Политика обработки персональных данных

Редакция от 6 октября 2026 г.

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет, какие персональные данные, в каких целях и на каких основаниях обрабатывает индивидуальный предприниматель Котоянц Заруи Арновна (ИНН 771482787107, ОГРНИП 321774600753212) (далее — Оператор, «мы»), как они защищаются и какие права есть у субъектов персональных данных.

1.2. Политика разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и применяется ко всем персональным данным, которые Оператор получает через сайт store.lulubeauty.ru (включая адрес lulubeauty.ru, который перенаправляет на него; далее — Сайт), по телефону, электронной почте, в мессенджерах, официальных сообществах ЛУЛУ в социальных сетях и в пункте выдачи заказов.

1.3. Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, под номером 77-25-449868.

1.4. Контакты Оператора по вопросам персональных данных:

электронная почта: store@lulubeauty.ru;
телефон: +7 (495) 127-04-57, ежедневно с 10:00 до 21:00;
почтовый адрес: 105005, г. Москва, Большой Демидовский пер., д. 10/28.

1.5. Политика опубликована в свободном доступе по адресу store.lulubeauty.ru/page/politika-obrabotki-personalnyh-dannyh. Использование файлов cookie и Яндекс Метрики описано в разделе 7.

2. Термины

Термины используются в значении, установленном Законом о персональных данных:

персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных);
обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
распространение — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
поручение обработки — обработка персональных данных другим лицом по поручению Оператора на основании договора;
cookie — небольшой фрагмент данных, который Сайт сохраняет в браузере посетителя;
метрическая программа — программа, которая собирает сведения о посещениях Сайта (на Сайте используется Яндекс Метрика).

3. Принципы обработки

3.1. Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей, указанных в разделе 4, в объёме, который необходим для этих целей, и не дольше, чем этого требуют цели или закон.

3.2. Оператор не объединяет базы данных, обрабатываемые в несовместимых между собой целях, и принимает меры по удалению или уточнению неполных и неточных данных.

3.3. Оператор не принимает решений, порождающих юридические последствия для человека, исключительно на основании автоматизированной обработки его данных.

4. Цели, данные, основания и сроки обработки

4.1. Оформление, оплата, доставка и выдача заказов, в том числе заказов в один клик и по телефону; информирование о статусе заказа

Чьи данные: Покупатели, получатели заказов
Какие данные: Фамилия, имя, отчество; телефон; email; адрес доставки или выбранный пункт выдачи; состав, сумма и номер заказа; способ оплаты и доставки; комментарий к заказу; сведения об оплате, полученные от платёжного сервиса (без полных реквизитов карты)
Правовое основание: Исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона о персональных данных)
Срок обработки: Пять лет после окончания года, в котором исполнен заказ (сроки хранения документов бухгалтерского и налогового учёта)

4.2. Личный кабинет и программа лояльности: регистрация, авторизация, история заказов, персональная скидка, скидка в день рождения

Чьи данные: Зарегистрированные пользователи
Какие данные: Фамилия, имя; телефон; email; пароль (хранится в зашифрованном виде); дата рождения, если пользователь её указал; история заказов; размер скидки; промокоды
Правовое основание: Исполнение договора — Публичной оферты и условий программы лояльности (п. 5 ч. 1 ст. 6)
Срок обработки: До удаления личного кабинета. Данные о заказах — по сроку п. 4.1

4.3. Консультации и обратная связь: обратный звонок, предзаказ, онлайн-чат, звонки, письма, сообщения в мессенджерах

Чьи данные: Посетители Сайта, покупатели
Какие данные: Имя; телефон; email; имя пользователя в мессенджере; содержание обращения и переписки; запись телефонного разговора (при звонке на номер магазина)
Правовое основание: Заключение и исполнение договора по инициативе субъекта (п. 5 ч. 1 ст. 6)
Срок обработки: Три года после последнего обращения. Записи разговоров — не более одного года

4.4. Персональный подбор ухода по анкете

Чьи данные: Посетители, заполнившие анкету
Какие данные: Имя; телефон или имя пользователя в Telegram; описание состояния кожи; фотографии лица без макияжа; предпочтения по средствам, брендам, текстурам и бюджету; сведения об особенностях здоровья (беременность, грудное вскармливание, заболевания), только если человек сам указал их в анкете
Правовое основание: Согласие, которое посетитель даёт при отправке анкеты (п. 1 ч. 1 ст. 6); для сведений о здоровье — согласие субъекта (п. 1 ч. 2 ст. 10)
Срок обработки: Один год после консультации или до отзыва согласия

4.5. Программа «до/после»: публикация фотографий результатов ухода

Чьи данные: Участники программы
Какие данные: Фотографии лица «до» и «после»; имя (по выбору участника); описание ухода
Правовое основание: Согласие на распространение персональных данных (ст. 10.1)
Срок обработки: До отзыва согласия

4.6. Публикация отзывов о товарах

Чьи данные: Авторы отзывов
Какие данные: Имя; текст отзыва; оценка; фотографии, если автор их приложил
Правовое основание: Согласие на распространение персональных данных (ст. 10.1)
Срок обработки: До удаления отзыва или отзыва согласия

4.7. Рекламные и информационные рассылки: новости, акции, промокоды, приглашения на мероприятия

Чьи данные: Подписчики
Какие данные: Email; телефон; имя; дата подписки; сведения об открытии писем и переходах по ссылкам
Правовое основание: Согласие на получение рекламы и на обработку персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных; ч. 1 ст. 18 Федерального закона «О рекламе»)
Срок обработки: До отзыва согласия или отписки

4.8. Статистика посещений и улучшение Сайта

Чьи данные: Посетители Сайта
Какие данные: Идентификаторы cookie; IP-адрес и определённое по нему примерное местоположение; тип устройства, операционная система, браузер, разрешение экрана, язык; адреса просмотренных страниц и источник перехода; дата, время и длительность посещения; клики, прокрутка и перемещения по странице, записи сеансов (Вебвизор); просмотренные и добавленные в корзину товары
Правовое основание: Согласие (п. 1 ч. 1 ст. 6)
Срок обработки: До отзыва согласия. Cookie Яндекс Метрики хранятся в браузере до одного года

4.9. Защита Сайта от автоматических запросов и мошенничества

Чьи данные: Посетители Сайта
Какие данные: IP-адрес; сведения о браузере и устройстве; технические журналы запросов
Правовое основание: Законный интерес Оператора при условии, что не нарушаются права субъекта (п. 7 ч. 1 ст. 6)
Срок обработки: Не более одного года

4.10. Рассмотрение претензий, выполнение требований закона, защита прав в суде

Чьи данные: Покупатели, заявители
Какие данные: Данные заказа (п. 4.1); содержание претензии и переписки; банковские реквизиты для возврата денег
Правовое основание: Выполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6); исполнение договора (п. 5 ч. 1 ст. 6)
Срок обработки: Три года после урегулирования, но не меньше сроков п. 4.1

4.11. Сотрудничество с брендами, поставщиками, блогерами и другими контрагентами

Чьи данные: Представители контрагентов
Какие данные: Фамилия, имя, отчество; должность; телефон; email; ссылки на аккаунты в социальных сетях; реквизиты договора
Правовое основание: Заключение и исполнение договора (п. 5 ч. 1 ст. 6); законный интерес Оператора (п. 7 ч. 1 ст. 6)
Срок обработки: Срок действия договора и пять лет после его окончания

4.12. Кадровый и бухгалтерский учёт

Чьи данные: Работники, соискатели
Какие данные: В объёме, установленном трудовым, налоговым законодательством и законодательством о бухгалтерском учёте
Правовое основание: Выполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6)
Срок обработки: Сроки, установленные законодательством об архивном деле

4.13. Оператор не обрабатывает биометрические персональные данные: фотографии используются только для подбора ухода и (с согласия) для публикации, но не для установления личности. Оператор не запрашивает сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, интимной жизни и судимости клиентов.

4.14. Сайт не предназначен для лиц младше 14 лет. Оформлять заказы вправе совершеннолетние лица; несовершеннолетние в возрасте от 14 до 18 лет — с согласия законных представителей.

5. Как мы обрабатываем данные

5.1. Обработка смешанная: с использованием средств автоматизации и без них, с передачей по внутренней сети и по сети Интернет.

5.2. С персональными данными совершаются действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Распространение — только в случаях, указанных в пп. 4.5 и 4.6, и только при наличии отдельного согласия.

5.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

5.4. Оператор не осуществляет трансграничную передачу персональных данных.

5.5. Оператор получает персональные данные от самого субъекта. Если данные получены от другого лица (например, покупатель указал другого человека получателем заказа), покупатель подтверждает, что вправе их передать, а Оператор использует их только для доставки этого заказа.

6. Кому передаются данные

6.1. Оператор передаёт персональные данные третьим лицам только в объёме, необходимом для конкретной цели, и поручает обработку только лицам, которые обязались соблюдать конфиденциальность и требования статьи 19 Закона о персональных данных.

Платформа интернет-магазина InSales (хостинг Сайта, база заказов и клиентов, личный кабинет)

Зачем: Работа Сайта, пп. 4.1–4.3, 4.6
Какие данные: Все данные, введённые на Сайте

Службы доставки: СДЭК, Dostavista — в зависимости от выбранного способа доставки

Зачем: Доставка заказа
Какие данные: Имя и фамилия получателя, телефон, адрес или пункт выдачи, состав и сумма заказа при оплате при получении

Платёжные сервисы и банки: сервисы приёма оплаты картой, СберPay, «Яндекс Пэй», «Сплит», «Подели», «Долями», АО «ТБанк», ООО «МФК «Т-Финанс», ПАО «МТС-Банк» — в зависимости от выбранного способа оплаты

Зачем: Оплата, рассрочка, кредит, возврат денег
Какие данные: Номер и сумма заказа, имя, телефон, email. Данные банковской карты вводятся на странице платёжного сервиса и Оператору не передаются

ООО «Яндекс» — сервисы Яндекс Метрика, Яндекс Формы, Yandex SmartCaptcha

Зачем: Пп. 4.4, 4.8, 4.9
Какие данные: Данные посещений и cookie; ответы анкеты; технические данные для проверки «я не робот»

Сервис email-рассылок UniSender

Зачем: П. 4.7, служебные письма о заказах
Какие данные: Email, имя, сведения о подписке и об открытии писем

Сервис онлайн-чата Jivo

Зачем: П. 4.3
Какие данные: Имя, контакты, переписка

Оператор фискальных данных

Зачем: Отправка электронного кассового чека (54-ФЗ)
Какие данные: Email или телефон покупателя, данные чека

Изготовители и импортёры товаров

Зачем: Проверка качества по претензии
Какие данные: Номер заказа, описание недостатка, фотографии товара; контакты — только с согласия покупателя

Государственные органы, суды

Зачем: Исполнение требований закона
Какие данные: В объёме запроса, основанного на законе

6.2. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственной рекламы.

7.1. Cookie — небольшой файл, который Сайт сохраняет в браузере, чтобы узнать его при следующем открытии страницы. Так же работает локальное хранилище браузера (localStorage); в этой Политике оно тоже называется cookie. Идентификатор cookie вместе с IP-адресом и данными об устройстве позволяет отличить одного посетителя от другого, поэтому Оператор обрабатывает такие данные как персональные.

7.2. Сайт использует cookie следующих видов:

Обязательные — без них не работают корзина, оформление заказа, личный кабинет и защита форм. Используются для работы Сайта и исполнения договора, отключаются только в браузере.

Платформа InSales: ins_myshop-bbf240, ins_order_version, x_csrf_token — сессия, корзина, авторизация, защита форм, до закрытия браузера или 1 день; visit, referer, first_referer, current_location, first_current_location — источник перехода для оформления заказа, до 1 года
Сайт: was — выбор в cookie-баннере, 1 год; cookie модальных окон — запоминают, что окно уже показано, до очистки cookie

Функциональные — нужны для работы поиска, онлайн-чата и форм подписки.

Поиск по каталогу Diginetica: _userGUID — до 400 дней; dSesn, _dvs — до конца сеанса; dolyame-config (localStorage) — до очистки браузера
Онлайн-чат Jivo: jv_* (localStorage) — переписка и состояние чата, до очистки браузера
Формы подписки UniSender: DEFAULT_COOKIE_NAME_STATISTIC_* — подсчёт просмотров для показа окна подписки, до закрытия браузера

Аналитические — статистика посещаемости, оценка удобства Сайта и эффективности рекламы, поиск ошибок. Используются на основании согласия.

Яндекс Метрика: _ym_uid, _ym_d — идентификатор посетителя и дата первого визита, 1 год; _ym_isad — до 2 дней; _ym_visorc — работа Вебвизора, до 30 минут; _ym* (localStorage) — до очистки браузера
ООО «Яндекс» на своих доменах (yandexuid, i, ymex, yabs-sid и др.) — синхронизация данных счётчика, до 400 дней, по Политике конфиденциальности Яндекса
Счётчик InSales — статистика в панели управления магазином, до 1 года

7.3. Яндекс Метрика собирает данные, перечисленные в п. 4.8, включая записи сеансов (Вебвизор) и сведения о просмотренных товарах и покупках без контактных данных покупателя. Данные собирает и хранит ООО «Яндекс» на серверах в Российской Федерации по поручению Оператора в соответствии с Условиями использования сервиса Яндекс Метрика. Оператор получает обезличенные отчёты и записи сеансов, не устанавливает по ним личность посетителя и не объединяет их с данными покупателей.

7.4. При первом посещении Сайт показывает баннер об использовании cookie. Нажимая «Принять», посетитель даёт согласие на обработку функциональных и аналитических cookie и данных, указанных в п. 4.8, на срок до одного года или до отзыва согласия.

7.5. Отозвать согласие и отказаться от необязательных cookie можно в любой момент:

удалить cookie Сайта и запретить их сохранение в настройках браузера: Яндекс Браузер, Google Chrome, в Safari — «Настройки → Конфиденциальность»;
установить официальное расширение Яндекса для отказа от сбора данных Метрикой;
написать на store@lulubeauty.ru — Оператор прекратит обработку и удалит данные, которые может соотнести с посетителем, в течение 30 дней.

7.6. Если запретить все cookie, перестанут работать корзина, личный кабинет и оформление заказа.

8. Права субъекта персональных данных

8.1. Субъект персональных данных вправе:

получить сведения об обработке своих персональных данных: подтверждение факта обработки, правовые основания и цели, способы, перечень данных и источник их получения, сроки обработки и хранения, наименование лиц, которым данные раскрываются или обработка которых поручена;
потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
отозвать согласие на обработку персональных данных, согласие на распространение и согласие на получение рекламы;
потребовать прекратить обработку персональных данных;
отказаться от рекламных рассылок в любой момент по ссылке «Отписаться» в письме или написав на store@lulubeauty.ru;
обжаловать действия или бездействие Оператора в Роскомнадзоре (rkn.gov.ru) или в суде.

8.2. Запрос направляется в письменной форме по почтовому адресу из п. 1.4 или в форме электронного документа, подписанного электронной подписью, на адрес store@lulubeauty.ru. В запросе указываются фамилия, имя, отчество, сведения, подтверждающие отношения с Оператором (номер заказа, email или телефон, на которые оформлен заказ или подписка), и суть требования. Отзыв согласия на рекламную рассылку не требует подписи — достаточно письма с адреса, на который приходит рассылка, или перехода по ссылке «Отписаться».

8.3. Сроки ответа:

сведения об обработке данных — в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления;
уточнение неточных данных — в течение 7 рабочих дней после получения подтверждающих сведений;
прекращение обработки по требованию субъекта — в течение 10 рабочих дней, кроме случаев, когда закон разрешает продолжить обработку;
уничтожение данных после отзыва согласия — в течение 30 дней, если у Оператора нет иного законного основания для обработки (например, хранения документов учёта по п. 4.1).

9. Защита персональных данных

9.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных:

назначено лицо, ответственное за организацию обработки персональных данных;
утверждены локальные акты по вопросам обработки и защиты персональных данных, работники, допущенные к обработке, ознакомлены с ними;
доступ к персональным данным имеют только работники, которым он нужен для выполнения обязанностей; права доступа разграничены, учётные записи защищены паролями;
данные передаются по защищённому протоколу HTTPS, при обработке используются шифровальные средства;
ведётся учёт машинных носителей, применяются антивирусные средства и резервное копирование;
проводится внутренний контроль соответствия обработки Закону о персональных данных и оценка вреда, который может быть причинён субъектам при нарушении.

9.2. При выявлении неправомерной или случайной передачи персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования.

10. Прекращение обработки и уничтожение данных

10.1. Обработка прекращается при достижении цели, истечении срока из раздела 4, отзыве согласия (если нет иного основания), выявлении неправомерной обработки, а также при прекращении деятельности Оператора.

10.2. Данные уничтожаются способом, исключающим восстановление: удалением из баз данных и резервных копий, уничтожением бумажных носителей. Уничтожение подтверждается в порядке, установленном Роскомнадзором.

11. Заключительные положения

11.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на Сайте, если в ней не указано иное. Предыдущие редакции предоставляются по запросу.

11.2. Вопросы, не урегулированные Политикой, регулируются законодательством Российской Федерации.

11.3. Связанные документы: Публичная оферта, Согласие на получение рекламных рассылок, Согласие на распространение персональных данных.