Политика конфиденциальности и обработки персональных данных

г. Москва
Редакция от «13» октября 2026 г.

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика конфиденциальности и обработки персональных данных определяет порядок обработки персональных данных, условия их использования и меры по обеспечению безопасности персональных данных, принимаемые Индивидуальным предпринимателем Котоянц Заруи Арновной, далее по тексту — Оператор.

1.2. Настоящая Политика разработана в целях соблюдения требований законодательства Российской Федерации о персональных данных, обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, а также информирования субъектов персональных данных о целях, правовых основаниях, объеме, порядке и условиях обработки их персональных данных.

1.3. Настоящая Политика распространяется на обработку персональных данных, осуществляемую Оператором при использовании интернет-магазина, размещенного по адресу https://store.lulubeauty.ru (включая адрес lulubeauty.ru, перенаправляющий на него), а также при взаимодействии с Оператором через формы обратной связи, формы «обратный звонок», «предзаказ», «заказ в один клик», формы подписки на рассылку, личный кабинет, форму подбора ухода, электронную почту, телефонную связь, онлайн-чат, сервисы обмена сообщениями, страницы, сообщества, каналы и иные цифровые платформы, используемые Оператором для коммуникации, приема обращений, заявок, заказов, запросов, подписок и иной дистанционной деловой активности, связанной с продажей товаров для красоты, ухода и здоровья. Сторонние каналы и подключаемые сервисы используются с учётом ограничений раздела 8 настоящей Политики.

1.4. Настоящая Политика также применяется при обработке персональных данных, осуществляемой в связи с продажей товаров через пункт самовывоза, при подтверждении заказов, выдаче товаров, обмене, возврате, рассмотрении претензий, участии покупателей в программе лояльности, акциях, отзывах, подборе ухода и иных клиентских сервисах Оператора.

1.5. Настоящая Политика является общедоступным документом и размещается по адресу https://store.lulubeauty.ru/page/politika-obrabotki-personalnyh-dannyh. Сведения об используемых cookie и аналогичных технологиях приведены в разделе 9 и Приложении № 1 к настоящей Политике.

1.6. Настоящая Политика применяется ко всем персональным данным, которые Оператор получает от субъектов персональных данных непосредственно либо через уполномоченных лиц, сервисы и технические средства, используемые в деятельности Оператора.

1.7. Настоящая Политика не является согласием на обработку персональных данных, согласием на получение рекламы, согласием на распространение персональных данных или публичной офертой. Ознакомление с Политикой само по себе не предоставляет разрешений, для которых законом предусмотрено отдельное волеизъявление. Волеизъявление может быть выражено путем конклюдентных действий, перечисленных в настоящей Политике, в том числе путем нажатия на кнопки «принимаю», «согласен», «заказ» и так далее, в зависимости от предоставленных вместе с этим инструкций к соответствующей кнопке, указанных рядом с ней.

1.8. Отношения, связанные с получением согласия на обработку персональных данных, получением согласия на получение рекламы, отдельного согласия на распространение персональных данных, а также с оформлением заказа, заключением договора розничной купли-продажи, акцептом условий дистанционной продажи и иными вопросами оформления и исполнения заказов, регулируются отдельными документами Оператора, размещаемыми и применяемыми самостоятельно.

1.9. Оператор обеспечивает Пользователю возможность ознакомиться с настоящей Политикой до сбора персональных данных: размещает доступную ссылку рядом с формами на сайте и в иных цифровых каналах, а в пункте выдачи предоставляет Политику для ознакомления. Покупка товара и реализация прав потребителя не ставятся в зависимость от подтверждения ознакомления с условиями, не относящимися к исполнению договора.

1.10. Если обработка основана на согласии, оно оформляется отдельно от настоящей Политики, оферты и иных подтверждаемых Пользователем документов. В электронной форме согласие выражается отдельным активным (конклюдентным) действием после доступа к его тексту: проставлением изначально незаполненной отметки либо нажатием специально обозначенной кнопки согласия. Оператор фиксирует содержание и редакцию согласия, дату, время и сведения, позволяющие подтвердить его получение. Просмотр сайта, покупка, отправка обычного обращения, молчание и заранее проставленные отметки не заменяют согласие.

1.11. Отдельно оформляется согласие на обработку персональных данных, на получение рекламы и на распространение персональных данных. Обязательная письменная форма применяется в предусмотренных законом случаях, включая обработку сведений о здоровье на основании согласия.

1.12. Отказ от предоставления необязательных данных, участия в программе лояльности, рекламной рассылке, публикации отзыва или фотографий не препятствует покупке, исполнению заказа, обмену, возврату товара и рассмотрению претензии. Обязательными признаются только данные, требуемые законом либо непосредственно необходимые для соответствующего договора.

1.13. Сайт и самостоятельные клиентские анкеты не ориентированы на лиц младше 14-18 лет. Вопросы совершения покупок несовершеннолетними, предоставления согласий и участия законного представителя решаются с учётом возраста и объёма дееспособности по законодательству Российской Федерации. Сайт не обладает возможностью установить возврат покупателя, в связи с чем получение необходимых согласий на покупку является обязанностью покупателя или он должен предупредить об этом продавца. Политика не устанавливает дополнительных оснований отказа в законных требованиях потребителя.

2. ОСНОВНЫЕ ТЕРМИНЫ

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.

2.2. Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

2.3. Оператор — лицо, самостоятельно или совместно с другими лицами организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных и действия, совершаемые с персональными данными.

2.4. Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

2.5. Автоматизированная обработка персональных данных — обработка персональных данных с использованием средств вычислительной техники.

2.6. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2.7. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

2.8. Блокирование персональных данных — временное прекращение обработки персональных данных, за исключением случаев, когда обработка необходима для уточнения персональных данных.

2.9. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2.10. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства иностранному органу власти, иностранному физическому лицу или иностранному юридическому лицу.

2.11. Продукты Оператора — сайт, личный кабинет, каталог, корзина, формы заказа, предзаказа, подписки, программа лояльности, сервис подбора ухода, отзывы, товары и иные цифровые и офлайн-сервисы, используемые Оператором в рамках его деятельности.

2.12. Товары Оператора — косметическая и парфюмерно-косметическая продукция, средства личной гигиены, товары для красоты и здоровья, включая функциональные напитки, сорбенты и метабиотики, витамины и минералы, фитокомплексы, адаптогены, коллаген, бьюти-гаджеты, подарочные сертификаты, товары для дома и иные сопутствующие непродовольственные товары, реализуемые Оператором.

3. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Обработка персональных данных осуществляется на законной и справедливой основе.

3.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей.

3.3. Не допускается обработка персональных данных, несовместимая с целями их сбора.

3.4. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

3.5. При обработке персональных данных обеспечиваются точность персональных данных, их достаточность и, при необходимости, актуальность по отношению к целям обработки персональных данных.

3.6. Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки персональных данных, если иной срок хранения не установлен федеральным законом, договором или отдельным согласием субъекта персональных данных. Предельные сроки по каждой цели приведены в пункте 6.1 и разделе 13; более раннее достижение цели учитывается при решении об уничтожении данных.

3.7. Оператор не принимает решений, порождающих юридические последствия для субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки.

4. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Оператор может обрабатывать персональные данные следующих категорий субъектов персональных данных:

4.1.1. пользователей сайта и иных Продуктов Оператора;

4.1.2. лиц, направляющих обращения, запросы, сообщения, заявки, запросы на подбор ухода, обратный звонок, предзаказ, заказ в один клик и иные формы коммуникации;

4.1.3. клиентов, заказчиков, покупателей, получателей товаров, участников программы лояльности и их представителей;

4.1.4. лиц, для которых покупатели оформляют заказ, доставку, самовывоз, подарочный сертификат либо иное получение товара или услуги;

4.1.5. подписчиков информационных сервисов и рассылок Оператора;

4.1.6. авторов отзывов, участников акций, опросов, программ лояльности, конкурсов и иных маркетинговых активностей — при их проведении;

4.1.7. представителей контрагентов, подрядчиков, партнеров и иных лиц, взаимодействующих с Оператором в рамках договорных отношений.

4.1.8. работников, бывших работников и соискателей Оператора — при наличии соответствующих отношений. Их данные обрабатываются отдельно от клиентских и рекламных баз в пределах целей, указанных в строках 15 и 16 пункта 6.1.

5. КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор вправе обрабатывать следующие персональные данные:

5.1.1. фамилия, имя, отчество;

5.1.2. номер телефона;

5.1.3. адрес электронной почты;

5.1.4. сведения о заказе, корзине, оформлении покупки, оплате, доставке, самовывозе, возврате, обмене, исполнении обязательств и истории взаимодействия;

5.1.5. адрес доставки, сведения о получателе заказа, сведения об уполномоченном лице на получение заказа, комментарии к заказу и иные данные, необходимые для оформления и исполнения заказа;

5.1.6. сведения, предоставляемые при регистрации и использовании личного кабинета, включая идентификаторы учетной записи, телефон или email для входа, историю заказов и сведения, необходимые для восстановления доступа к учетной записи; При предоставлении скидки в день рождения — дата рождения, указанная Пользователем добровольно; сведения о размере скидки и использованных промокодах.

5.1.7. сведения, предоставляемые при подписке на рассылку, участии в программе лояльности, использовании промокодов, публикации отзывов, участии в акциях и иных программах лояльности и продвижения; Для подписки — дата и источник подписки, выбранные каналы связи, сведения об открытии писем и переходах по ссылкам; для отзыва — имя автора, текст, оценка товара и приложенные фотографии.

5.1.8. сведения, содержащиеся в обращениях, сообщениях, заявках, переписке, приложенных материалах, отзывах, анкетах и формах подбора ухода, а также изображения и иные материалы, добровольно направленные субъектом персональных данных в рамках участия в программе «до/после» или аналогичных активностях; Для подбора ухода — описание состояния кожи, фотографии лица, предпочтения по средствам, брендам, текстурам и бюджету; для программы «до/после» — фотографии результата и описание ухода. При телефонной консультации может обрабатываться запись разговора.

5.1.9. сведения о предпочтениях по товарам, категориям, брендам, история просмотров, история взаимодействия с сайтом, история использования промокодов и участия в акциях — в пределах, допустимых законодательством и настройками сервисов;

5.1.10. технические данные, в том числе IP-адрес, cookie-файлы, данные о браузере, устройстве, операционной системе, времени доступа, источнике перехода и действиях на сайте; При веб-аналитике — приблизительные страна, регион и город по IP-адресу, разрешение экрана, язык, длительность посещения, клики, прокрутка, перемещения курсора, записи сеансов Вебвизора, просмотры товаров, добавления в корзину, номер и сумма заказа без контактных данных.

5.1.11. сведения, прямо перечисленные для конкретной цели в пункте 6.1. Получение от Пользователя избыточных сведений по его инициативе не создаёт самостоятельного основания для их дальнейшего использования.

5.2. Сведения о здоровье, включая беременность, грудное вскармливание, заболевания, противопоказания, а также описания и изображения, раскрывающие состояние здоровья, относятся к специальным категориям персональных данных. Для подбора ухода они обрабатываются только если были сообщены субъектом самостоятельно в процессе устного или письменного общения, а в случае записи на отдельный прием должно подписываться отдельное письменное согласие, соответствующего части 4 статьи 9 и пункту 1 части 2 статьи 10 Федерального закона № 152-ФЗ, либо на ином прямо предусмотренном законом основании. Персональные данные, раскрывающие здоровье, не используются для рекламного профилирования.

5.3. Фотографии для подбора ухода и публикации не используются для установления личности, распознавания лица или создания биометрического шаблона. При таком использовании они не обрабатываются Оператором как биометрические данные.

5.4. Полные реквизиты банковской карты, защитный код и платёжные пароли вводятся на стороне платёжного сервиса и Оператором не запрашиваются. Оператор получает статус, идентификатор и сумму платежа, а при возврате — необходимые банковские реквизиты.

6. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Оператор осуществляет обработку персональных данных в следующих целях:

№	Цель обработки	Категории субъектов	Состав персональных данных	Правовые основания	Действия и способы обработки	Срок обработки и хранения	Порядок уничтожения
1	Приём обращений: обратный звонок, предзаказ, уведомление о поступлении товара, онлайн-чат, сообщения и консультации по товарам	Пользователи сайта, потенциальные клиенты, представители контрагентов	ФИО, телефон, email, содержание обращения, приложения, иные данные, добровольно сообщенные субъектом. Имя пользователя в сервисе связи; запись звонка при предварительном уведомлении.	П. 1 ч. 1 ст. 6 Закона № 152-ФЗ — согласие; п. 5 ч. 1 ст. 6 — действия по инициативе субъекта до договора.	Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, удаление, уничтожение; автоматизированная, неавтоматизированная, смешанная обработка	До достижения цели обращения, но не более 3 лет после последнего обращения; записи звонков — не более 1 года. Для подбора ухода действует строка 4.	Удаление из информационных систем, почтовых сервисов и локальных носителей; уничтожение бумажных носителей при наличии
2	Регистрация, идентификация и обслуживание личного кабинета, восстановление доступа, участие в программе лояльности и учет истории заказов	Пользователи сайта, зарегистрированные покупатели, участники программы лояльности	Телефон или email для входа, учетные данные, история заказов, сведения о скидках, промокодах, участии в программе лояльности. Имя, фамилия, дата рождения при добровольном заполнении; персональная скидка и скидка в день рождения.	П. 5 ч. 1 ст. 6 — исполнение условий личного кабинета и программы лояльности; п. 1 ч. 1 ст. 6 — отдельное согласие на необязательные данные и цели.	Сбор, запись, систематизация, накопление, хранение, анализ, использование, удаление; автоматизированная и смешанная обработка	До удаления личного кабинета или прекращения участия; необязательные данные — до отзыва согласия. Документы по заказам хранятся отдельно по строке 9.	Удаление либо обезличивание данных после утраты необходимости в их хранении либо по запросу субъекта при наличии оснований
3	Оформление, подтверждение, изменение и исполнение заказов, в том числе дистанционной розничной купли-продажи, оплаты, доставки, самовывоза, возврата, обмена и выдачи товаров	Клиенты, покупатели, получатели заказов, уполномоченные лица на получение, представители клиентов	ФИО, телефон, email, сведения о заказе, оплате, доставке, самовывозе, получателе, адрес доставки, комментарии к заказу, сведения об исполнении договора	Пп. 2, 5 ч. 1 ст. 6 Закона № 152-ФЗ — закон и договор, включая договор в пользу получателя.	Сбор, запись, систематизация, накопление, хранение, уточнение, использование, предоставление уполномоченным лицам и сервисам, удаление, уничтожение; автоматизированная, неавтоматизированная, смешанная обработка	До исполнения заказа, расчётов и урегулирования связанных требований; в архиве сохраняются только сведения, необходимые для целей строк 9 и 10, на указанные там сроки.	Удаление из информационных систем и архивов по истечении обязательных сроков хранения; уничтожение бумажных носителей
4	Персональный подбор ухода по анкете, подготовка рекомендаций по средствам и связь по результатам консультации	Пользователи, клиенты, покупатели, представители клиентов	Имя; телефон или идентификатор в сервисе связи; описание кожи; фотографии лица; предпочтения по средствам, брендам, текстурам и бюджету. Сведения о здоровье — только при соблюдении п. 5.2. Через Яндекс Формы сведения о здоровье не собираются.	П. 1 ч. 1 ст. 6 — согласие на обычные данные; п. 1 ч. 2 ст. 10 и ч. 4 ст. 9 — отдельное письменное согласие на сведения о здоровье.	Сбор, запись, хранение, уточнение, использование, передача уполномоченным сотрудникам и подрядчикам, удаление; автоматизированная, неавтоматизированная, смешанная обработка	До завершения цели консультации, но не более 1 года после неё или до более раннего отзыва согласия. Не продлевается общим сроком хранения переписки.	Удаление переписки, файлов и иных материалов после утраты необходимости в их хранении
5	Направление сервисных, организационных и информационных сообщений, не носящих рекламного характера	Клиенты, пользователи, подписчики сервисных уведомлений	ФИО, email, телефон, сведения о заказе, доставке, самовывозе, возврате, обращении или программе лояльности	Пп. 2, 5 ч. 1 ст. 6 Закона № 152-ФЗ — исполнение закона и договора; отдельное согласие — для самостоятельно запрошенных уведомлений вне договора.	Сбор, запись, хранение, использование, передача сервисам коммуникации, удаление; автоматизированная и смешанная обработка	До завершения заказа или исполнения запроса; подтверждения исполнения — отдельно по строкам 9 и 10.	Удаление из систем рассылки и коммуникации после достижения цели обработки
6	Направление рекламных, маркетинговых и информационно-рекламных сообщений о товарах, акциях, новинках, распродажах, специальных предложениях, программе лояльности и мероприятиях Оператора	Подписчики и иные лица, предоставившие соответствующее согласие	ФИО, email, телефон, сведения о предпочтениях и истории взаимодействия. Дата рождения — если отдельно указана для предложений; выбранные каналы, дата и источник подписки, история заказов, открытия писем и переходы.	Согласие на обработку данных для маркетинга: ст. 9, п. 1 ч. 1 ст. 6, ст. 15 Закона № 152-ФЗ. Отдельное согласие на рекламу: ч. 1 ст. 18 Закона № 38-ФЗ.	Сбор, запись, хранение, использование, сегментация, передача сервисам коммуникации, удаление; автоматизированная и смешанная обработка	До отзыва или прекращения рассылки. Реклама прекращается немедленно при отказе; данные только для рассылки уничтожаются в течение 30 дней.	Исключение из баз рассылки, удаление из CRM и коммуникационных сервисов
7	Проведение акций, опросов, конкурсов, выдача промокодов и призов; учёт участия и исполнения условий мероприятия	Покупатели, авторы отзывов, участники акций и иных активностей	Имя, контакты, сведения об участии, результате и призе; адрес — для доставки приза. Публикация отзывов и фото регулируется отдельно строками 11 и 12.	П. 5 ч. 1 ст. 6 — исполнение правил мероприятия; п. 1 ч. 1 ст. 6 — согласие для отдельных добровольных целей; п. 2 — обязательный налоговый учёт.	Сбор, запись, хранение, уточнение, использование, предоставление в необходимом объёме, блокирование, удаление и уничтожение; смешанная обработка.	До завершения мероприятия и выдачи приза; обязательные документы — по строке 9; минимальные доказательства исполнения — по строке 10.	Удаление, обезличивание или уничтожение по достижении цели обработки либо по истечении обязательных сроков хранения
8	Статистика посещений, анализ удобства сайта и эффективности рекламы, диагностика ошибок; Яндекс Метрика и статистика InSales	Пользователи сайта и иных цифровых сервисов	Cookie и идентификаторы; IP и примерное местоположение; браузер, устройство, язык, экран; страницы, переходы, время, клики, прокрутка; Вебвизор; просмотры, корзина и покупки без контактов.	Предварительное отдельное согласие на аналитику (п. 1 ч. 1 ст. 6, ст. 9 Закона № 152-ФЗ). Строго необходимые операции и безопасность — строка 13.	Сбор, запись, систематизация, накопление, хранение, анализ, обезличивание, использование, удаление; автоматизированная обработка	До отзыва согласия или достижения цели; события аналитики — не более 1 года. Для браузерных идентификаторов — сроки Приложения № 1.	Удаление либо обезличивание данных в аналитических системах и на серверах
9	Ведение бухгалтерского, налогового и иного обязательного учета, исполнение требований законодательства РФ, защита прав потребителей и выполнение требований органов государственной власти	Клиенты, контрагенты, представители контрагентов, иные лица в пределах применимых правоотношений	ФИО, контактные данные, реквизиты, данные о расчетах, договорных отношениях и иные сведения, необходимые для исполнения требований закона	Требования законодательства РФ; договор	Сбор, запись, систематизация, накопление, хранение, использование, предоставление уполномоченным государственным органам и сервисам, удаление; автоматизированная, неавтоматизированная, смешанная обработка	Документы налогового учёта — 5 лет с момента, установленного применимой нормой; обычно после окончания соответствующего налогового периода. Бухгалтерские документы при обязанности их ведения — не менее 5 лет после отчётного года. Не распространяется на весь профиль покупателя.	Уничтожение по истечении обязательных сроков хранения, если иное не требуется законом
10	Рассмотрение заявлений, предложений, жалоб, претензий и иных обращений, защита имущества, прав, свобод, чести и деловой репутации Оператора, исполнение судебных и административных процедур	Клиенты, пользователи, заявители, представители контрагентов	ФИО, контакты, сведения из обращений, заказов, договоров, переписки и иных документов, относящихся к предмету обращения	Требования законодательства РФ; договор; законный интерес Оператора	Сбор, запись, хранение, использование, предоставление государственным органам, представителям, консультантам и суду в предусмотренных законом случаях; автоматизированная, неавтоматизированная, смешанная обработка	До завершения рассмотрения и исполнения решения; минимальные материалы — 3 года после урегулирования. При судебном споре или обязательном архивном сроке — до завершения соответствующего срока.	Уничтожение после истечения обязательных сроков хранения и прекращения необходимости в дальнейшей обработке
11	Публикация отзывов о товарах в карточках товаров и подборках отзывов на сайте	Авторы отзывов	Имя в выбранном автором виде, текст, оценка, приложенные фотографии. Не публикуются фамилия, контакты и история заказов.	Отдельное согласие по ст. 10.1 Закона № 152-ФЗ; разрешения на изображение и авторский материал — по п. 7.18.	Получение, модерация, хранение, использование, распространение в разрешённом объёме, блокирование, удаление; смешанная обработка.	До удаления отзыва или отзыва согласия; прекращение распространения — п. 13.6.	Удаление публикации на управляемых ресурсах; технических копий — в порядке раздела 13.
12	Программа «до/после»: демонстрация результата подобранного ухода	Участники программы	Фотографии «до» и «после», описание ухода и результата; имя — только по отдельному выбору. Анкета, контакты и сведения о здоровье не публикуются.	Отдельное согласие по ст. 10.1; для изображения — ст. 152.1 ГК РФ. Медицинские сведения в публикацию не включаются.	Получение, хранение, использование, распространение только на выбранных ресурсах, удаление; смешанная обработка.	До отзыва согласия или достижения цели публикации; прекращение распространения — п. 13.6.	Удаление или обезличивание публикации без сохранения возможности идентификации; удаление технических копий.
13	Работа корзины, авторизации и форм; защита от автоматических запросов, мошенничества и технических атак	Посетители сайта, владельцы учётных записей	Необходимые cookie сессии и выбора; IP, параметры браузера и устройства, технические журналы; результаты SmartCaptcha.	Пп. 5, 7 ч. 1 ст. 6 — договор и защита законных интересов при соблюдении прав субъекта; ст. 19 Закона № 152-ФЗ.	Автоматизированные сбор, запись, хранение, проверка, использование, блокирование и удаление.	Технические журналы — не более 1 года; сессии и cookie — по Приложению № 1. Материалы инцидента — по строке 10.	Удаление журналов, идентификаторов и копий после истечения соответствующего срока.
14	Сотрудничество с брендами, поставщиками, блогерами и другими контрагентами	Контрагенты — физические лица, их представители	ФИО, должность, телефон, email, ссылки на рабочие аккаунты, реквизиты договора; платёжные данные — при расчётах с физическим лицом.	Пп. 2, 5, 7 ч. 1 ст. 6 — закон, договор с субъектом и законный интерес для связи с представителем.	Сбор, запись, хранение, использование, передача уполномоченным лицам, удаление; смешанная обработка.	Срок договора; необходимые договорные и расчётные документы — 5 лет после окончания, если закон не требует иной срок. Рабочие контакты удаляются раньше при утрате цели.	Удаление из рабочих систем и уничтожение архивных документов по истечении срока.
15	Исполнение трудовых, расчётных, налоговых и архивных обязанностей при наличии работников	Работники, бывшие работники; представители и родственники — только в предусмотренных законом случаях	Идентификационные и контактные данные, сведения о трудовой деятельности, образовании, выплатах, ИНН, СНИЛС, банковские реквизиты; семейные, воинские и медицинские сведения — только в требуемом законом объёме.	П. 2 ч. 1 ст. 6; ТК РФ, НК РФ, законы об учёте и архивном деле; для специальных категорий — применимые основания ст. 10 Закона № 152-ФЗ.	Сбор, запись, систематизация, хранение, уточнение, использование, предоставление уполномоченным органам и обработчикам, удаление; смешанная обработка.	По виду документа и обязательному сроку, установленному трудовым, налоговым и архивным законодательством; точные сроки закрепляются в номенклатуре дел. Общий срок 3 года на кадровый архив не распространяется.	По истечении обязательных сроков и архивной экспертизы; акт и иное установленное подтверждение.
16	Подбор кандидата на конкретную вакансию	Соискатели	ФИО, контакты, образование, квалификация, опыт и сведения резюме, необходимые для вакансии; без избыточных медицинских и семейных сведений.	П. 1 ч. 1 ст. 6 — согласие; п. 5 — действия по инициативе кандидата до договора. Кадровый резерв — отдельная цель и согласие.	Получение, хранение, оценка, связь с кандидатом, удаление; смешанная обработка.	До решения по вакансии и не более 30 дней после завершения отбора, если отсутствует иное законное основание. При приёме — строка 15.	Удаление резюме и переписки, уничтожение копий; необходимые доказательства спора хранятся отдельно.

7. УСЛОВИЯ ОБРАБОТКИ, ХРАНЕНИЯ И ПРЕКРАЩЕНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Обработка персональных данных осуществляется Оператором с соблюдением требований законодательства Российской Федерации, преимущественно с использованием автоматизированных систем, за исключением случаев, когда неавтоматизированная обработка необходима в связи с исполнением требований применимого законодательства Российской Федерации либо особенностями конкретного процесса обработки.

7.2. Обработка персональных данных в информационных системах Оператора и привлечённых им обработчиков организуется на территории Российской Федерации. Это требование распространяется на основные базы, резервные и временные копии, журналы событий и хранилища переписки. Подключение сервиса и предоставление ему данных допускаются только после проверки условий раздела 8; наличие российского юридического адреса само по себе не подтверждает выполнение этих условий.

7.3. Срок обработки определяется отдельно для каждой цели по пункту 6.1. Согласие прекращает действие при его отзыве либо истечении установленного в нём срока. Достижение цели ранее предельного срока влечёт прекращение соответствующей обработки. Хранение для исполнения закона или защиты прав допускается только на самостоятельном законном основании и в необходимом объёме, а не как автоматическое продление согласия.

7.4. Отзыв согласия не прекращает обработку, необходимую для исполнения уже заключённого договора или обязанности по закону, и не является основанием для отказа в возврате, обмене или рассмотрении претензии. Отказ от рекламы, аналитики, публикации отзыва или фото не влияет на исполнение заказа. Если без определённых данных невозможно выполнить добровольно запрошенный дополнительный сервис и иного основания нет, Оператор объясняет причины и прекращает только такой сервис.

7.5. Оператор вправе поручить обработку персональных данных третьим лицам на основании договора поручения, договора оказания услуг или иного гражданско-правового договора, заключенного в целях обеспечения деятельности Оператора, исполнения обязательств перед клиентами и контрагентами, функционирования Продуктов Оператора либо оказания услуг потребителям. Привлекаемые сервисы и получатели указаны в пункте 7.13.

7.5.1. В поручении обработки определяются перечень персональных данных и операций, цели, требования конфиденциальности, локализации и безопасности, обязанность подтверждать принятые меры и уведомлять об инцидентах. Оператор обеспечивает законное основание поручения в соответствии с частью 3 статьи 6 Закона № 152-ФЗ; договор с обработчиком не заменяет согласие субъекта, когда оно необходимо. Для выбранной модели обработки в договоре также закрепляются российские места обработки и хранения, ограничения привлечения последующих обработчиков, запрет передачи данных в иностранную инфраструктуру и доступа к ним из-за рубежа, порядок удаления копий и уведомления об изменении инфраструктуры.

7.6. Оператор вправе обрабатывать данные, которые становятся ему доступными в ходе исполнения договоров, ведения переговоров и переписки, использования Продуктов Оператора, продажи товаров, проведения акций, участия в программе лояльности, подбора ухода, публикации отзывов, выдачи промокодов, выполнения работ и оказания услуг, а также в результате анализа и статистической обработки обезличенных данных.

7.7. По окончании рабочей обработки документы, необходимые для обязательного учёта или защиты прав, отделяются от действующих клиентских, рекламных и аналитических баз. Доступ к архиву ограничивается; документы не используются для новых рассылок и профилирования. Срок хранения доказательств не означает разрешения хранить все полученные данные без ограничения.

7.8. Прекращение обработки персональных данных осуществляется при достижении целей обработки, утрате необходимости в достижении таких целей, истечении сроков хранения, прекращении деятельности Оператора, прекращении договорных отношений, получении отзыва согласия субъекта персональных данных либо в иных случаях, установленных действующим законодательством Российской Федерации.

7.9. В случае отзыва субъектом персональных данных или его представителем согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта при наличии оснований, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

7.10. Оператор предоставляет ссылку на Политику при получении обращения, заказа, отзыва и иных материалов.

7.11. Если заказ оформляется для другого получателя, покупатель до передачи его персональных данных обеспечивает законное основание передачи, проверяет правильность, полноту и актуальность сведений, предоставляет получателю Политику до передачи данных и начала исполнения заказа. Для доставки передаются только необходимые имя, контакты и адрес. Данные получателя используются для исполнения этого заказа, а не для подписки на рекламу или участия в программе лояльности без его отдельного волеизъявления.

7.12. Покупатель отвечает за документально подтверждённые убытки, причинённые виновной передачей недостоверных или неправомерно полученных данных, в пределах закона и договора. Такие заверения не освобождают Оператора от проверки правового основания, полномочий представителя в предусмотренных законом случаях и информирования субъекта по частям 3 и 4 статьи 18 Закона № 152-ФЗ. Получателю, являющемуся выгодоприобретателем договора, данные обрабатываются в необходимом для исполнения договора объёме.

7.13. Для заявленных целей допускается привлечение перечисленных ниже российских юридических лиц и категорий получателей только в фактически используемом и предварительно проверенном объёме. Передача каждому получателю ограничивается конкретной задачей и условиями раздела 8. Указание бренда не распространяет разрешение на иностранные компании группы или иные версии сервиса.

7.13.1. ООО «Инсейлс Рус» (InSales, ИНН 7714843760) — платформа магазина, личный кабинет, база заказов и клиентов; ООО «Д Технолоджи» (Diginetica / any, ИНН 7728492537) — поиск по каталогу и подсказки, поисковые запросы и технические идентификаторы. Используются только конфигурации с подтверждёнными обработкой и хранением данных магазина в Российской Федерации, без передачи в иностранные системы и без не согласованного Оператором обмена данными с компаниями группы.

7.13.2. Российские службы доставки и почтовые организации по фактическим договорам, включая АО «ДПД РУС» (DPD, ИНН 7713215523) и ООО «Портал» (Dostavista, ИНН 7731465565), — только для доставки по Российской Федерации и при выполнении раздела 8. Передаются имя и фамилия получателя, телефон, адрес или пункт выдачи, необходимые сведения об отправлении и сумма при оплате при получении. Привлечение иных перевозчиков не допускается без предварительной проверки их юридического лица, маршрута передачи и инфраструктуры.

7.13.3. Российские банки и платёжные организации по выбранному способу оплаты и фактическому договору: ПАО Сбербанк, АО «ТБанк», ПАО «МТС-Банк», ООО «А4 Технологии» («Подели», ИНН 9725074045), ООО «Т-Покупки» («Долями», ИНН 7743414212), ООО «Финансовые и платежные технологии» («Сплит», ИНН 9705212635). Передаются номер и сумма заказа, имя и контакты в необходимом объёме. Получателя для конкретного платёжного продукта и выполнение раздела 8 определяют до его подключения; использование бренда или принадлежность к банковской группе не заменяют такую проверку. Дополнительные данные, запрашиваемые банком для кредита, обрабатываются им на собственном законном основании.

7.13.4. Российские поставщики сервисов Яндекса по применимому договору: ООО «ЯНДЕКС» — Яндекс Метрика; ООО «Яндекс.Облако» — Yandex SmartCaptcha; Яндекс Формы — через российское юридическое лицо, указанное в договоре на используемую версию сервиса. Допускается только российский регион обработки и хранения. Метрике передаются технические сведения о посещениях; SmartCaptcha — сведения для защиты форм; Формам — немедицинские ответы для подбора ухода. Сведения о здоровье через Яндекс Формы не собираются и не передаются. Передача данных между сервисами не возникает автоматически.

7.13.5. ООО «Юнисендер СМАРТ» (UniSender, ИНН 9731091240) — служебные письма и, при отдельном согласии, реклама; email, имя, сведения о подписке, открытии писем и переходах. ООО «ЖИВОЙ САЙТ» (Jivo, ИНН 7725745476) — онлайн-чат, имя, контакты и переписка. Для Jivo используется российская зона .RU с хранением в Российской Федерации, для UniSender — договор и учётная запись российского поставщика. Внешние интеграции, предполагающие зарубежную обработку, не подключаются.

7.13.6. Российский оператор фискальных данных, выбранный по действующему договору и имеющий необходимое разрешение ФНС России, — сведения кассового чека, email или телефон для электронного чека по Федеральному закону № 54-ФЗ. Конкретное юридическое лицо и российская инфраструктура устанавливаются до подключения; неопределённое обозначение «ОФД» не заменяет эту проверку.

7.13.7. Российские изготовители, импортёры и уполномоченные организации — для проверки качества и безопасности товара; описание недостатка, фотографии товара и необходимые сведения по претензии. Контакты покупателя передаются только при наличии законного основания. Передача таким получателем персональных данных иностранному изготовителю либо в международную систему не допускается в рамках выбранной модели. При необходимости обращения к иностранному изготовителю используются только сведения о товаре, из которых исключены данные, позволяющие прямо или косвенно определить покупателя.

7.13.8. Технические подрядчики, поставщики почты, связи, записи звонков, резервного копирования и иных смежных сервисов привлекаются только после установления российского юридического лица или индивидуального предпринимателя и подтверждения выполнения раздела 8. Использование иностранного сервисного аккаунта, резервного хранилища, аналитического загрузчика или встроенного модуля не разрешается наличием российского основного поставщика.

7.13.9. Государственные органы и суды Российской Федерации — в объёме и на основаниях, установленных законом. Привлекаемым российским представителям и консультантам передаются только материалы, необходимые для конкретного обращения или спора, с соблюдением конфиденциальности и ограничений раздела 8.

7.14. Получатели могут действовать по поручению Оператора либо как самостоятельные операторы, если сами определяют цели в пределах закона и заключённого договора. Наличие общей торговой марки, принадлежность к одной группе или упоминание в Политике не создают неограниченного права обмениваться персональными данными.

7.15. Оператор не продаёт персональные данные и не передаёт их для самостоятельной рекламы третьих лиц.

7.16. Публикация отзыва и участие в программе «до/после» — самостоятельные добровольные цели. Для отзыва на сайте публикуются выбранное имя, текст, оценка и разрешённые фотографии. Для программы «до/после» — выбранные фотографии и описание ухода, имя только по отдельному выбору участника. Контакты, история заказов, ответы анкеты и сведения о здоровье не публикуются.

7.17. До публикации Оператор получает отдельное согласие на распространение по статье 10.1 Закона № 152-ФЗ с конкретным перечнем данных, целями, адресами ресурсов, сроком, условиями и запретами. Пользователь может разрешить только отзыв на сайте, только фото без имени либо отдельные выбранные ресурсы. Размещение в личной переписке или открытом аккаунте не означает разрешения Оператору на повторную публикацию или использование в рекламе. Расширение целей и площадок требует нового основания. Для публикации Оператор использует собственный сайт и только те сторонние ресурсы, российские поставщики и условия обработки которых предварительно проверены по разделу 8.

7.18. Согласие на распространение не подменяет согласие на обнародование и использование изображения по статье 152.1 ГК РФ, а также разрешение правообладателя на использование авторского текста, фото и видео. Соответствующие разрешения оформляются отдельно в необходимом объёме; согласие на персональные данные не объявляется лицензией на любые способы использования материала.

7.19. В записи телефонной консультации Оператор предварительно уведомляет собеседника о записи, её цели и сроке, обеспечивает законное основание и возможность обратиться по другому каналу. Запись не применяется для распознавания личности по голосу. Для уведомления о поступлении товара используется только выбранный контакт и запрошенный товар; такая заявка сама по себе не подписывает на рекламу.

8. ЛОКАЛИЗАЦИЯ БАЗ ДАННЫХ И ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА

8.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных в Российской Федерации. Совершение указанных операций при сборе с использованием баз данных за пределами Российской Федерации не допускается, кроме исключений, прямо установленных частью 5 статьи 18 Закона № 152-ФЗ.

8.2. Для привлечённого сервиса отдельно проверяются сторона договора, страна её регистрации, фактические места обработки основных и резервных данных, журналы, техническая поддержка и последующие обработчики. Юридический адрес не является адресом центра обработки данных. Российский домен, рублёвый тариф, нахождение основной базы в Российской Федерации или наличие сервиса в российском реестре не подтверждают отсутствие зарубежных передач.

8.3. Оператор выбирает модель обработки без добровольного привлечения иностранных получателей и без трансграничной передачи персональных данных. Иностранные аналитические, рекламные и иные сервисы, передающие за пределы Российской Федерации сведения о посетителях, заказах или обращениях, к такой модели не относятся и не используются. Это организационное ограничение Оператора, а не утверждение об общем законодательном запрете трансграничной передачи.

8.4. Согласие на cookie, использование сервиса или обработку данных не отменяет ограничений настоящего раздела. Подрядчикам запрещается передавать данные магазина в иностранные компании группы, зарубежные центры обработки данных, системы поддержки и резервного копирования либо предоставлять доступ из-за рубежа. Условия распространяются также на привлекаемых ими последующих обработчиков.

8.5. До использования каждого сервиса Оператор получает и сохраняет документы, подтверждающие соответствие выбранной модели, и проверяет фактические технические подключения. При отсутствии подтверждения соответствующая интеграция не подключается, а ранее подключённая приостанавливается до устранения несоответствия или замены. Отключение включает прямые и вложенные загрузчики, отправку событий, выгрузки и доступы; у прежнего получателя запрашиваются удаление данных и подтверждение прекращения обработки, если отсутствует иное законное основание хранения.

8.6. Проверка охватывает в том числе браузерные запросы, встроенные формы, виджеты, почтовые и телефонные сервисы, платёжные страницы, журналы и резервные копии. При изменении юридического лица, региона обработки, договора или перечня последующих обработчиков проверка проводится повторно.

9.1. При использовании принадлежащего Оператору сайта, приложения, страницы, личного кабинета, формы заказа либо иного цифрового Продукта Оператор вправе осуществлять обработку файлов cookies и иных технических данных, необходимых для функционирования соответствующего ресурса, обеспечения безопасности, аналитики, статистики и улучшения пользовательского опыта.

9.2. Cookies представляют собой небольшие фрагменты данных, которые веб-сайт или приложение запрашивает у браузера, используемого на компьютере или мобильном устройстве Пользователя. Cookies хранятся локально на устройстве Пользователя и позволяют распознавать устройство, сохранять настройки, анализировать посещаемость и обеспечивать корректную работу соответствующего цифрового ресурса. В настоящем разделе учитывается также локальное хранилище браузера (localStorage). Идентификатор в сочетании с IP-адресом, событиями и сведениями об устройстве может относиться к определяемому пользователю и обрабатывается как персональные данные.

9.3. До получения добровольного согласия на необязательные цели используются только технически необходимые функции. Баннер и настройки сайта позволяют принять необязательные категории, отказаться от них или выбрать отдельные цели. Аналитические, рекламные и необязательные функциональные скрипты не загружаются до соответствующего выбора. Продолжение просмотра сайта не считается согласием; отказ не блокирует доступ к информации и основной покупке.

9.4. Cookie разделяются по фактической цели: необходимые для сессии, корзины, авторизации и защиты форм; функциональные настройки; аналитика; маркетинг. Учёт рекламного источника, статистика просмотров и подавление повторного показа рекламного окна не признаются обязательными только потому, что предусмотрены платформой. Конкретные идентификаторы, назначение и предельные сроки указаны в Приложении № 1.

9.5. Cookies обрабатываются Оператором исключительно в целях, указанных в разделе 6 настоящей Политики, в том числе для обеспечения работы сайта и иных Продуктов, проведения статистических исследований, исправления ошибок, тестирования новых функций, персонализации информации и повышения качества сервиса.

9.6. Информация, собранная с помощью cookies, может быть доступна Оператору и лицам, привлекаемым Оператором для обеспечения работы сайта, аналитики, хостинга, защиты информации и иных подключаемых сервисов, в объеме, необходимом для достижения соответствующих целей обработки. Яндекс Метрика предоставляет статистические отчёты и записи сеансов, включая Вебвизор и события электронной торговли. Оператор не использует эти отчёты для установления личности посетителя. Аналитические сервисы допускаются только в российской конфигурации, проверенной по разделу 8; получатели данных и синхронизация идентификаторов с дополнительными системами оцениваются отдельно.

9.6.1. Из записи Вебвизора и передаваемых аналитике параметров исключаются поля контактов, адреса доставки, содержание обращений, анкеты подбора ухода и сведения о здоровье. Скрытие имени или присвоение идентификатора не гарантирует обезличивание: если посетитель остаётся определяемым, к сведениям применяются требования к персональным данным.

9.7. Отозвать согласие можно через настройки cookie на сайте либо обращением на store@lulubeauty.ru. Дополнительно Пользователь вправе удалить cookie, ограничить их сохранение в браузере и использовать средство отказа от Яндекс Метрики. Оператор прекращает соответствующую необязательную обработку и удаляет относимые к Пользователю данные при отсутствии другого основания. Очистка браузера сама по себе не удаляет уже сохранённые серверные данные. Ограничение необходимых cookie может нарушить работу корзины или авторизации, но не отменяет право обратиться к Оператору другим способом.

9.8. Для сохранения отметки о показе модального окна устанавливается предельный срок 3 года, если цель ещё сохраняется. Фактический срок может быть короче из-за ограничений браузера, удаления cookie, отзыва согласия или прекращения цели. Этот срок не применяется ко всем cookie, не продлевает согласие и не означает обязанности Пользователя хранить идентификатор не менее 3 лет.

10. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1. Субъект персональных данных имеет право:
10.1.1. получать сведения, касающиеся обработки его персональных данных;
10.1.2. требовать уточнения, блокирования или уничтожения его персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки;
10.1.3. отозвать согласие на обработку персональных данных;
10.1.4. отозвать согласие на получение рекламных сообщений;
10.1.5. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных либо в судебном порядке;
10.1.6. осуществлять иные права, предусмотренные законодательством Российской Федерации.

10.2. Для реализации своих прав субъект персональных данных вправе направить Оператору обращение по контактным данным, указанным в настоящей Политике. Субъект также вправе потребовать прекращения обработки и распространения, определить условия публикации и получить сведения о конкретных получателях данных.

11. ОГРАНИЧЕНИЕ ОТВЕТСТВЕННОСТИ ОПЕРАТОРА

11.1. Если использование соответствующего Продукта Оператора предполагает создание учетной записи, Пользователь самостоятельно несет ответственность за уровень безопасности выбранного им пароля, его сохранность и конфиденциальность.

11.2. Пользователь обязуется не передавать третьим лицам логины, пароли, коды подтверждения и иные средства доступа к своим учетным данным, а также не предоставлять третьим лицам доступ к информации, содержащейся в учетной записи, за исключением случаев, когда такая передача осуществляется по его собственной инициативе и на его риск.

11.3. Пользователь обязуется использовать пароль, обеспечивающий разумный уровень безопасности, и принимать иные меры для защиты своих учетных данных от несанкционированного доступа.

11.4. В случае передачи Пользователем своих учетных данных третьим лицам Пользователь несет риск наступления неблагоприятных последствий, связанных с такой передачей, если иное не вытекает из обязательных требований законодательства Российской Федерации.

11.5. Последствия передачи Пользователем средств доступа третьим лицам оцениваются с учётом причин нарушения, действий сторон и обязательных требований закона. Такие обстоятельства не освобождают Оператора от собственных обязанностей по обеспечению безопасности и не исключают его ответственность за собственное нарушение.

11.6. Пользователь предоставляет достоверные данные и сообщает об изменениях, имеющих значение для исполнения заказа.

11.7. Ответственность Оператора определяется действующим законодательством Российской Федерации. Никакие положения настоящей Политики не ограничивают ответственность Оператора в случаях, когда такое ограничение не допускается законом.

12. СВЕДЕНИЯ О РЕАЛИЗУЕМЫХ ТРЕБОВАНИЯХ ДЛЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

12.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

12.2. К числу реализуемых мер по защите персональных данных, в частности, относятся:
12.2.1. определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
12.2.2. применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований законодательства Российской Федерации;
12.2.3. обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по таким фактам;
12.2.4. контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
12.2.5. ограничение доступа к персональным данным и документам, содержащим персональные данные;
12.2.6. проведение мониторинга действий пользователей и разбирательств по фактам нарушения требований безопасности персональных данных;
12.2.7. осуществление ИП организации обработки лично либо определение уполномоченного лица, и определение круга лиц, имеющих доступ к обработке персональных данных;
12.2.8. издание локальных актов по вопросам обработки персональных данных, направленных на предотвращение и выявление нарушений законодательства Российской Федерации и устранение последствий таких нарушений;
12.2.9. применение антивирусной защиты, разграничения прав доступа, резервного копирования, ограничения программной среды, защиты от вторжений и иных средств обеспечения безопасности информации;
12.2.10. ограничение доступа к информационным системам, электронным ресурсам и территории, на которой размещены носители персональных данных, в объеме, необходимом для защиты информации.

12.3. Оператор осуществляет периодическую проверку состояния безопасности персональных данных и принимает меры для минимизации выявленных рисков и угроз.

12.4. В случае выявления инцидента, связанного с возможной или подтвержденной утечкой персональных данных, Оператор осуществляет действия, предусмотренные законодательством Российской Федерации, включая внутреннее расследование, принятие мер по локализации инцидента и направление необходимых уведомлений в предусмотренных законом случаях. При инциденте, указанном в части 3.1 статьи 21 Закона № 152-ФЗ, Роскомнадзор уведомляется в течение 24 часов о происшествии, причинах, предполагаемом вреде и принятых мерах и в течение 72 часов — о результатах внутреннего расследования.

12.5. Указанные сроки исчисляются с момента выявления инцидента, повлекшего нарушение прав субъектов, а не с завершения расследования. Оператор организует получение уведомлений от обработчиков и обеспечивает актуальность уведомления об обработке данных в Роскомнадзоре; запись в реестре сама по себе не подтверждает законность каждого способа обработки.

13. ПОРЯДОК ОБРАЩЕНИЯ ПО ВОПРОСАМ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

13.1. Обращения, связанные с обработкой персональных данных, направляются Оператору по адресу электронной почты: store@lulubeauty.ru. Письменное обращение также может быть направлено по адресу для корреспонденции, указанному в пункте 15.4; вопросы принимаются по телефону +7 (495) 127-04-57.

13.2. Для обычного отзыва согласия или отказа от рассылки достаточно обращения, позволяющего соотнести его с Пользователем, либо предусмотренной функции интерфейса. Подписанный электронный документ требуется не для любого обращения, а в случаях, установленных законом. Формальный запрос о доступе оформляется с соблюдением части 3 статьи 14 Закона № 152-ФЗ. Дополнительные идентифицирующие сведения запрашиваются только при необходимости; копия паспорта для обычной отписки не требуется.

13.3. Сведения об обработке предоставляются в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением. Подтверждённые неточности исправляются в течение 7 рабочих дней. По требованию о прекращении обработки применяется срок 10 рабочих дней с допускаемым законом продлением не более чем на 5 рабочих дней и исключениями для законной продолжающейся обработки.

13.4. При достижении цели или отзыве согласия данные, для которых отсутствует другое законное основание, уничтожаются не позднее 30 календарных дней. Неправомерная обработка прекращается не позднее 3 рабочих дней после выявления; при невозможности обеспечить правомерность данные уничтожаются не позднее 10 рабочих дней.

13.5. Рекламные сообщения прекращаются немедленно после отказа: по ссылке «Отписаться», снятием подписки в личном кабинете, обращением на store@lulubeauty.ru или по указанному телефону. Отказ не прекращает необходимые служебные сообщения о заказе; контакты не используются для новой рекламы без нового согласия.

13.6. Согласие на распространение прекращает действие с момента получения требования субъекта. Оператор прекращает дальнейшее распространение и удаляет публикацию на управляемом ресурсе без неоправданной задержки, не позднее 3 рабочих дней, если закон не требует более раннего действия. Требование включает ФИО при наличии, контакт и перечень данных; условия и запреты ранее полученного согласия публикуются в течение 3 рабочих дней после его получения в порядке статьи 10.1 Закона № 152-ФЗ.

13.7. Уничтожение производится способом, исключающим восстановление, в том числе в рабочих базах, выгрузках и доступных резервных копиях, и подтверждается по требованиям приказа Роскомнадзора от 28.10.2022 № 179. При объективной невозможности уничтожения в установленный срок данные блокируются и уничтожаются не позднее 6 месяцев, если закон не устанавливает иное. Восстановление резервной копии не должно возвращать удалённые данные в обычную обработку.

13.8. Отдельно могут сохраняться необходимые документы об исполнении закона, предоставлении и отзыве согласия, прекращении рассылки и рассмотрении спора — только в минимальном объёме, с ограниченным доступом и собственным обоснованным сроком. Это не разрешает дальнейшее маркетинговое использование или публикацию.

13.9. По запросу потребителя причины и правовые основания невозможности исполнения договора без определённых данных объясняются незамедлительно при устном обращении и в течение 7 календарных дней при письменном, включая электронное, обращении согласно пункту 4 статьи 16 Закона РФ «О защите прав потребителей».

14. ИЗМЕНЕНИЯ И ДОПОЛНЕНИЯ НАСТОЯЩЕЙ ПОЛИТИКИ

14.1. Оператор оставляет за собой право вносить изменения и дополнения в настоящую Политику с уведомлением Пользователя путем размещения новой редакции Политики на сайте либо в ином месте ее официальной публикации.

14.2. Новая редакция Политики вступает в силу в день, следующий за днем ее размещения или опубликования, если иной срок вступления в силу не установлен непосредственно новой редакцией Политики.

14.3. Изменение Политики не расширяет ранее предоставленные согласия и не ухудшает согласованные условия уже заключённого договора. При новой цели, составе данных или публикации вне полученного разрешения Оператор предварительно определяет новое правовое основание и получает отдельное согласие, когда оно необходимо.

14.4. Настоящая Политика регулируется и толкуется в соответствии с законодательством Российской Федерации. Вопросы, не урегулированные настоящей Политикой, подлежат разрешению в соответствии с законодательством Российской Федерации.

14.5. Положения настоящей Политики применяются ко всем Продуктам, товарам, работам и услугам Оператора, если иное не предусмотрено отдельными соглашениями, правилами использования или иными документами Оператора.

14.6. Настоящая Политика вступает в силу с момента ее опубликования и действует до момента введения в действие новой редакции Политики.

14.7. Формы согласий на обработку персональных данных и на получение рекламы размещаются отдельно и применяются совместно с настоящей Политикой. Отдельно размещаются согласие на распространение персональных данных и информация о cookie. Отдельные согласия не включаются в текст этой Политики в качестве автоматически принимаемых условий.

15. СВЕДЕНИЯ ОБ ОПЕРАТОРЕ

15.1. Оператор: Индивидуальный предприниматель Котоянц Заруи Арновна.

15.2. ИНН: 771482787107.

15.3. ОГРНИП: 321774600753212.

15.4. Адрес для корреспонденции: 105005, г. Москва, Большой Демидовский пер., д. 10/28.

15.5. Адрес электронной почты для обращений по вопросам обработки персональных данных: store@lulubeauty.ru.

15.6. Телефон для обращений: +7 (495) 127-04-57, ежедневно с 10:00 до 21:00.

15.7. Сайт Оператора: https://store.lulubeauty.ru.

15.8. Регистрационный номер в реестре операторов персональных данных: 77-25-449868.

ПРИЛОЖЕНИЕ № 1. COOKIE И АНАЛОГИЧНЫЕ ТЕХНОЛОГИИ

Перечень ниже относится только к российским конфигурациям сервисов, допущенным после проверки раздела 8. Он не подтверждает фактические настройки сайта. Иностранные сервисы и идентификаторы с неустановленным получателем исключены из разрешаемого перечня. Назначение и сроки оставшихся идентификаторов сверяются с технической настройкой; сроки прекращаются раньше при достижении цели, отзыве согласия или очистке браузера.

Категория / сервис	Идентификаторы	Назначение и получаемые сведения	Предельный срок / условие
Необходимые / InSales (ООО «Инсейлс Рус»)	ins_myshop-bbf240; ins_order_version; x_csrf_token	Сессия, корзина, авторизация, защита форм от подделки запросов.	До конца сеанса или 1 день.
Функциональные и аналитические / InSales (РФ)	visit; referer; first_referer; current_location; first_current_location	Учёт источника и страницы перехода. Обязательные для конкретного заказа операции отделяются от аналитики; маркетинговый учёт требует согласия.	До 1 года; только в пределах выбранной цели.
Необходимая настройка / сайт	was	Сохранение выбора в cookie-баннере. Отказ также запоминается.	До 1 года.
Необязательная настройка / сайт	Cookie модальных окон по идентификатору окна	Запоминание показа окна, чтобы не показывать повторно. Само отсутствие имени не исключает применение правил о персональных данных.	3 года, но не дольше сохранения цели и с учётом более раннего отзыва, очистки и ограничений браузера.
Поиск / Diginetica — ООО «Д Технолоджи» (РФ)	_userGUID; dSesn; _dvs	Поиск, подсказки и учёт поисковых запросов. Аналитика и отслеживание не относятся автоматически к необходимому поиску.	_userGUID — до 400 дней; dSesn и _dvs — до конца сеанса.
Онлайн-чат / Jivo, зона .RU	jv_* (localStorage)	Сохранение состояния чата и переписки; включается при обращении к чату либо согласии на соответствующую необязательную функцию.	До очистки браузера, но не более 1 года с последнего использования; серверная переписка — по строке 1 п.6.1.
Форма подписки / UniSender — ООО «Юнисендер СМАРТ»	DEFAULT_COOKIE_NAME_STATISTIC_*	Подсчёт просмотров для показа окна подписки; необязательная аналитическая/маркетинговая функция.	До закрытия браузера.
Аналитика / Яндекс Метрика	_ym_uid; _ym_d	Идентификатор посетителя и дата первого визита.	До 1 года.
Аналитика / Яндекс Метрика	_ym_isad	Проверка наличия блокировщика рекламы.	До 2 дней.
Аналитика / Яндекс Метрика	_ym_visorc	Работа Вебвизора. Контактные и медицинские поля исключаются из записи.	До 30 минут.
Аналитика / Яндекс Метрика	_ym* (localStorage)	Служебные данные счётчика; применяются только при согласии на аналитику.	До очистки браузера, но не более 1 года с записи; не бессрочно.
Аналитика / InSales (РФ)	Счётчик статистики InSales	Статистика посещений в панели управления магазином; отдельно от работы корзины и заказа.	До 1 года.