требованиям Закона о ПДн.
7.4. Оператор не осуществляет продажу персональных данных и не передаёт их третьим лицам в рекламных целях без согласия Субъекта.
7.5. При наличии в согласии соответствующего условия Оператор уведомляет Субъекта о передаче его персональных данных третьему лицу в течение 10 (десяти) рабочих дней в соответствии с Законом о ПДн.
8. Хранение персональных данных и локализация
8.1. Хранение персональных данных осуществляется в базе, находящейся на территории Кыргызской Республики, в соответствии с Законом о ПДн. База данных и серверная инфраструктура интернет-ресурса vendara.kg размещены на территории Кыргызской Республики.
8.2. Персональные данные хранятся в течение срока, необходимого для достижения целей их сбора и обработки:
- данные, связанные с исполнением договора и гарантийными обязательствами, — в течение срока действия договора и гарантийного срока, а также в течение срока исковой давности;
- бухгалтерские и налоговые документы, содержащие персональные данные, — в течение сроков, установленных законодательством Кыргызской Республики о бухгалтерском учёте и налоговым законодательством;
- данные подписчиков рассылки — до отзыва согласия;
- технические данные веб-аналитики — в обезличенном виде в течение срока, установленного используемым сервисом аналитики.
8.3. По достижении целей сбора и обработки, а также в иных случаях, предусмотренных Законом о ПДн, персональные данные уничтожаются.
9. Трансграничная передача
9.1. Трансграничная передача персональных данных осуществляется только в государства, обеспечивающие защиту персональных данных, либо при наличии согласия Субъекта в соответствии с Законом о ПДн.
9.2. Оператор использует внешние сервисы, серверная инфраструктура которых может располагаться за пределами Кыргызской Республики:
| Сервис | Назначение | Передаваемые данные |
|---|---|---|
| Яндекс.Метрика | веб-аналитика | обезличенные технические данные, идентификаторы cookie |
| Google Analytics / Google Tag | веб-аналитика, оценка эффективности рекламы | обезличенные технические данные, идентификаторы cookie |
9.3. Проставляя отметку о согласии, Субъект даёт согласие на трансграничную передачу персональных данных указанным получателям в объёме, необходимом для достижения целей обработки.
9.4. Независимо от использования внешних сервисов Оператор обеспечивает хранение персональных данных в базе на территории Кыргызской Республики в соответствии с пунктом 8.1 настоящей Политики.
10. Файлы cookie и веб-аналитика
10.1. Интернет-ресурс использует файлы cookie — небольшие текстовые файлы, сохраняемые в браузере Субъекта.
10.2. Используются следующие категории файлов cookie:
- строго необходимые — обеспечивают работу корзины, авторизации и безопасности; отключение делает работу интернет-ресурса невозможной;
- функциональные — сохраняют выбранный город, язык и иные настройки;
- аналитические — собирают обезличенные сведения о посещаемости и поведении пользователей;
- рекламные — используются для оценки эффективности рекламных кампаний и показа релевантной рекламы.
10.3. Субъект вправе отключить файлы cookie в настройках браузера. Отключение строго необходимых файлов cookie делает оформление заказа невозможным.
10.4. Для веб-аналитики применяются Яндекс.Метрика и сервисы Google. Собираемые данные носят обезличенный характер и не позволяют идентифицировать конкретное лицо без сопоставления с иными сведениями.
11. Меры защиты персональных данных
11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования и распространения в соответствии с Законом о ПДн, в том числе:
Правовые меры:
- утверждение перечня персональных данных, необходимых и достаточных для выполнения задач Оператора;
- утверждение настоящей Политики и внутренних документов о порядке обработки и защиты персональных данных;
- назначение лица, ответственного за организацию обработки персональных данных;
- включение условий о конфиденциальности в договоры с работниками и контрагентами.
Организационные меры:
- ограничение круга работников, допущенных к обработке персональных данных;
- ознакомление работников с требованиями законодательства и внутренних документов;
- установление порядка доступа в помещения, где размещены носители персональных данных;
- регистрация и учёт действий, совершаемых с персональными данными.
Технические меры:
- разграничение прав доступа к информационным системам, использование индивидуальных учётных записей;
- передача данных по защищённым каналам связи с использованием протокола HTTPS;
- хранение паролей в виде необратимых хеш-значений;
- резервное копирование данных;
- применение средств антивирусной защиты и межсетевого экранирования;
- ведение журналов доступа и мониторинг событий безопасности.
11.2. Обязанности по защите персональных данных возникают с момента их сбора и действуют до момента уничтожения либо обезличивания.
11.3. При выявлении нарушения безопасности персональных данных Оператор в течение 1 (одного) рабочего дня с момента обнаружения нарушения уведомляет уполномоченный орган в области защиты персональных данных в соответствии с Законом о ПДн, а также информирует затронутых Субъектов в порядке, установленном законодательством Кыргызской Республики.
12. Права Субъекта персональных данных
12.1. Субъект вправе в соответствии с Законом о ПДн:
- знать о наличии у Оператора своих персональных данных и получать безвозмездный доступ к ним;
- требовать изменения и дополнения персональных данных при наличии оснований, подтверждённых соответствующими документами;
- требовать блокирования персональных данных при наличии сведений о нарушении условий их сбора и обработки;
- требовать уничтожения персональных данных, сбор и обработка которых были произведены с нарушением законодательства, а также в иных случаях, установленных законодательством;
- отозвать согласие на сбор и обработку персональных данных, в том числе на трансграничную передачу;
- давать согласие или отказывать в согласии на распространение персональных данных в общедоступных источниках;
- на защиту своих прав и законных интересов, в том числе на возмещение морального и имущественного вреда.
12.2. Обращение направляется на адрес электронной почты help@vendara.kg либо по почтовому адресу Оператора. Обращение должно содержать сведения, позволяющие идентифицировать Субъекта, и существо требования.
12.3. При выявлении нарушения условий сбора и обработки Оператор изменяет, дополняет, блокирует или уничтожает персональные данные в течение 1 (одного) рабочего дня с момента получения соответствующего требования либо выявления нарушения в соответствии с Законом о ПДн.
12.4. Оператор уведомляет Субъекта о принятых мерах способом, которым было направлено обращение.
13. Ответственное лицо и уполномоченный орган
13.1. В Обществе назначено лицо, ответственное за организацию обработки персональных данных. Обращения по вопросам обработки персональных данных направляются на адрес help@vendara.kg либо по телефону +996 (000) 00-00-00.
13.2. Уполномоченный орган в области защиты персональных данных — Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики. Субъект вправе обратиться в уполномоченный орган при несогласии с действиями Оператора.
14. Заключительные положения
14.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента размещения на интернет-ресурсе vendara.kg, если иное не предусмотрено новой редакцией.
14.2. К настоящей Политике и отношениям между Субъектом и Оператором применяется право Кыргызской Республики.
Реквизиты Оператора
Полное наименование: ОсОО «Avalon Solutions (Авалон Салюшенс)» ИНН: уточняется Юридический адрес: Бишкек Телефон: +996 (000) 00-00-00 Электронная почта: help@vendara.kg Интернет-ресурс: vendara.kg