Политика в отношении обработки персональных данных

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности у индивидуального предпринимателя Кудрявцевой Екатерины Анатольевны (далее — «Оператор») и разработана в соответствии с:

• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ»);
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• приказом ФСТЭК России от 18.02.2013 № 21;
• иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает и обрабатывает при использовании субъектами сайта https://detequiz.ru, при участии в играх Оператора, при бронировании и оказании услуг, а также в рамках иных отношений Оператора с субъектами персональных данных.

1.3. Политика распространяется на обработку персональных данных, осуществляемую как с использованием средств автоматизации, так и без использования таких средств.

1.4. Действие Политики не распространяется на обработку персональных данных третьими лицами, к сайтам которых субъект переходит по ссылкам с сайта Оператора.

1.5. Основные понятия (персональные данные, обработка, оператор, субъект персональных данных, обезличивание, распространение, блокирование, уничтожение и др.) используются в значениях, определённых статьёй 3 Закона № 152-ФЗ.

Оператор обрабатывает персональные данные на основе следующих принципов (статья 5 Закона № 152-ФЗ):

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обрабатываются только персональные данные, которые отвечают целям их обработки;
• содержание и объём обрабатываемых данных соответствуют заявленным целям и не являются избыточными по отношению к ним;
• обеспечиваются точность, достаточность и актуальность данных; неточные или неполные данные удаляются или уточняются;
• хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.

3.1. Оператор обрабатывает персональные данные при наличии хотя бы одного из правовых оснований, предусмотренных частью 1 статьи 6 Закона № 152-ФЗ, а именно:

• согласие субъекта персональных данных на обработку его персональных данных (пункт 1) — для рассылок рекламного и информационного характера, для обработки аналитических и маркетинговых файлов cookie, для обработки данных, направленных через формы обратной связи, когда иное основание отсутствует;
• исполнение договора, стороной либо выгодоприобретателем по которому является субъект, а равно заключение договора по инициативе субъекта (пункт 5) — для бронирования и участия в играх, регистрации команд, оказания услуг;
• осуществление прав и законных интересов Оператора либо третьих лиц (пункт 7) — для обеспечения работы, безопасности и защиты сайта, предотвращения мошенничества, а также для ведения статистики в обезличенном виде, если это не нарушает права и свободы субъекта;
• исполнение возложенных на Оператора законом обязанностей (пункт 2) — для бухгалтерского и налогового учёта, ответов на запросы государственных органов.

3.2. Сам Закон № 152-ФЗ не является правовым основанием обработки — для каждой цели указывается конкретное основание из части 1 статьи 6.

3.3. Перечень правовых оснований также включает: свидетельство о государственной регистрации Оператора в качестве индивидуального предпринимателя; договоры между Оператором и субъектом; согласия субъектов на обработку персональных данных; настоящую Политику и иные локальные акты Оператора.

Оператор обрабатывает персональные данные в следующих целях и объёме:

Цели: регистрация и авторизация на сайте (вход по одноразовому коду, направляемому на адрес электронной почты); обеспечение работы личного кабинета; определение города для показа релевантного контента; обеспечение безопасности и предотвращение злоупотреблений.

Правовое основание: заключение и исполнение договора (пункт 5 части 1 статьи 6); законные интересы Оператора (пункт 7 части 1 статьи 6).

Состав данных: имя (либо отображаемое имя); адрес электронной почты; выбранный и автоматически определённый город; IP-адрес; сведения об устройстве и браузере (User-Agent); технические идентификаторы и файлы cookie.

Цели: приём и подтверждение бронирований; организация и проведение игр; формирование команд; ведение статистики результатов и истории участия; информирование об изменениях, отмене или переносе игр.

Правовое основание: заключение и исполнение договора (пункт 5 части 1 статьи 6).

Состав данных: имя (имена участников команды); адрес электронной почты; город; сведения о бронированиях, участии и результатах игр.

Цели: обработка обращений, заявок и вопросов; обратная связь с заявителем.

Правовое основание: согласие субъекта (пункт 1 части 1 статьи 6); законные интересы Оператора (пункт 7 части 1 статьи 6).

Состав данных: имя; город; адрес электронной почты и/или контакт в мессенджере (Telegram, WhatsApp и т. п.); текст обращения; IP-адрес.

Цели: рассмотрение заявок на партнёрство; связь и ведение переговоров; размещение публичной контактной информации партнёра на страницах городов.

Правовое основание: заключение и исполнение договора (пункт 5 части 1 статьи 6); согласие субъекта (пункт 1 части 1 статьи 6).

Состав данных: имя; контактные данные (адрес электронной почты, номер телефона, Telegram); город/район; иные сведения, добровольно предоставленные заявителем.

Цели: направление сообщений рекламного и информационного характера об играх, событиях и предложениях Оператора.

Правовое основание: согласие субъекта (пункт 1 части 1 статьи 6 Закона № 152-ФЗ; статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).

Состав данных: имя; адрес электронной почты; город.

Оператор не обрабатывает специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни) и не обрабатывает биометрические персональные данные. Услуги Оператора предназначены для лиц старше 18 лет; Оператор не осуществляет целенаправленный сбор данных несовершеннолетних.

5.1. Обработка персональных данных осуществляется с согласия субъекта, если иное не предусмотрено законодательством, либо на ином правовом основании, указанном в разделе 3 настоящей Политики.

5.2. Оператор осуществляет следующие действия (операции) с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

5.3. Обработка осуществляется как с использованием средств автоматизации, так и без их использования.

5.4. Локализация баз данных. Сбор персональных данных граждан Российской Федерации, в том числе через сеть «Интернет», а также запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение таких данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ). Первичный сбор и хранение персональных данных пользователей осуществляются на серверах, расположенных на территории России.

5.5. Трансграничная передача. Оператор не осуществляет трансграничную передачу персональных данных. В случае возникновения необходимости такой передачи Оператор предварительно уведомит Роскомнадзор и обеспечит соблюдение требований статьи 12 Закона № 152-ФЗ.

5.6. Передача третьим лицам (поручение обработки). Оператор вправе поручать обработку персональных данных иным лицам с согласия субъекта (если оно является основанием обработки) и на основании заключаемого с такими лицами договора поручения, содержащего условия о конфиденциальности и обеспечении безопасности данных (часть 3 статьи 6 Закона № 152-ФЗ). К категориям привлекаемых лиц относятся:

• хостинг-провайдеры и провайдеры облачной инфраструктуры (на территории РФ);
• провайдеры сервисов доставки электронной почты и уведомлений;
• операторы систем веб-аналитики;
• платёжные сервисы (при осуществлении расчётов);
• иные подрядчики, привлекаемые для исполнения договоров с субъектами.

Оператор не продаёт персональные данные и не передаёт их третьим лицам в целях, не предусмотренных настоящей Политикой, за исключением случаев, установленных законодательством.

5.7. Предоставление данных государственным органам осуществляется в объёме и порядке, установленных законодательством Российской Федерации.

5.8. Обработка с использованием сайта и файлов cookie. При использовании сайта автоматически могут собираться технические данные (IP-адрес, сведения об устройстве и браузере, файлы cookie, данные систем веб-аналитики). Порядок обработки файлов cookie раскрыт в отдельном документе — «Политика использования файлов cookie». Аналитические и маркетинговые файлы cookie обрабатываются только при наличии согласия пользователя, получаемого через баннер согласия.

6.1. Персональные данные обрабатываются и хранятся не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором. Ориентировочные сроки хранения:

• Данные учётной записи (имя, email, город) — в течение действия учётной записи и до её удаления либо отзыва согласия; далее — уничтожение в срок до 30 дней.
• Данные о бронированиях, участии и результатах игр — в течение срока оказания услуг и последующего периода, необходимого для бухгалтерского и налогового учёта (до 5 лет — статья 29 Федерального закона № 402-ФЗ «О бухгалтерском учёте», статья 23 Налогового кодекса РФ).
• Обращения через формы обратной связи — до разрешения обращения и в течение разумного срока после, но не более 1 года.
• Данные для рекламных рассылок — до отзыва согласия на получение рассылки.
• Технические данные и файлы cookie — в течение срока, указанного в Политике использования файлов cookie.

6.2. По достижении целей обработки, а также при отзыве согласия (при отсутствии иных правовых оснований) персональные данные подлежат уничтожению или обезличиванию.

6.3. При отзыве субъектом согласия на обработку Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено договором или законом (часть 5 статьи 21 Закона № 152-ФЗ).

7.1. Субъект персональных данных имеет право (статьи 14–20 Закона № 152-ФЗ):

• получать сведения об обработке его персональных данных, в том числе о целях, правовых основаниях, способах, сроках обработки и о лицах, имеющих доступ к данным;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• возражать против обработки в целях продвижения товаров, работ и услуг (рекламных рассылок);
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• защищать свои права и законные интересы, в том числе на возмещение убытков и (или) компенсацию морального вреда.

7.2. Для реализации своих прав субъект направляет запрос Оператору по адресу электронной почты kate@detequiz.com либо в письменном виде. Запрос должен содержать сведения, позволяющие идентифицировать субъекта, и указание на его взаимодействие с Оператором. Оператор рассматривает запрос в сроки, установленные Законом № 152-ФЗ (как правило, в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением заявителя).

7.3. Отзыв согласия осуществляется путём направления заявления на адрес kate@detequiz.com либо иным способом, позволяющим подтвердить факт его получения.

8.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (статья 19 Закона № 152-ФЗ), в том числе:

Организационные меры:

• определение лица, ответственного за организацию обработки персональных данных (для Оператора — индивидуального предпринимателя эти функции осуществляет сам Оператор);
• издание локальных актов по вопросам обработки и защиты персональных данных;
• ознакомление работников, осуществляющих обработку, с положениями законодательства и локальных актов, обучение работников;
• ограничение и разграничение доступа к персональным данным; допуск только тех работников, которым данные необходимы для выполнения трудовых обязанностей;
• определение угроз безопасности и уровня защищённости информационных систем персональных данных в соответствии с Постановлением Правительства РФ № 1119;
• осуществление внутреннего контроля соответствия обработки требованиям законодательства;
• оценка вреда, который может быть причинён субъектам в случае нарушения Закона № 152-ФЗ.

Технические меры:

• применение средств защиты информации; использование шифрования каналов передачи данных (SSL/TLS);
• разграничение прав доступа и аутентификация пользователей информационных систем;
• резервное копирование; антивирусная защита; средства предотвращения несанкционированного доступа;
• регистрация и учёт действий с персональными данными.

8.2. Реагирование на инциденты. В случае неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей их нарушение, Оператор уведомляет Роскомнадзор: о произошедшем инциденте — в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Закона № 152-ФЗ).

9.1. Настоящая Политика является общедоступным документом и подлежит размещению на сайте https://detequiz.ru. Оператор обеспечивает неограниченный доступ к Политике.

9.2. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на сайте, если иное не предусмотрено новой редакцией. Актуальная редакция всегда доступна на сайте по постоянному адресу.

9.3. По всем вопросам, связанным с обработкой персональных данных, субъект может обратиться к Оператору по адресу электронной почты kate@detequiz.com.