Политика обработки персональных данных — общества с ограниченной ответственностью «Ралли‑Спорт» в отношении обработки персональных данных

1. Общие положения
1.1. Настоящая Политика общества с ограниченной ответственностью «Ралли‑Спорт» (далее — ООО «Ралли‑Спорт», Оператор) в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее — Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика действует в отношении персональных данных, которые обрабатывает ООО «Ралли‑Спорт». Обработка персональных данных, полученных Оператором посредством интернет‑сайта, осуществляется с соблюдением Политики конфиденциальности персональных данных интернет‑сайта (приложение № 1 к настоящей Политике).
1.3. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно‑телекоммуникационной сети Интернет на сайте Оператора.
1.5. Основные понятия, используемые в Политике:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор персональных данных (Оператор) — юридическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав данных и действия с ними;
• обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение;
• автоматизированная обработка персональных данных — обработка с помощью средств вычислительной техники;
• распространение персональных данных — раскрытие персональных данных неопределённому кругу лиц;
• предоставление персональных данных — раскрытие данных определённому лицу или кругу лиц;
• блокирование персональных данных — временное прекращение обработки данных (за исключением случаев, когда обработка необходима для их уточнения);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных;
• обезличивание персональных данных — действия, в результате которых невозможно без дополнительной информации определить принадлежность данных конкретному субъекту;
• информационная система персональных данных — совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств;
• CRM‑система — программное решение для управления взаимоотношениями с клиентами, ведения лидов, истории взаимодействий, статусов сделок и сервисных обращений;
• лид — потенциальный клиент, предоставивший свои персональные данные в целях получения коммерческих предложений, услуг автосалона или сервиса, либо проявивший интерес к товарам/услугам Оператора;
• сервисное обслуживание — комплекс услуг по техническому обслуживанию и ремонту транспортных средств, оказываемых ООО «Ралли‑Спорт».

1.6. Основные права и обязанности Оператора.
1.6.1. Оператор имеет право:

1. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом или другими федеральными законами;
2. поручить обработку персональных данных другому лицу с согласия субъекта персональных данных (если иное не предусмотрено федеральным законом) на основании договора. Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать требования Закона о персональных данных, обеспечивать конфиденциальность и принимать меры по защите данных;
3. в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку без согласия при наличии оснований, указанных в Законе о персональных данных.

1.6.2. Оператор обязан:

1. организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
2. отвечать на обращения и запросы субъектов персональных данных и их законных представителей в порядке и сроки, установленные Законом о персональных данных;
3. сообщать в Роскомнадзор по запросу необходимую информацию в течение 10 рабочих дней с даты получения запроса (срок может быть продлён не более чем на пять рабочих дней при направлении мотивированного уведомления);
4. обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных.

1.7. Основные права субъекта персональных данных:

1. получать информацию об обработке своих персональных данных (с учётом ограничений, установленных законом);
2. требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
3. давать предварительное согласие на обработку персональных данных в целях продвижения товаров, работ и услуг;
4. обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке персональных данных.

1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.
1.9. Ответственность за нарушение требований законодательства РФ и нормативных актов ООО «Ралли‑Спорт» в сфере обработки и защиты персональных данных определяется в соответствии с законодательством Российской Федерации.

2. Цели обработки персональных данных
2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора данных.
2.2. Обработке подлежат только персональные данные, соответствующие целям их обработки.
2.3. Обработка персональных данных осуществляется Оператором в следующих целях:

• осуществление деятельности в соответствии с уставом ООО «Ралли‑Спорт», включая заключение и исполнение договоров с контрагентами и клиентами (в том числе в сфере продаж автомобилей и оказания сервисных услуг);
• исполнение трудового законодательства в рамках трудовых и непосредственно связанных с ними отношений (кадровый учёт, подбор персонала, обеспечение пропускного режима, ведение бухгалтерского и налогового учёта, представление отчётности);
• организация кадрового учёта и соблюдение требований законодательства, включая налоговое, пенсионное и социальное законодательство;
• продвижение товаров и услуг на рынке, в том числе:
• прямые контакты с клиентами и потенциальными клиентами (звонки, SMS, e‑mail, мессенджеры);
• предоставление рекламных и информационных материалов, специальных предложений, новостей, приглашений на мероприятия;
• проведение аналитических, маркетинговых и иных исследований для определения состава и предпочтений целевой аудитории, повышения эффективности взаимодействия с клиентами;
• исследования индекса удовлетворённости качеством товаров и услуг, опросы клиентов, определение рыночных тенденций и перспектив продаж;
• предоставление пользователям сайта доступа к персонализированным ресурсам (личный кабинет, подбор автомобиля, расчёт кредита/лизинга, запись на ТО/тест‑драйв);
• выполнение требований законодательства и реализация прав и законных интересов Оператора;
• работа с лидами и формирование воронки продаж (квалификация лидов, маршрутизация, контроль сроков реакции, фиксация истории взаимодействий);
• организация сервисного обслуживания и постпродажной коммуникации (планирование работ, напоминания о ТО, информирование об отзывных кампаниях, контроль качества сервиса);
• обеспечение безопасности и противодействие мошенничеству.

2.4. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.

3. Правовые основания обработки персональных данных
3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, в том числе:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 08.02.1998 № 14‑ФЗ «Об обществах с ограниченной ответственностью»;
• Федеральный закон от 06.12.2011 № 402‑ФЗ «О бухгалтерском учёте»;
• Федеральный закон от 15.12.2001 № 167‑ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• иные нормативные правовые акты, регулирующие деятельность Оператора.

3.2. Дополнительно правовым основанием являются:

• устав ООО «Ралли‑Спорт»;
• договоры, заключаемые между Оператором и субъектами персональных данных;
• согласие субъектов персональных данных на обработку их персональных данных (в случаях, когда оно требуется).

4. Объём и категории обрабатываемых персональных данных, категории субъектов персональных данных
4.1. Содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки и не быть избыточными.
4.2. Категории субъектов персональных данных и состав обрабатываемых данных:
4.2.1. Кандидаты для приёма на работу:

• ФИО, пол, гражданство, дата и место рождения, профессия, должность, семейное положение;
• фотография;
• адрес регистрации и фактического проживания, e‑mail, телефон;
• сведения об образовании, опыте работы, квалификации;
• сведения о воинском учёте;
• иные данные, предоставленные в резюме и сопроводительных письмах.

4.2.2. Работники, родственники работников и бывшие работники:

• ФИО, пол, гражданство, дата и место рождения;
• фотография, паспортные данные;
• адреса, e‑mail, телефон;
• ИНН, СНИЛС;
• сведения об образовании, квалификации, профессиональной подготовке;
• семейное положение, наличие детей, родственные связи, данные о регистрации брака;
• сведения о трудовой деятельности, поощрениях, дисциплинарных взысканиях;
• профессия, должность;
• сведения о воинском учёте, инвалидности, удержании алиментов;
• доходы, социальное положение;
• номера расчётного и лицевого счёта;
• иные данные, предоставляемые в соответствии с трудовым законодательством.

4.2.3. Клиенты и контрагенты (физические лица):

• ФИО, пол, дата и место рождения, год и месяц рождения;
• e‑mail, телефон, адрес местожительства и регистрации;
• фото‑ и видеоизображение лица;
• профессия, должность, замещаемая должность;
• гражданство, данные документа, удостоверяющего личность;
• номер расчётного и лицевого счёта, ИНН;
• VIN автомобиля, госномер, пробег, дата покупки, комплектация (для целей сервисного обслуживания);
• история обслуживания (выполненные работы, заменённые запчасти, гарантийные случаи);
• иные персональные данные, необходимые для заключения и исполнения договоров.

4.2.4. Представители (работники) клиентов и контрагентов (юридических лиц):

• ФИО, паспортные данные, контактные данные, замещаемая должность;
• иные персональные данные, необходимые для заключения и исполнения договоров.

4.2.5. Посетители интернет‑сайта и лиды:

• ФИО, телефон, e‑mail;
• модель/комплектация интереса, бюджет, способ финансирования;
• VIN/госномер (для сервиса и оценки Trade‑in);
• источник лида, UTM‑метки, данные о просмотрах страниц, кликах, времени на странице, IP‑адрес, тип устройства, браузер, ОС;
• cookie, идентификаторы сессии.

4.3. Обработка биометрических персональных данных не осуществляется.
4.4. Обработка специальных категорий персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) не осуществляется, за исключением случаев, предусмотренных законодательством РФ.

5. Порядок и условия обработки персональных данных
5.1. Обработка осуществляется в соответствии с требованиями законодательства РФ.
5.2. Обработка производится с согласия субъекта либо без согласия в случаях, предусмотренных законом.
5.3. Способы обработки:

• неавтоматизированная;
• автоматизированная (в том числе с передачей по информационно‑телекоммуникационным сетям);
• смешанная.

5.4. К обработке допускаются только работники Оператора, в должностные обязанности которых входит работа с персональными данными.
5.5. Обработка осуществляется путём:

• получения данных в устной и письменной форме от субъектов;
• внесения данных в журналы, реестры и информационные системы (включая CRM);
• использования иных способов обработки.

5.6. Раскрытие и распространение персональных данных третьим лицам не допускается без согласия субъекта, если иное не предусмотрено законом. Согласие на распространение оформляется отдельно в соответствии с требованиями Роскомнадзора.
5.7. Передача данных уполномоченным органам (ФНС, СФР, органам следствия и др.) осуществляется в соответствии с законодательством РФ.
5.8. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, распространения и иных несанкционированных действий.
5.9. Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором.
5.9.1. Сроки хранения на бумажных носителях — в соответствии с законодательством об архивном деле (Федеральный закон № 125‑ФЗ, Перечень типовых управленческих архивных документов).
5.9.2. Срок хранения в информационных системах соответствует сроку хранения на бумажных носителях.
5.10. Прекращение обработки происходит в случаях:

• выявления факта неправомерной обработки (в течение 3 рабочих дней);
• достижения цели обработки;
• истечения срока действия или отзыва согласия (когда обработка допускается только с согласия).

5.11. При достижении целей обработки или отзыве согласия обработка прекращается, если иное не предусмотрено договором или законом.
5.12. По требованию субъекта обработка прекращается в срок до 10 рабочих дней (может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления).
5.13. Сбор и обработка персональных данных граждан РФ осуществляется с использованием баз данных, находящихся на территории РФ, за исключением случаев, установленных Законом о персональных данных.
5.14. Обработка в целях работы с лидами и формирования воронки продаж.
Оператор обрабатывает данные лидов, поступившие через:

• формы захвата на сайте (расчёт кредита/лизинга, Trade‑in, запись на тест‑драйв);
• чат‑виджеты и мессенджеры, интегрированные с CRM;
• телефонию (в том числе записи разговоров при наличии согласия);
• офлайн‑источники (визитки, анкеты, опросные листы в шоу‑руме и на тест‑драйве).

Цели: квалификация лида, формирование предложения, согласование условий, фиксация истории, маршрутизация, контроль сроков.
В CRM вносятся:

• базовые контактные данные;
• источник лида и UTM‑метки;
• интерес к модели/комплектации, бюджет, готовность к покупке;
• предпочтения по финансированию;
• дата и результат первого контакта, статус лида, история касаний.

Срок хранения данных лида в CRM — до 5 лет с даты последнего контакта либо до отзыва согласия (если иное не требуется по закону или договору).
5.15. Обработка для сервисного обслуживания и постпродажной коммуникации.
Обрабатываются: VIN, госномер, пробег, дата покупки, комплектация, история обслуживания, контактные данные для уведомлений.
Цели: планирование работ, информирование клиента, повышение удовлетворённости, дополнительные продажи, контроль качества.
Передача данных между подразделениями (продажи, сервис, маркетинг) осуществляется в рамках единой CRM и учётной системы на основании локальных актов и при соблюдении мер защиты. Доступ разграничивается по ролям.

6. Актуализация, исправление, удаление, уничтожение персональных данных, ответы на запросы
6.1. Подтверждение факта обработки, правовые основания и цели предоставляются субъекту в течение 10 рабочих дней (срок может быть продлён не более чем на 5 рабочих дней). Запрос должен содержать данные документа, удостоверяющего личность, сведения, подтверждающие отношения с Оператором, и подпись.
6.2. При выявлении неточных данных Оператор блокирует их на период проверки и уточняет в течение 7 рабочих дней, после чего снимает блокирование.
6.3. При выявлении неправомерной обработки осуществляется блокирование с момента обращения.
6.4. При инциденте с неправомерной передачей данных Оператор уведомляет Роскомнадзор:

• в течение 24 часов — о факте, причинах, предполагаемом вреде, принятых мерах и контактном лице;
• в течение 72 часов — о результатах внутреннего расследования и лицах, причастных к инциденту (при наличии).

6.5. Уничтожение персональных данных:
6.5.1. Сроки:

• достижение цели или утрата необходимости — в течение 30 дней;
• истечение максимальных сроков хранения — в течение 30 дней;
• подтверждение незаконного получения или ненужности данных — в течение 7 рабочих дней;
• отзыв согласия (если сохранение не требуется для цели) — в течение 30 дней.

6.5.2. Уничтожение производится, если иное не предусмотрено договором, законом или иным соглашением.
6.5.3. Уничтожение осуществляет комиссия, созданная приказом директора ООО «Ралли‑Спорт».
6.5.4. Способы уничтожения устанавливаются в локальных актах.
6.6. Актуализация данных при работе с лидами и сервисной историей.
Субъект вправе запросить актуализацию контактных данных, интереса к моделям, информации по автомобилю и сервисной истории. Актуализация производится в течение 7 рабочих дней. В CRM фиксируются дата, основание и лицо, внёсшее изменения.
При отзыве согласия Оператор прекращает использование данных для маркетинга и прямых контактов, но вправе продолжать обработку в объёме, необходимом для исполнения договора, гарантийного обслуживания, учёта и иных законных оснований.

7. Обеспечение безопасности персональных данных
7.1. ООО «Ралли‑Спорт» предпринимает организационные и технические меры для защиты персональных данных.
7.2. Принятые меры:

• назначено лицо, ответственное за организацию обработки персональных данных;
• утверждены локальные документы по обработке и защите данных;
• разработана модель угроз безопасности для информационной системы персональных данных с оценкой возможного вреда;
• организовано разграничение доступа к данным по ролям;
• проводится обучение работников, осуществляющих обработку данных;
• обеспечивается сохранность носителей и исключение неправомерного доступа.

7.3. Детализированные сведения о мерах защиты в Политике не публикуются, поскольку доступ к Политике должен быть неограниченным, а раскрытие таких сведений может нанести ущерб Оператору или субъектам персональных данных.

8. CRM‑интеграции и взаимодействие с внешними системами
8.1. Оператор интегрирует CRM с внешними сервисами:

• IP‑телефония и сервисы записи разговоров;
• чаты, мессенджеры, онлайн‑формы;
• системы расчёта кредитных и лизинговых программ;
• учётные системы (склад, наличие автомобилей, статусы поставки);
• сервисы рассылок (SMS, e‑mail, мессенджеры);
• рекламные кабинеты и системы аналитики (Яндекс Метрика, Яндекс Директ, VK Реклама и др.).

8.2. Передача данных в указанные системы допускается только при наличии правового основания и при условии, что получатель обеспечивает уровень защиты, сопоставимый с требованиями ФЗ № 152‑ФЗ.
9. Меры защиты при CRM‑интеграциях и передаче данных
9.1. При передаче персональных данных в интегрированные системы (телефония, чаты, кредитные калькуляторы, рекламные кабинеты, системы рассылок и т. п.) Оператор применяет следующие меры защиты:

• передача данных осуществляется исключительно по защищённым протоколам (HTTPS, TLS);
• объём передаваемых данных ограничивается минимально необходимым для достижения цели интеграции;
• доступ к учётным записям, используемым для интеграций, разграничивается и обеспечивается средствами аутентификации (в том числе многофакторной);
• все операции передачи и доступа к данным подлежат логированию с хранением журналов не менее 1 года;
• при использовании API применяются механизмы контроля запросов и проверки целостности данных.

9.2. При интеграции с рекламными системами и сервисами аналитики (Яндекс Директ, VK Реклама, Яндекс Метрика и др.) персональные данные передаются только в обезличенном виде либо в форме агрегированных отчётов, не позволяющих идентифицировать конкретного субъекта персональных данных. Использование cookie и иных технологий сбора данных на сайте осуществляется в соответствии с требованиями законодательства и с учётом настроек приватности пользователей.
9.3. Хранение персональных данных в CRM и учётных системах осуществляется на серверах, расположенных на территории Российской Федерации, если иное прямо не предусмотрено законодательством РФ.
9.4. Доступ к CRM и связанным информационным системам предоставляется только уполномоченным сотрудникам ООО «Ралли‑Спорт», назначенным приказом директора. Права доступа (чтение, редактирование, экспорт, удаление) определяются должностными обязанностями и фиксируются в матрице доступа. Периодичность пересмотра прав доступа — не реже одного раза в 6 месяцев.
9.5. В случае прекращения сотрудничества с подрядчиком или отключения интеграции Оператор обеспечивает удаление или блокирование переданных персональных данных в системе подрядчика либо подтверждает выполнение таких действий документально.

10. Особенности обработки данных для маркетинговых исследований целевой аудитории
10.1. Учитывая специфику деятельности автосалона и сервиса, Оператор вправе проводить маркетинговые и аналитические исследования (в том числе построение портретов целевой аудитории, сегментацию клиентов, A/B‑тестирование, оценку удовлетворённости), если это соответствует заявленным целям обработки и правовым основаниям.
10.2. Для проведения исследований используются:

• обезличенные данные (агрегированные отчёты по сегментам, конверсиям, воронке продаж, частоте обращений, среднему чеку, предпочтениям по моделям и способам финансирования);
• данные опросов и анкет, собираемые при наличии отдельного согласия субъекта на участие в маркетинговых исследованиях;
• данные, полученные из CRM и систем аналитики, при условии соблюдения требований к защите и обезличиванию.

10.3. При привлечении подрядчиков для проведения исследований персональные данные передаются только в обезличенном виде. Передача исходных персональных данных допускается только при наличии договора поручения на обработку персональных данных, в котором закреплены обязанности подрядчика по обеспечению безопасности и конфиденциальности.
10.4. В формах опросов, анкет и онлайн‑калькуляторов обязательно указывается:

• цель обработки данных;
• срок хранения данных;
• возможность отзыва согласия;
• контактные данные ответственного лица Оператора.

10.5. Результаты исследований не используются для принятия решений, порождающих юридические последствия или иным образом существенно влияющих на права и законные интересы субъектов персональных данных, если иное не предусмотрено законом или договором.
(Этот блок напрямую учитывает ваш прошлый запрос про маркетинговое исследование ЦА клиентов автосалонов Peugeot и Citroën: здесь заложены безопасные юридические механизмы для сегментации, опросов и построения портретов аудитории.)

11. Порядок реагирования на инциденты и запросы субъектов
11.1. При выявлении факта неправомерной или случайной передачи (доступа, распространения) персональных данных Оператор:

• в течение 24 часов уведомляет Роскомнадзор о факте инцидента, предполагаемых причинах, предполагаемом вреде, принятых мерах и контактном лице, уполномоченном на взаимодействие с Роскомнадзором;
• в течение 72 часов направляет в Роскомнадзор результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента (при наличии).

11.2. При обращении субъекта персональных данных с запросом о предоставлении сведений об обработке его данных либо с требованием об уточнении, блокировании или уничтожении данных Оператор:

• регистрирует обращение в журнале учёта запросов;
• проверяет полномочия заявителя и соответствие запроса требованиям закона;
• предоставляет запрашиваемые сведения либо выполняет требуемые действия в установленные сроки (10 рабочих дней с возможностью продления не более чем на 5 рабочих дней при направлении мотивированного уведомления).

11.3. В случае выявления неточности или неправомерности обработки Оператор блокирует данные на период проверки и устраняет нарушения в кратчайшие сроки, но не позднее 7 рабочих дней с даты обращения.

12. Заключительные положения
12.1. Настоящая Политика подлежит актуализации при изменении законодательства, появлении новых нормативных актов по обработке и защите персональных данных, а также при изменении бизнес‑процессов Оператора (в том числе внедрении новых CRM, интеграций, каналов привлечения лидов). Актуализация проводится не реже одного раза в три года.
12.2. Контроль исполнения требований настоящей Политики осуществляет лицо, ответственное за организацию обработки персональных данных в ООО «Ралли‑Спорт», назначенное приказом директора.
12.3. Ответственность должностных лиц ООО «Ралли‑Спорт», имеющих доступ к персональным данным, за невыполнение требований по обработке и защите персональных данных определяется в соответствии с законодательством РФ и локальными нормативными актами Общества.
12.4. К настоящей Политике обеспечивается неограниченный доступ: она публикуется на официальном сайте ООО «Ралли‑Спорт».

Приложение № 1
к Политике ООО «Ралли‑Спорт»
в отношении обработки персональных данных
Политика конфиденциальности персональных данных интернет‑сайта ООО «Ралли‑Спорт»
1. Термины и определения
Используемые термины имеют значения, установленные в основной Политике, а также следующие:

• cookie‑файлы — небольшие текстовые файлы, размещаемые на устройстве пользователя для хранения данных о сессии, настройках сайта и поведении на сайте;
• автоматически собираемые данные — данные, получаемые без прямого ввода пользователем (IP‑адрес, тип устройства, браузер, ОС, cookie, идентификаторы сессии, UTM‑метки, данные о просмотрах страниц, кликах, времени на странице);
• персонализация — адаптация контента сайта и предложений под интересы пользователя на основе собранных данных.

2. Цели обработки персональных данных на сайте
Оператор обрабатывает персональные данные пользователей сайта в целях:

• предоставления функционала сайта (личный кабинет, подбор автомобиля, расчёт кредита/лизинга, Trade‑in, запись на ТО/тест‑драйв);
• коммуникации с пользователем по заявкам (звонки, SMS, e‑mail, мессенджеры);
• формирования персональных предложений и акций;
• проведения маркетинговых исследований целевой аудитории, A/B‑тестов, анализа конверсий;
• улучшения пользовательского опыта и персонализации контента;
• обеспечения безопасности и противодействия мошенничеству.

3. Категории персональных данных, собираемых на сайте
3.1. Данные, предоставляемые пользователем напрямую:

• ФИО, телефон, e‑mail;
• модель/комплектация интереса, бюджет, способ финансирования;
• VIN/госномер (для сервиса и оценки Trade‑in).

3.2. Автоматически собираемые данные:

• IP‑адрес, тип устройства, браузер, ОС;
• cookie, идентификаторы сессии;
• UTM‑метки, источник трафика;
• данные о просмотрах страниц, кликах, времени на странице.

Автоматически собираемые данные используются для аналитики и персонализации при наличии правового основания (согласие либо необходимость для функционирования сайта).
4. Использование cookie и технологий аналитики
4.1. Сайт использует cookie‑файлы и аналогичные технологии для:

• корректной работы функционала (авторизация, корзина, сохранение настроек);
• аналитики поведения пользователей (Яндекс Метрика и др.);
• показа персонализированных предложений и рекомендаций.

4.2. Пользователь может управлять cookie в настройках браузера. На сайте размещена отдельная страница с подробной информацией о cookie, включая типы файлов, цели использования и возможность отказа от сбора данных для персонализации и рекламы.
4.3. Сбор данных для рекламных целей (персонализированная реклама) осуществляется только при наличии согласия пользователя либо в случаях, прямо предусмотренных законодательством.
5. Работа с лидами из онлайн‑каналов
Лиды, поступившие через сайт и онлайн‑сервисы, обрабатываются в CRM в соответствии с регламентом Оператора:

• автоматическая маршрутизация ответственному менеджеру;
• фиксация SLA по времени первого контакта;
• ведение истории коммуникаций и статусов;
• сегментация лидов по признакам (источник, интерес, готовность к покупке) для целевых коммуникаций.

Срок хранения данных лида в CRM — до 5 лет с даты последнего контакта либо до отзыва согласия (если иное не требуется для исполнения договора или по закону).
6. Права пользователя и порядок взаимодействия
6.1. Пользователь вправе:

• запросить сведения об обработке своих персональных данных;
• потребовать уточнения, блокирования или удаления своих данных;
• отозвать согласие на обработку персональных данных;
• отказаться от получения рекламных и информационных рассылок.

6.2. Запросы направляются по адресу электронной почты, указанному на сайте, либо через форму обратной связи. В запросе необходимо указать сведения, позволяющие идентифицировать пользователя (ФИО, номер телефона или e‑mail, использованные при регистрации/заявке), а также суть запроса.
6.3. Срок обработки запроса — до 10 рабочих дней (может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления).
6.4. При отзыве согласия Оператор прекращает использование данных для маркетинга и прямых контактов, но вправе продолжать обработку в объёме, необходимом для исполнения договора, гарантийного обслуживания, налогового и бухгалтерского учёта, а также по иным законным основаниям.
7. Безопасность и защита данных на сайте
7.1. Для защиты персональных данных пользователей сайта применяются:

• шифрование трафика (HTTPS/TLS);
• разграничение доступа к административным интерфейсам;
• регулярное обновление программного обеспечения и устранение уязвимостей;
• резервное копирование данных и контроль целостности.

7.2. Детализированные технические меры защиты не публикуются в открытом доступе во избежание рисков для безопасности.
8. Заключительные положения
8.1. Продолжая использование сайта, пользователь выражает согласие с настоящей Политикой конфиденциальности и условиями обработки персональных данных.
8.2. Политика конфиденциальности подлежит актуализации не реже одного раза в три года либо при изменении законодательства или функционала сайта.