Защита персональных данных

Здесь описано, какие персональные данные возникают при посещении craftalux.at и при пользовании нашим приложением в Telegram tg.craftalux.at, зачем мы их используем, кому передаём и какие у вас права. Названо только то, что в этом магазине действительно происходит.

Кто отвечает за обработку

CraftaLux — Dimitri Korenev
Grabmayrgasse 2, Stiege 1, Tür 17, 1210 Wien, Österreich
Эл. почта: shop@craftalux.at
Телефон: +43 660 5752835

За оба сервиса — сайт craftalux.at и приложение Telegram tg.craftalux.at — отвечает названный выше продавец; полные сведения — в выходных данных. Назначать уполномоченного по защите данных по ст. 37 GDPR мы не обязаны; со всеми вопросами обращайтесь по контактам выше.

Наши принципы

  • Мы обрабатываем только те данные, которые нужны для работы магазина, для вашего заказа и для ответа на ваши обращения.
  • Смотреть каталог можно, не называя своего имени.
  • Аналитику мы загружаем только после вашего согласия — не раньше.
  • Мы не передаём данные в рекламных целях и не продаём их.
  • Автоматизированного принятия решений, включая профилирование по ст. 22 GDPR, не происходит.

Заход на сайт (журналы сервера)

Чтобы страница вообще открылась, браузер передаёт нашему серверу технические сведения: IP-адрес, дату и время, запрошенный адрес и код ответа, предыдущую страницу (referrer), тип браузера и операционную систему, объём переданных данных.

Цель — выдача страниц, техническая устойчивость и защита от атак и автоматизированных злоупотреблений. Основание — ст. 6 п. 1 (f) GDPR, наш законный интерес в безопасном и работающем магазине. Журналы автоматически удаляются не позднее чем через 14 дней и с другими источниками не сопоставляются.

Необходимые cookie удерживают выбор языка, корзину и вход; аналитические ставятся только после вашего согласия. Кроме того, магазин хранит в локальном хранилище браузера черновик оформления заказа и недавно просмотренные товары.

Имена, назначение и сроки всех cookie, а также способ отозвать согласие, полностью описаны на странице о файлах cookie.

Счётчик посещаемости

Чтобы понимать, какие страницы читают и где посетитель не может продолжить, на сайте работает Яндекс.Метрика — только если вы согласились в баннере. Собираются открытые страницы и время на них, страница-источник, тип устройства, браузер и размер экрана, приблизительное местоположение по IP-адресу и слова, которые вы вводите в поиск. Запись сессий («Вебвизор») отключена.

Поставщик — ООО «ЯНДЕКС», ул. Льва Толстого, 16, 119021 Москва. Основание — ст. 6 п. 1 (a) GDPR (согласие); о передаче см. раздел «Передача в третьи страны». В приложении Telegram счётчика нет вовсе.

Личный кабинет

Кабинет можно завести, но это необязательно — заказ возможен и как гость. В кабинете хранятся ваш адрес эл. почты, имя, пароль только в виде проверочного значения (хэша), а также заказы и сохранённые адреса.

Основание — ст. 6 п. 1 (b) GDPR. Кабинет можно удалить в любой момент; завершённые заказы хранятся столько, сколько требуют налоговые сроки хранения.

Заказ и исполнение договора

Для заказа мы обрабатываем ваше имя, адрес эл. почты, адрес доставки, по желанию телефон для вручения, состав заказа, сумму и статус оплаты.

Основание — ст. 6 п. 1 (b) GDPR: без этих данных нельзя ни доставить, ни выставить счёт. Счета и первичные документы хранятся семь лет — этого требует § 132 австрийского налогового кодекса (BAO).

Оплата

Оплату проводит Stripe (Stripe Payments Europe Limited, The One Building, 1 Grand Canal Street Lower, Dublin 2, Ирландия). Данные карты или счёта вы вводите непосредственно у Stripe, к нам они не попадают. Мы получаем статус платежа, сумму и идентификатор операции.

Основание — ст. 6 п. 1 (b) GDPR. За собственную обработку — например, для предотвращения мошенничества — отвечает сама Stripe; действуют её правила о защите данных.

Доставка

Для отправки мы передаём ваше имя, адрес доставки и — если нужно для уведомлений — адрес эл. почты и телефон нашему логистическому оператору Sendcloud (Sendcloud B.V., Stadhuisplein 10, 5611 EM Eindhoven, Нидерланды) и перевозчику, который вручает посылку. Если вы выбрали пункт выдачи, обрабатывается также его идентификатор.

Основание — ст. 6 п. 1 (b) GDPR. При самовывозе в Вене этой передачи не происходит.

Письма

Подтверждения заказа, уведомления об отправке и письма для сброса пароля отправляются с нашего собственного почтового сервера. Обрабатываются ваш адрес эл. почты и содержание письма. Язык письма соответствует языку вашего заказа.

Основание — ст. 6 п. 1 (b) GDPR. Рекламные письма без отдельного согласия мы не рассылаем.

Обращения в поддержку

Если вы пишете нам через форму, по почте или из приложения Telegram, мы обрабатываем имя, адрес эл. почты, тему и сообщение, а для защиты от массовых рассылок — ваш IP-адрес и время отправки.

От автоматических отправок форму защищает Yandex SmartCaptcha; при этом поставщику передаются технические сведения об устройстве и ваш IP-адрес. Основание — ст. 6 п. 1 (f) GDPR: без такой защиты форма стала бы непригодной за считаные дни.

Сообщение попадает в наш почтовый ящик и хранится там же и в архиве переписки, чтобы можно было проследить историю обращения. Основание — ст. 6 п. 1 (b) GDPR, если обращение касается заказа, иначе ст. 6 п. 1 (f). Переписку мы удаляем, как только вопрос закрыт и этому не мешают сроки хранения.

Приложение Telegram (tg.craftalux.at)

Если вы открываете магазин внутри Telegram, при запуске Telegram передаёт нам проверенные сведения о вашей учётной записи: идентификатор Telegram, имя и фамилию, имя пользователя (если оно есть), язык приложения и время открытия. Мы используем их, чтобы связать корзину и заказы с вашей учётной записью и отвечать на обращения в поддержку. Номер телефона Telegram нам не передаёт.

Избранное, недавние поисковые запросы, идентификатор корзины и выбор языка остаются в памяти вашего устройства; без заказа они её не покидают.

Основание — ст. 6 п. 1 (b) GDPR. За сам мессенджер отвечает Telegram (Telegram FZ-LLC, Дубай, ОАЭ) — на его обработку мы не влияем, действуют правила Telegram. Заказ, оплата, доставка и письма работают в приложении ровно так, как описано выше.

Поиск, картинки и шрифты

Поиск работает целиком на нашем сервере; поисковые слова никому не передаются и попадают в счётчик только при вашем согласии на него.

Изображения товаров и медиафайлы отдаются из объектного хранилища; при этом его оператору передаётся IP-адрес вашего устройства (см. «Передача в третьи страны»). Шрифты и значки отдаются с наших собственных серверов; соединения с Google Fonts или подобными службами не происходит.

Кому передаются данные

Доступ к данным есть только у людей, занятых магазином и перепиской, и у следующих поставщиков услуг, действующих по нашему поручению в смысле ст. 28 GDPR:

  • хостинг и техническая инфраструктура магазина и приложения
  • объектное хранилище для изображений товаров и медиафайлов
  • платёжный оператор (Stripe)
  • логистический оператор и перевозчики
  • доставка писем через наш почтовый сервер
  • счётчик посещаемости — только при данном согласии
  • защита формы от спама

В остальном мы передаём данные, только если обязаны по закону или если их правомерно требует государственный орган или суд.

Передача в третьи страны

Сервер, на котором работают магазин и приложение Telegram, база данных с вашими заказами, объектное хранилище изображений товаров, а также счётчик посещаемости и защита от спама сейчас находятся в Российской Федерации. Мы говорим об этом прямо, чтобы вы знали это до того, как сделаете заказ.

Решения Европейской комиссии о достаточном уровне защиты (ст. 45 GDPR) для Российской Федерации нет. Европейский совет по защите данных в 2022 году указал, что передача туда требует инструмента главы V GDPR и оценки рисков. Поэтому мы не заявляем здесь гарантии, которой дать не можем: передача происходит, и мы прекращаем её переносом, описанным ниже.

Вы должны знать, что это значит: уровень защиты там не соответствует европейскому, доступ государственных органов к данным у операторов связи и хостинга исключить нельзя, а защита ваших прав в отношении лиц этой страны может оказаться существенно затруднена.

Поэтому мы переносим сервер, базу данных и хранилище изображений в Европейский союз. Пока перенос не завершён, передача идёт только в зашифрованном виде (TLS), обработка ограничена тем, что нужно для работы магазина и вашего заказа, а счётчик загружается только после вашего согласия. Как только перенос состоится, мы изменим эту страницу и назовём здесь новое размещение.

При пользовании приложением Telegram ваше обращение к мессенджеру обрабатывает Telegram в Объединённых Арабских Эмиратах; решения о достаточном уровне защиты нет и для этой страны, и на эту обработку мы не влияем. Пользование приложением добровольно — те же товары можно заказать в веб-магазине.

Сроки хранения — коротко

  • Журналы сервера — не более 14 дней.
  • Выбор по cookie — 12 месяцев или до изменения.
  • Корзина — 30 дней; вход — 7 дней.
  • Заказы, счета и первичные документы — семь лет (§ 132 BAO).
  • Личный кабинет — до удаления по вашей просьбе.
  • Переписка — пока вопрос не закрыт, но не дольше установленных законом сроков хранения.

Безопасность

Магазин и приложение доступны только по HTTPS; передача между вашим устройством и нашим сервером зашифрована. Пароли хранятся лишь как проверочное значение, доступ в служебные разделы ограничен несколькими людьми и защищён паролем, формы защищены от автоматических злоупотреблений. Абсолютной защиты, впрочем, не может обещать никто, кто передаёт данные через интернет.

Ваши права

В отношении нас у вас есть следующие права:

  • доступ — обрабатываем ли мы ваши данные и какие именно (ст. 15 GDPR)
  • исправление неточных или неполных данных (ст. 16 GDPR)
  • удаление (ст. 17 GDPR)
  • ограничение обработки (ст. 18 GDPR)
  • перенос данных (ст. 20 GDPR)
  • возражение против обработки, основанной на законном интересе (ст. 21 GDPR)
  • отзыв данного согласия с действием на будущее (ст. 7 п. 3 GDPR)

По всем этим вопросам достаточно письма в свободной форме на shop@craftalux.at. Мы отвечаем без необоснованной задержки, самое позднее в течение месяца. Чтобы не выдать данные постороннему, в сомнительных случаях нам приходится убедиться, что обращение действительно исходит от вас.

Если вы считаете, что мы обрабатываем ваши данные неправомерно, вы вправе в любой момент подать жалобу в надзорный орган (ст. 77 GDPR). В Австрии это Österreichische Datenschutzbehörde, Barichgasse 40—42, 1030 Wien, dsb@dsb.gv.at. Жалоба возможна независимо от того, обращались ли вы сначала к нам.

Изменения этого документа

Мы правим этот текст, как только меняется обработка в магазине или приложении — например, появляется или исчезает поставщик услуг. Если при этом меняется состав cookie, согласие спрашивается заново. Редакция от 5 сентября 2026 года.