Политика конфиденциальности

Редакция от 1 сентября 2026 года

1. Общие положения

Настоящая Политика обработки персональных данных и конфиденциальности HMonline (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей интернет-магазина HMonline, сайта hmonline.ru, мобильных приложений HMonline для iOS и Android, личного кабинета, чатов поддержки и иных связанных сервисов (далее совместно — «Сервисы»).

Оператор персональных данных: индивидуальный предприниматель Антипин Максим Олегович, ИНН 591154215009, ОГРНИП 322595800023881, адрес: 618416, Пермский край, г. Березники (далее — «Оператор»).

Адрес для обращений по вопросам персональных данных: help@hmonline.ru.

Оператор включен в реестр операторов персональных данных Роскомнадзора, регистрационный номер 59-25-017933.

Политика распространяется на персональные данные посетителей сайта, пользователей мобильных приложений, зарегистрированных пользователей, покупателей, получателей заказов, представителей покупателей и получателей, лиц, обращающихся в поддержку, а также иных лиц, чьи данные предоставлены Оператору на законном основании.

Ознакомление с Политикой не заменяет отдельного согласия на обработку персональных данных в случаях, когда такое согласие требуется законом. Необходимые согласия запрашиваются отдельно и не устанавливаются заранее. Текст согласия размещен на странице «Согласие на обработку персональных данных». Оформление заказа и использование отдельных функций Сервисов также могут являться действиями по заключению и исполнению договора в соответствии с офертой HMonline.

2. Основные принципы и правовые основания

Оператор обрабатывает персональные данные законно, добросовестно, только для заранее определенных целей, в объеме, необходимом для таких целей, и не хранит данные в форме, позволяющей определить субъекта, дольше, чем этого требуют цели обработки или законодательство Российской Федерации.

Правовыми основаниями обработки являются:

• согласие субъекта персональных данных;
• заключение и исполнение договора по инициативе субъекта либо договора, стороной, выгодоприобретателем или получателем по которому является субъект;
• выполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, включая требования бухгалтерского, налогового, таможенного и потребительского законодательства;
• осуществление прав и законных интересов Оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются;
• иные основания, предусмотренные законодательством Российской Федерации.

3. Какие данные обрабатываются

В зависимости от используемых функций и выбранного способа доставки Оператор может обрабатывать следующие категории данных:

• регистрационные и контактные данные: фамилия, имя, отчество, номер телефона, адрес электронной почты, дата рождения, пол, идентификатор учетной записи;
• данные получателя и адреса: страна, регион, город, населенный пункт, улица, дом, корпус, строение, квартира или офис, подъезд, этаж, домофон, почтовый индекс, комментарий курьеру и сведения о пункте выдачи;
• данные заказа: состав и стоимость заказа, размеры, цвета и количество товаров, скидки, промокоды, способ оплаты, статус оплаты без получения полных реквизитов банковской карты, способ и статус доставки, история заказов, возвратов и обращений;
• данные для международной доставки и таможенного оформления: гражданство, дата рождения, ИНН, серия и номер документа, удостоверяющего личность, кем и когда он выдан, а также сведения о товарах, их количестве и стоимости. Оператор не требует и не обрабатывает фотографию или скан паспорта, если иное отдельно не станет необходимо по закону и не будет явно сообщено субъекту;
• данные обращений: содержание сообщений в чате и поддержке, прикрепленные пользователем файлы и изображения, сведения о доставке и заказах, необходимые для ответа;
• маркетинговые данные: выбранные каналы связи, факт и дата предоставления или отзыва согласия, сведения о доставке и взаимодействии с сообщением;
• технические и аналитические данные: IP-адрес, файлы cookie и аналогичные идентификаторы, идентификатор устройства, гостевой или клиентский идентификатор, push-токен, модель устройства, версия операционной системы и приложения, язык, источник установки или перехода, сведения о сеансе, просмотренных разделах, категориях и товарах, действиях с избранным, корзиной, оформлением заказа, уведомлениями и ссылками, сведения о сбоях и производительности;
• данные профиля в системах аналитики: внутренний идентификатор пользователя, имя, дата рождения, пол, адрес электронной почты и номер телефона, включая их хешированные представления, если пользователь авторизован и это необходимо для объединения событий одного пользователя между устройствами.

Оператор не получает полные данные банковской карты, CVC/CVV-код и данные доступа к банковскому счету: ввод и обработка платежных реквизитов выполняются платежной организацией на ее защищенной странице. Оператор получает только сведения, необходимые для учета платежа, например сумму, статус, идентификатор и способ оплаты.

Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные, если такая обработка прямо не требуется законом и не оформлена на отдельном законном основании.

4. Источники получения данных

Данные могут быть получены:

• непосредственно от пользователя при регистрации, входе, заполнении профиля, оформлении заказа, добавлении адреса, общении с поддержкой и использовании Сервисов;
• от покупателя, который указывает другого человека получателем заказа. Покупатель обязан иметь законное основание для передачи таких данных и сообщить получателю об их обработке;
• автоматически при работе сайта и приложений с помощью журналов, cookie, SDK и систем аналитики;
• от служб доставки, платежных организаций, CRM, интернет-магазина и иных участников исполнения заказа — в части статусов, идентификаторов и сведений, необходимых для исполнения договора;
• из общедоступных источников или от государственных органов в случаях, предусмотренных законом.

5. Цели обработки

5.1. Работа сайта, приложений и учетной записи

Регистрация и вход, подтверждение номера телефона или электронной почты, ведение профиля, синхронизация корзины и избранного между устройствами, сохранение адресов, обеспечение безопасности, предотвращение злоупотреблений, восстановление доступа и техническая поддержка.

5.2. Заключение и исполнение договора

Формирование и обработка заказа, прием и учет оплаты, доставка, информирование о статусах, возвраты, претензии, гарантийное обслуживание, ведение бухгалтерского и налогового учета, защита прав Оператора, покупателя и получателя.

5.3. Международная доставка и таможенное оформление

Идентификация получателя, формирование документов, таможенное декларирование и сопровождение, расчет и взимание обязательных платежей, передача отправления по международной логистической цепочке, доставка и рассмотрение связанных обращений.

5.4. Поддержка и чаты

Прием и обработка обращений, сохранение истории диалога, передача ссылок на товары и категории, разбор технических ошибок, контроль качества поддержки и защита от злоупотреблений.

5.5. Сервисные сообщения и push-уведомления

Передача кодов входа, статусов заказов, оплаты и доставки, ответов поддержки, уведомлений безопасности и иных сообщений, необходимых для работы Сервисов или исполнения договора. Такие сообщения не являются рекламой и могут направляться без маркетингового согласия в объеме, необходимом для оказания услуги.

5.6. Аналитика, развитие и безопасность

Оценка работы сайта и приложений, объединение событий одного пользователя между устройствами, построение обезличенной статистики, улучшение каталога и интерфейса, проверка доступности товаров в корзине, диагностика сбоев, оценка эффективности коммуникаций, защита от мошенничества и технических атак.

5.7. Рекламные и информационные сообщения

Направление новостей, персональных предложений, промокодов и рекламы по электронной почте, SMS, телефону, push-уведомлениями и в мессенджерах — только при наличии отдельного предварительного согласия. Отказ от рекламы не влияет на оформление и исполнение заказа.

6. Действия с персональными данными

Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, сопоставление, передачу путем предоставления или доступа, обезличивание, блокирование, удаление и уничтожение персональных данных с использованием средств автоматизации или без них.

Оператор не распространяет персональные данные неограниченному кругу лиц и не продает их. Передача осуществляется только при наличии законного основания и в объеме, необходимом для соответствующей цели.

7. Информационные системы, обработчики и получатели

Для работы Сервисов Оператор использует собственную инфраструктуру и привлекает поставщиков технологий и услуг. Им передается только тот объем данных, который необходим для конкретной функции, на основании закона, договора с обязанностями по конфиденциальности и защите данных либо согласия субъекта.

К таким получателям и обработчикам относятся:

• CS-Cart и, на период миграции, AdvantShop — работа интернет-магазина, личного кабинета, каталога, корзины, заказов и связанных данных;
• RetailCRM — учет клиентов, заказов, коммуникаций и обращений;
• DaData — формирование подсказок при вводе адреса и проверка введенных адресных данных;
• Timeweb Cloud и инфраструктура Оператора в Российской Федерации — серверы приложений, API, системы управления контентом, собственная аналитика, журналирование и резервное копирование;
• Яндекс Метрика и AppMetrica — веб- и мобильная аналитика, диагностика ошибок, оценка использования функций и формирование профиля событий пользователя;
• самостоятельно размещенная Оператором система PostHog — продуктовая аналитика и анализ пользовательских сценариев. Данные хранятся в инфраструктуре Оператора в Российской Федерации, а не в облачном сервисе PostHog;
• собственная система событий HMonline — фиксация онлайн-сессий, просмотров, действий с товарами, категориями, корзиной, оформлением, заказами, push-уведомлениями и разделами Сервисов;
• Apple Push Notification Service, Firebase Cloud Messaging и RuStore Push — доставка push-уведомлений на устройства;
• платежные организации — прием платежей, возвраты и передача статусов оплаты;
• операторы электронной почты, SMS, телефонных вызовов и мессенджеров — доставка кодов входа, сервисных и, при наличии согласия, рекламных сообщений;
• СДЭК, СДЭК Глобал, Почта России и иные выбранные при оформлении службы доставки — расчет, прием, перевозка, выдача и отслеживание отправлений;
• российские и иностранные перевозчики, почтовые службы, склады, продавцы, агенты, таможенные представители и брокеры, задействованные в маршруте международной доставки;
• Федеральная таможенная служба России, иностранные таможенные органы и иные государственные органы — когда предоставление данных требуется для оформления и доставки либо прямо предусмотрено законом.

Актуальные сведения о конкретных получателях по заказу зависят от способа оплаты, доставки, страны и маршрута. Субъект может запросить такие сведения по адресу help@hmonline.ru.

8. Локализация и трансграничная передача

При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом случаев. На период миграции данные интернет-магазина могут храниться в AdvantShop и CS-Cart, данные CRM — в RetailCRM, а собственная серверная инфраструктура HMonline размещается в Российской Федерации.

Трансграничная передача может осуществляться:

• при международной доставке — иностранным продавцам, складам, перевозчикам, почтовым операторам, агентам, таможенным представителям, брокерам, таможенным и иным уполномоченным органам стран, через которые проходит отправление;
• при доставке push-уведомлений на устройства Apple или через Firebase — соответствующим технологическим провайдерам в объеме технического идентификатора устройства, push-токена и содержания уведомления;
• в иных случаях, прямо сообщенных субъекту до начала такой передачи.

Трансграничная передача осуществляется для исполнения заказа или предоставления выбранной функции, в страны соответствующего маршрута или местонахождения технологического провайдера, после выполнения установленных законодательством Российской Федерации требований и, когда это необходимо, на основании отдельного согласия субъекта. Оператор уведомил Роскомнадзор об осуществлении трансграничной передачи. Передача в государство, не обеспечивающее адекватную защиту прав субъектов, допускается только при наличии предусмотренного законом основания и дополнительных гарантий.

9. Cookie, SDK и аналитические технологии

Сайт использует строго необходимые cookie, а с отдельного согласия пользователя — функциональные, аналитические и маркетинговые cookie. Приложения могут использовать аналогичные локальные идентификаторы и SDK.

До выбора пользователя включены только необходимые технологии для работы сеанса, защиты сайта, авторизации, корзины, оформления заказа и сохранения настроек конфиденциальности. Необязательные категории заранее выключены и активируются только после явного выбора.

На сайте могут применяться Яндекс Карты, Яндекс Метрика, самостоятельно размещенная система PostHog, собственная система событий HMonline и сервисы социальных сетей. Конкретный перечень активных сервисов и их назначение отображаются в панели настроек cookie. В мобильных приложениях могут применяться AppMetrica, самостоятельно размещенная система PostHog и собственная система событий HMonline.

Пользователь может принять все необязательные cookie, оставить только необходимые либо настроить категории отдельно. Согласие можно изменить или отозвать в любое время. Отказ от необязательных cookie не ограничивает основные функции интернет-магазина.

Подробнее об используемых категориях и управлении ими.

Изменить настройки cookie

10. Сроки обработки и уничтожение

Персональные данные обрабатываются не бессрочно, а до достижения соответствующей цели либо прекращения законного основания. После этого данные удаляются, уничтожаются или обезличиваются, если их дальнейшее хранение не требуется по закону или для защиты прав Оператора и субъекта.

• данные учетной записи и профиля хранятся, пока учетная запись используется, и до ее удаления, за исключением данных, которые должны храниться на ином законном основании;
• данные заказов, платежных статусов, доставки, возвратов и первичных учетных документов хранятся в течение сроков, установленных бухгалтерским, налоговым и иным законодательством; документы бухгалтерского учета — не менее пяти лет после отчетного года;
• данные, необходимые для претензий и судебной защиты, могут храниться в пределах применимого срока исковой давности и срока рассмотрения спора;
• паспортные данные и ИНН обрабатываются для международной доставки, таможенного оформления, возвратов и претензий и после достижения этих целей удаляются, обезличиваются или переводятся в режим ограниченного архивного хранения, если закон обязывает хранить их дольше;
• история обращений в поддержку хранится в течение времени, необходимого для ответа, контроля качества и разрешения возможных споров;
• push-токен хранится до выхода из учетной записи, удаления учетной записи, отзыва разрешения, признания токена недействительным либо прекращения соответствующей функции;
• маркетинговые данные обрабатываются до отзыва согласия либо до прекращения рассылки;
• технические и аналитические данные хранятся в пределах сроков, установленных настройками соответствующей системы и внутренними правилами Оператора, после чего удаляются или обезличиваются.

Отзыв согласия не затрагивает законность обработки, выполненной до отзыва, и не требует удаления данных, которые Оператор обязан или вправе продолжить обрабатывать на другом законном основании. Если иного основания нет, обработка прекращается, а данные уничтожаются в сроки, предусмотренные законодательством Российской Федерации.

11. Защита данных

Оператор применяет необходимые правовые, организационные и технические меры, включая разграничение доступа, многофакторную аутентификацию, сегментацию сети, межсетевые экраны, журналирование действий, защищенные каналы связи, резервное копирование, контроль обновлений, мониторинг событий безопасности и ограничение доступа сотрудников и подрядчиков по служебной необходимости.

Передача данных между приложениями, сайтом и серверными системами выполняется по защищенным каналам. Секретные ключи внешних систем не должны храниться в открытом виде в мобильном приложении и используются на серверной стороне. При обнаружении инцидента Оператор действует в соответствии с требованиями законодательства и уведомляет уполномоченный орган и субъектов в предусмотренных случаях.

12. Права субъекта персональных данных

Субъект вправе:

• получить сведения об обработке своих данных, ее целях, основаниях, способах, сроках, получателях и трансграничной передаче;
• потребовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных;
• отозвать согласие на обработку и отдельно отказаться от рекламных сообщений;
• удалить учетную запись через доступную функцию приложения или направить запрос Оператору;
• обжаловать действия Оператора в Роскомнадзор или суд;
• реализовать иные права, предусмотренные законодательством Российской Федерации.

Запрос направляется на help@hmonline.ru. В запросе следует указать имя, контакт для ответа, суть требования и сведения, позволяющие подтвердить принадлежность учетной записи или данных заявителю. Оператор вправе запросить дополнительную информацию только в объеме, необходимом для идентификации заявителя и предотвращения удаления или раскрытия данных постороннему лицу.

Оператор отвечает в сроки, предусмотренные законодательством Российской Федерации. Удаление учетной записи прекращает доступ к ней, но не влечет немедленного удаления сведений о совершенных заказах, платежах и доставке, если их хранение обязательно по закону или необходимо для разрешения претензий.

13. Данные несовершеннолетних

Сервисы могут использоваться несовершеннолетними только в пределах их дееспособности и с участием родителя или иного законного представителя, когда это требуется законодательством Российской Федерации или законодательством страны получателя. Лицо, предоставляющее данные несовершеннолетнего, подтверждает наличие законных полномочий. При выявлении обработки без надлежащего основания Оператор ограничит обработку и примет меры к удалению данных, если иное не требуется законом.

14. Изменение Политики

Оператор вправе изменять Политику при изменении законодательства, состава Сервисов, технологий или процессов обработки. Новая редакция вступает в силу с момента публикации, если в ней не указан иной срок. Существенные изменения могут дополнительно доводиться до пользователей через сайт, приложение, электронную почту или push-уведомление.

Действующая редакция всегда размещена по адресу: /politika-konfidencialnosti/