Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика определяет принципы, цели, состав, способы, сроки и условия обработки персональных данных ООО «ШОКОЛАТЕКА» (далее — Оператор), а также меры по защите прав субъектов персональных данных.
1.2. Политика разработана с учётом Конституции Российской Федерации, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» (далее — Закон № 38-ФЗ), законодательства о защите прав потребителей, бухгалтерском и налоговом учёте и иных применимых норм.
1.3. Политика распространяется на обработку данных через:
сайт https://chocolatheca.ru и его формы, корзину, личный кабинет и иные пользовательские функции;
Telegram-бот Chocolatheca и переписку с администраторами в Telegram;
бот Chocolatheca в MAX и переписку в MAX;
формы заказа, обратной связи, корпоративных заявок и подписки;
системы учёта, доставки, оплаты, поддержки и аналитики, перечисленные в настоящей Политике.
1.4. Оператор не запрашивает и не хранит данные банковских карт покупателей. Для оплаты пользователю предоставляется банковская или платёжная ссылка. Оператор может получить только номер заказа, сумму, статус и факт оплаты, а также иные сведения, необходимые для сверки платежа. Данные карты вводятся пользователем на стороне банка или платёжного сервиса.
1.5. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные в рамках описанных процессов. Распространение персональных данных неопределённому кругу лиц не является целью обработки.
1.1. Настоящая Политика определяет принципы, цели, состав, способы, сроки и условия обработки персональных данных ООО «ШОКОЛАТЕКА» (далее — Оператор), а также меры по защите прав субъектов персональных данных.
1.2. Политика разработана с учётом Конституции Российской Федерации, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» (далее — Закон № 38-ФЗ), законодательства о защите прав потребителей, бухгалтерском и налоговом учёте и иных применимых норм.
1.3. Политика распространяется на обработку данных через:
сайт https://chocolatheca.ru и его формы, корзину, личный кабинет и иные пользовательские функции;
Telegram-бот Chocolatheca и переписку с администраторами в Telegram;
бот Chocolatheca в MAX и переписку в MAX;
формы заказа, обратной связи, корпоративных заявок и подписки;
системы учёта, доставки, оплаты, поддержки и аналитики, перечисленные в настоящей Политике.
1.4. Оператор не запрашивает и не хранит данные банковских карт покупателей. Для оплаты пользователю предоставляется банковская или платёжная ссылка. Оператор может получить только номер заказа, сумму, статус и факт оплаты, а также иные сведения, необходимые для сверки платежа. Данные карты вводятся пользователем на стороне банка или платёжного сервиса.
1.5. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные в рамках описанных процессов. Распространение персональных данных неопределённому кругу лиц не является целью обработки.
3. Субъекты, источники и состав данных
3.1. Оператор обрабатывает данные следующих категорий субъектов:
покупатели и пользователи сайта или ботов, оформляющие заказ;
получатели подарков и иных заказов, данные которых передал покупатель для доставки;
посетители сайта, включая пользователей открытого каталога;
представители корпоративных клиентов и лица, обращающиеся за коммерческим предложением;
подписчики, отдельно согласившиеся получать рекламные и информационные сообщения.
3.2. Источниками данных являются сам субъект; покупатель, передающий ограниченные сведения о получателе подарка; Telegram, MAX или сайт в объёме, который технически передаёт соответствующий канал; службы доставки, банк или платёжный сервис — в части статуса исполнения; а также автоматически формируемые технические журналы и cookie, если они действительно используются.
3.3. В зависимости от канала и выбранной функции могут обрабатываться:
Telegram ID;
имя и номер телефона покупателя; адрес электронной почты, если он предоставлен;
город, адрес, район, дата и интервал доставки;
имя и телефон получателя подарка, адрес и параметры доставки;
содержание заказа, корзина, избранное, история заказов, промокод;
статус, стоимость и факт оплаты без данных банковской карты;
источник прихода пользователя и сведения об отклике на рекламную кампанию;
подарочные напоминания: повод, получатель и дата;
обращения, комментарии и переписка по заказу;
технические данные: IP-адрес, тип устройства и браузера, дата и время доступа, идентификаторы cookie и событий — только в объёме, который фактически собирается сайтом и подключёнными сервисами.
3.4. Для корпоративных клиентов дополнительно может обрабатываться наименование организации и должность контактного лица, если эти сведения предоставлены самим лицом и необходимы для подготовки предложения или договора.
3.5. Покупатель не вправе передавать сведения о другом получателе без предварительного уведомления этого лица. Перед вводом данных получателя Оператор запрашивает у покупателя отдельное подтверждение, приведённое в документе «Согласие на обработку персональных данных». Такое подтверждение не заменяет согласие получателя, когда оно требуется по закону. При первом прямом контакте Оператор сообщает получателю цель обращения и использует его данные только для исполнения доставки и связанных сообщений.
4. Принципы и правовые основания обработки
4.1. Оператор обрабатывает данные законно, добросовестно и только для заранее определённых целей; не объединяет базы, созданные для несовместимых целей; ограничивает состав данных необходимым объёмом; поддерживает их точность; хранит данные не дольше установленных сроков и уничтожает либо обезличивает их после достижения целей, если хранение не требуется по закону.
4.2. В зависимости от цели основаниями обработки являются:
согласие субъекта — пункт 1 части 1 статьи 6 Закона № 152-ФЗ;
заключение и исполнение договора с субъектом, а также действия по его инициативе до заключения договора — пункт 5 части 1 статьи 6 Закона № 152-ФЗ;
исполнение обязанностей, возложенных на Оператора законом, включая требования бухгалтерского, налогового и кассового учёта — пункт 2 части 1 статьи 6 Закона № 152-ФЗ;
осуществление прав и законных интересов Оператора, покупателя или получателя при условии, что права и свободы субъекта не нарушаются, — пункт 7 части 1 статьи 6 Закона № 152-ФЗ;
для прямого продвижения товаров — предварительное отдельное согласие по статье 15 Закона № 152-ФЗ и статье 18 Закона № 38-ФЗ.
4.3. С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от Политики, договора, пользовательского соглашения, рекламного согласия и иных подтверждаемых пользователем документов. Молчание, заранее установленная отметка или продолжение просмотра сайта не считаются согласием.
5. Цели, данные, способы и сроки обработки
В таблице установлены максимальные сроки хранения у Оператора. Если для отдельного документа законом установлен более длительный срок либо до истечения срока возник спор, обработка соответствующего ограниченного набора данных продолжается до окончания обязательного срока или завершения спора с последующим уничтожением в установленном порядке.
3.1. Оператор обрабатывает данные следующих категорий субъектов:
покупатели и пользователи сайта или ботов, оформляющие заказ;
получатели подарков и иных заказов, данные которых передал покупатель для доставки;
посетители сайта, включая пользователей открытого каталога;
представители корпоративных клиентов и лица, обращающиеся за коммерческим предложением;
подписчики, отдельно согласившиеся получать рекламные и информационные сообщения.
3.2. Источниками данных являются сам субъект; покупатель, передающий ограниченные сведения о получателе подарка; Telegram, MAX или сайт в объёме, который технически передаёт соответствующий канал; службы доставки, банк или платёжный сервис — в части статуса исполнения; а также автоматически формируемые технические журналы и cookie, если они действительно используются.
3.3. В зависимости от канала и выбранной функции могут обрабатываться:
Telegram ID;
имя и номер телефона покупателя; адрес электронной почты, если он предоставлен;
город, адрес, район, дата и интервал доставки;
имя и телефон получателя подарка, адрес и параметры доставки;
содержание заказа, корзина, избранное, история заказов, промокод;
статус, стоимость и факт оплаты без данных банковской карты;
источник прихода пользователя и сведения об отклике на рекламную кампанию;
подарочные напоминания: повод, получатель и дата;
обращения, комментарии и переписка по заказу;
технические данные: IP-адрес, тип устройства и браузера, дата и время доступа, идентификаторы cookie и событий — только в объёме, который фактически собирается сайтом и подключёнными сервисами.
3.4. Для корпоративных клиентов дополнительно может обрабатываться наименование организации и должность контактного лица, если эти сведения предоставлены самим лицом и необходимы для подготовки предложения или договора.
3.5. Покупатель не вправе передавать сведения о другом получателе без предварительного уведомления этого лица. Перед вводом данных получателя Оператор запрашивает у покупателя отдельное подтверждение, приведённое в документе «Согласие на обработку персональных данных». Такое подтверждение не заменяет согласие получателя, когда оно требуется по закону. При первом прямом контакте Оператор сообщает получателю цель обращения и использует его данные только для исполнения доставки и связанных сообщений.
4. Принципы и правовые основания обработки
4.1. Оператор обрабатывает данные законно, добросовестно и только для заранее определённых целей; не объединяет базы, созданные для несовместимых целей; ограничивает состав данных необходимым объёмом; поддерживает их точность; хранит данные не дольше установленных сроков и уничтожает либо обезличивает их после достижения целей, если хранение не требуется по закону.
4.2. В зависимости от цели основаниями обработки являются:
согласие субъекта — пункт 1 части 1 статьи 6 Закона № 152-ФЗ;
заключение и исполнение договора с субъектом, а также действия по его инициативе до заключения договора — пункт 5 части 1 статьи 6 Закона № 152-ФЗ;
исполнение обязанностей, возложенных на Оператора законом, включая требования бухгалтерского, налогового и кассового учёта — пункт 2 части 1 статьи 6 Закона № 152-ФЗ;
осуществление прав и законных интересов Оператора, покупателя или получателя при условии, что права и свободы субъекта не нарушаются, — пункт 7 части 1 статьи 6 Закона № 152-ФЗ;
для прямого продвижения товаров — предварительное отдельное согласие по статье 15 Закона № 152-ФЗ и статье 18 Закона № 38-ФЗ.
4.3. С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от Политики, договора, пользовательского соглашения, рекламного согласия и иных подтверждаемых пользователем документов. Молчание, заранее установленная отметка или продолжение просмотра сайта не считаются согласием.
5. Цели, данные, способы и сроки обработки
В таблице установлены максимальные сроки хранения у Оператора. Если для отдельного документа законом установлен более длительный срок либо до истечения срока возник спор, обработка соответствующего ограниченного набора данных продолжается до окончания обязательного срока или завершения спора с последующим уничтожением в установленном порядке.
6. Системы, лица с доступом и передача данных
6.1. Доступ внутри ООО «ШОКОЛАТЕКА» предоставляется генеральному директору и двум администраторам только в пределах служебных обязанностей. Права доступа разграничиваются и прекращаются при изменении функций или прекращении работы.
6.2. Оператор может предоставлять данные следующим системам, исполнителям или самостоятельным получателям только для указанной задачи и в минимальном объёме:
6.1. Доступ внутри ООО «ШОКОЛАТЕКА» предоставляется генеральному директору и двум администраторам только в пределах служебных обязанностей. Права доступа разграничиваются и прекращаются при изменении функций или прекращении работы.
6.2. Оператор может предоставлять данные следующим системам, исполнителям или самостоятельным получателям только для указанной задачи и в минимальном объёме:
6.3. Передача СДЭК, Яндекс Доставке, 1С:Фреш и обслуживающему партнёру осуществляется только для исполнения соответствующей задачи. Эти лица не получают согласия на рекламу, избранное, подарочные напоминания или полную историю заказов, если такие сведения не нужны для их поручения.
6.4. По законному запросу данные могут быть предоставлены суду, Роскомнадзору, налоговым, правоохранительным и иным уполномоченным органам в предусмотренном законом объёме. Оператор не утверждает, что данные никогда не передаются третьим лицам.
6.5. Если лицо обрабатывает данные по поручению Оператора, договор или поручение должно определять перечень данных, операции, цели, конфиденциальность, меры защиты, локализацию, порядок подтверждения уничтожения и обязанность уведомлять об инцидентах.
7. Российская локализация и трансграничная передача
7.1. При сборе персональных данных граждан Российской Федерации, в том числе через интернет, Оператор обеспечивает их первичную запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием основной базы данных, расположенной на территории Российской Федерации.
7.2. Использование Telegram означает, что профильные сведения и сообщения также обрабатываются инфраструктурой Telegram по правилам этой платформы и может повлечь трансграничную передачу. Telegram не заменяет российскую основную базу Оператора. Бот должен быть настроен так, чтобы данные, поступающие Оператору, фиксировались в российской основной базе, а дальнейшая передача осуществлялась только при наличии законного основания.
7.3. До начала трансграничной передачи Оператор определяет иностранное лицо и государство, получает сведения, предусмотренные статьёй 12 Закона № 152-ФЗ, и направляет в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу. Оператор учитывает возможный запрет или ограничение Роскомнадзора.
7.4. MAX применяется после проверки фактического оператора, мест баз данных, состава передаваемых сведений и договорных условий. До запуска сведения о MAX в уведомлении Роскомнадзора и внутренних документах актуализируются при необходимости.
8. Cookie и сервисы аналитики
8.1. По состоянию на 15 июля 2026 года на публичной странице chocolatheca.ru фактически обнаружены технологические компоненты Tilda, Tilda Statistics, Яндекс Метрика с Вебвизором. На сайте отображается уведомление о сборе cookie.
8.2. Строго необходимые cookie используются для работы корзины, сессии, безопасности и пользовательских настроек. Аналитические и рекламные идентификаторы должны запускаться только в соответствии с отдельным выбором пользователя в панели cookie. Варианты «Разрешить», «Отклонить необязательные» и «Настроить» должны быть равно доступными; необязательные категории не должны быть включены заранее.
8.3. Отказ от необязательных cookie не мешает просмотру открытого каталога и оформлению заказа, кроме функций, объективно невозможных без строго необходимых технологий.
9. Меры защиты
9.1. Оператор принимает правовые, организационные и технические меры, соответствующие характеру данных и рискам, в том числе:
назначает ответственное лицо, утверждает локальные акты и регулярно проверяет процессы обработки;
ограничивает доступ служебными обязанностями, применяет индивидуальные учётные записи, сложные пароли и многофакторную аутентификацию там, где она доступна;
ведёт учёт доступа и действий, обновляет программное обеспечение, защищает каналы связи, создаёт резервные копии и проверяет восстановление;
заключает договоры и поручения с исполнителями, контролирует локализацию, конфиденциальность и уничтожение;
обучает администраторов, устанавливает порядок реагирования на запросы субъектов и инциденты;
оценивает вред, который может быть причинён субъектам, и соотносит с ним принимаемые меры.
9.2. Ни один способ защиты не исключает риски полностью. При инциденте Оператор действует по утверждённому плану, ограничивает последствия и выполняет обязанности по уведомлению Роскомнадзора в установленных законом случаях и сроки.
10. Права субъектов и обращения
10.1. Субъект вправе получать сведения об обработке, требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или ненужных данных; отозвать согласие; отказаться от рекламы; обжаловать действия Оператора в Роскомнадзоре или суде; пользоваться иными правами по закону.
10.2. Обращение направляется:
по электронной почте: hello@chocolatheca.ru;
почтой: 199178, г. Санкт-Петербург, вн. тер. г. Муниципальный округ Остров Декабристов, наб. реки Смоленки, д. 5–7, литера П, помещ. 2-Н, офис 11-Б;
через настройки Telegram-бота или MAX-бота, если соответствующая функция реализована.
10.3. В обращении рекомендуется указать имя, контакт или ID канала, позволяющий найти запись, суть требования и предпочтительный способ ответа. Оператор вправе запросить разумное подтверждение личности, не собирая избыточные документы.
10.4. Сведения по запросу предоставляются в течение 10 рабочих дней. Срок может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления с причинами продления.
11. Уточнение, блокирование, удаление и уничтожение
11.1. На период проверки спорные данные блокируются, если это требуется законом и не нарушает права других лиц. Неточные данные уточняются после получения подтверждения.
11.2. При достижении цели или отзыве согласия Оператор прекращает обработку и уничтожает данные в срок не более 30 дней, если их сохранение не требуется для исполнения договора, бухгалтерского или налогового учёта, защиты прав в споре либо на другом законном основании.
11.3. При выявлении неправомерной обработки она прекращается в предусмотренные законом сроки. Если обеспечить правомерность невозможно, данные уничтожаются в срок не более 10 рабочих дней с даты выявления нарушения.
11.4. Уничтожение подтверждается актом и, для автоматизированной обработки, выгрузкой из журнала в случаях и порядке, установленных требованиями Роскомнадзора. Подтверждающие документы хранятся 3 года с момента уничтожения.
11.5. Удаление пользовательского профиля не означает немедленное уничтожение сведений, которые Оператор обязан хранить по закону. Такие сведения отделяются от активного профиля, доступ к ним ограничивается, а использование для рекламы прекращается.
12. Изменение и публикация Политики
12.1. Политика вступает в силу 15 июля 2026 года. Номер версии — 1.0.
12.2. Актуальная версия публикуется по точному адресу: https://chocolatheca.ru/personalinformation.
12.3. При изменении целей, состава данных, сервисов, трансграничных потоков или законодательства Оператор выпускает новую версию с новой датой. Если изменение требует нового согласия, Оператор запрашивает его отдельно и не считает прежнее согласие автоматически распространённым на новые цели или каналы.
12.4. Вопросы по Политике направляются на hello@chocolatheca.ru. Ответственная за организацию обработки персональных данных — генеральный директор Дьячкова Ирина Николаевна.
6.4. По законному запросу данные могут быть предоставлены суду, Роскомнадзору, налоговым, правоохранительным и иным уполномоченным органам в предусмотренном законом объёме. Оператор не утверждает, что данные никогда не передаются третьим лицам.
6.5. Если лицо обрабатывает данные по поручению Оператора, договор или поручение должно определять перечень данных, операции, цели, конфиденциальность, меры защиты, локализацию, порядок подтверждения уничтожения и обязанность уведомлять об инцидентах.
7. Российская локализация и трансграничная передача
7.1. При сборе персональных данных граждан Российской Федерации, в том числе через интернет, Оператор обеспечивает их первичную запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием основной базы данных, расположенной на территории Российской Федерации.
7.2. Использование Telegram означает, что профильные сведения и сообщения также обрабатываются инфраструктурой Telegram по правилам этой платформы и может повлечь трансграничную передачу. Telegram не заменяет российскую основную базу Оператора. Бот должен быть настроен так, чтобы данные, поступающие Оператору, фиксировались в российской основной базе, а дальнейшая передача осуществлялась только при наличии законного основания.
7.3. До начала трансграничной передачи Оператор определяет иностранное лицо и государство, получает сведения, предусмотренные статьёй 12 Закона № 152-ФЗ, и направляет в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу. Оператор учитывает возможный запрет или ограничение Роскомнадзора.
7.4. MAX применяется после проверки фактического оператора, мест баз данных, состава передаваемых сведений и договорных условий. До запуска сведения о MAX в уведомлении Роскомнадзора и внутренних документах актуализируются при необходимости.
8. Cookie и сервисы аналитики
8.1. По состоянию на 15 июля 2026 года на публичной странице chocolatheca.ru фактически обнаружены технологические компоненты Tilda, Tilda Statistics, Яндекс Метрика с Вебвизором. На сайте отображается уведомление о сборе cookie.
8.2. Строго необходимые cookie используются для работы корзины, сессии, безопасности и пользовательских настроек. Аналитические и рекламные идентификаторы должны запускаться только в соответствии с отдельным выбором пользователя в панели cookie. Варианты «Разрешить», «Отклонить необязательные» и «Настроить» должны быть равно доступными; необязательные категории не должны быть включены заранее.
8.3. Отказ от необязательных cookie не мешает просмотру открытого каталога и оформлению заказа, кроме функций, объективно невозможных без строго необходимых технологий.
9. Меры защиты
9.1. Оператор принимает правовые, организационные и технические меры, соответствующие характеру данных и рискам, в том числе:
назначает ответственное лицо, утверждает локальные акты и регулярно проверяет процессы обработки;
ограничивает доступ служебными обязанностями, применяет индивидуальные учётные записи, сложные пароли и многофакторную аутентификацию там, где она доступна;
ведёт учёт доступа и действий, обновляет программное обеспечение, защищает каналы связи, создаёт резервные копии и проверяет восстановление;
заключает договоры и поручения с исполнителями, контролирует локализацию, конфиденциальность и уничтожение;
обучает администраторов, устанавливает порядок реагирования на запросы субъектов и инциденты;
оценивает вред, который может быть причинён субъектам, и соотносит с ним принимаемые меры.
9.2. Ни один способ защиты не исключает риски полностью. При инциденте Оператор действует по утверждённому плану, ограничивает последствия и выполняет обязанности по уведомлению Роскомнадзора в установленных законом случаях и сроки.
10. Права субъектов и обращения
10.1. Субъект вправе получать сведения об обработке, требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или ненужных данных; отозвать согласие; отказаться от рекламы; обжаловать действия Оператора в Роскомнадзоре или суде; пользоваться иными правами по закону.
10.2. Обращение направляется:
по электронной почте: hello@chocolatheca.ru;
почтой: 199178, г. Санкт-Петербург, вн. тер. г. Муниципальный округ Остров Декабристов, наб. реки Смоленки, д. 5–7, литера П, помещ. 2-Н, офис 11-Б;
через настройки Telegram-бота или MAX-бота, если соответствующая функция реализована.
10.3. В обращении рекомендуется указать имя, контакт или ID канала, позволяющий найти запись, суть требования и предпочтительный способ ответа. Оператор вправе запросить разумное подтверждение личности, не собирая избыточные документы.
10.4. Сведения по запросу предоставляются в течение 10 рабочих дней. Срок может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления с причинами продления.
11. Уточнение, блокирование, удаление и уничтожение
11.1. На период проверки спорные данные блокируются, если это требуется законом и не нарушает права других лиц. Неточные данные уточняются после получения подтверждения.
11.2. При достижении цели или отзыве согласия Оператор прекращает обработку и уничтожает данные в срок не более 30 дней, если их сохранение не требуется для исполнения договора, бухгалтерского или налогового учёта, защиты прав в споре либо на другом законном основании.
11.3. При выявлении неправомерной обработки она прекращается в предусмотренные законом сроки. Если обеспечить правомерность невозможно, данные уничтожаются в срок не более 10 рабочих дней с даты выявления нарушения.
11.4. Уничтожение подтверждается актом и, для автоматизированной обработки, выгрузкой из журнала в случаях и порядке, установленных требованиями Роскомнадзора. Подтверждающие документы хранятся 3 года с момента уничтожения.
11.5. Удаление пользовательского профиля не означает немедленное уничтожение сведений, которые Оператор обязан хранить по закону. Такие сведения отделяются от активного профиля, доступ к ним ограничивается, а использование для рекламы прекращается.
12. Изменение и публикация Политики
12.1. Политика вступает в силу 15 июля 2026 года. Номер версии — 1.0.
12.2. Актуальная версия публикуется по точному адресу: https://chocolatheca.ru/personalinformation.
12.3. При изменении целей, состава данных, сервисов, трансграничных потоков или законодательства Оператор выпускает новую версию с новой датой. Если изменение требует нового согласия, Оператор запрашивает его отдельно и не считает прежнее согласие автоматически распространённым на новые цели или каналы.
12.4. Вопросы по Политике направляются на hello@chocolatheca.ru. Ответственная за организацию обработки персональных данных — генеральный директор Дьячкова Ирина Николаевна.