Политика в отношении обработки персональных данных
1. Общие положения
1.1. Политика определяет, как индивидуальный предприниматель Габидуллин Булат Рафикович (далее — Оператор) обрабатывает и защищает персональные данные пользователей сайта «Где мой 2007?» по адресу https://gdemoy2007.ru (далее — Сайт). Политика составлена по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).
1.2. Политика действует в отношении всех персональных данных, которые Оператор получает через Сайт, и опубликована на Сайте в открытом доступе (ч. 2 ст. 18.1 Закона о персональных данных).
1.3. Термины «персональные данные», «обработка», «оператор», «субъект персональных данных», «трансграничная передача», «уничтожение» используются в значениях, установленных статьёй 3 Закона о персональных данных.
1.4. Согласие на обработку персональных данных оформлено отдельным документом «Согласие на обработку персональных данных» и даётся при отправке заявки с Сайта. Настоящая Политика согласием не является и не заменяет его.
2. Сведения об операторе
| Оператор | Индивидуальный предприниматель Габидуллин Булат Рафикович |
| ИНН | 165718654930 |
| ОГРНИП | 322169000067601 (дата регистрации — 30.03.2022) |
| Место нахождения | Республика Татарстан, г. Казань |
| E-mail для обращений по персональным данным | support@gdemoy2007.ru |
| Ответственный за организацию обработки персональных данных | Габидуллин Булат Рафикович |
Обращения и запросы по персональным данным, включая письменные, принимаются по адресу support@gdemoy2007.ru (раздел 11).
3. Принципы обработки
Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей и только в объёме, который нужен для этих целей. Оператор не объединяет базы данных, созданные для несовместимых целей, обеспечивает точность данных и хранит их не дольше, чем этого требуют цели обработки.
4. Цели, субъекты, состав данных, основания и сроки
4.1. Заявки с Сайта
| Заявка «Стать партнёром» | Заявка на регату «Юность» | |
|---|---|---|
| Цель | Рассмотрение заявки на сотрудничество и связь с заявителем по этой заявке | Рассмотрение заявки на участие в яхтенной регате «Юность», которую организует проект «Где мой 2007?», и связь с заявителем по этой заявке |
| Субъекты | Совершеннолетние лица, отправившие заявку, в том числе представители организаций | Совершеннолетние лица, отправившие заявку |
| Персональные данные | Имя; номер телефона и (или) адрес электронной почты (хотя бы одно из двух); город и комментарий — если заявитель их указал; вид заявки; дата и время дачи согласия | То же |
| Правовое основание | Согласие субъекта (п. 1 ч. 1 ст. 6 Закона о персональных данных) | То же |
| Срок обработки и хранения | 365 дней с даты получения заявки; раньше — при отзыве согласия или по требованию субъекта (раздел 9) | То же |
Персональные данные для заявки заявитель указывает сам и добровольно. Без них и без согласия на их обработку заявку отправить нельзя. Остальными разделами Сайта можно пользоваться без передачи персональных данных.
4.2. Безопасность Сайта
| Цель | Защита форм заявок от автоматических и массовых отправок, обеспечение работоспособности и безопасности Сайта |
| Субъекты | Посетители Сайта |
| Данные | IP-адрес; дата и время запроса; адрес запрошенной страницы; сведения о браузере (User-Agent) — в технических журналах сервера |
| Правовое основание | Осуществление прав и законных интересов Оператора по защите Сайта при условии, что не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6 Закона о персональных данных) |
| Срок | IP-адрес для ограничения частоты отправки заявок используется только в оперативной памяти сервера, в базу данных не записывается и удаляется автоматически по истечении интервала ограничения, но не позднее чем через один час. Записи технических журналов сервера хранятся не более 30 дней |
IP-адрес и сведения о браузере не сохраняются вместе с заявкой. Оператор не использует их, чтобы установить личность посетителя.
4.3. Чего Оператор не делает
- не обрабатывает специальные категории персональных данных (сведения о здоровье, убеждениях и т. п.) и биометрические персональные данные;
- не принимает решений, порождающих юридические последствия для субъекта, на основании исключительно автоматизированной обработки;
- не использует данные из заявок для рекламных и иных рассылок и не продвигает с их помощью товары и услуги;
- не распространяет персональные данные (не раскрывает их неопределённому кругу лиц);
- не устанавливает на Сайте сервисы веб-аналитики, рекламные и иные сторонние счётчики и трекеры.
4.4. Возраст
Сайт и мероприятия проекта предназначены для лиц старше 18 лет. Оператор не принимает заявки от несовершеннолетних. Если выяснится, что заявку отправило лицо младше 18 лет, Оператор уничтожит её данные в течение 10 рабочих дней с даты, когда это стало известно.
5. Действия с персональными данными и способы обработки
5.1. С данными заявок Оператор совершает действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в объёме, указанном в разделе 8, блокирование, удаление, уничтожение.
5.2. Способ обработки — автоматизированная обработка с передачей данных по сети Интернет. Данные заявки сначала записываются в базу данных Оператора на территории Российской Федерации, затем копия уведомления о заявке направляется Оператору в мессенджер Telegram (раздел 8).
5.3. Оператор не поручает обработку персональных данных третьим лицам. Сервер Сайта и база данных размещены на арендованных вычислительных ресурсах российского хостинг-провайдера Timeweb. Сервер и базу данных администрирует сам Оператор. Фотографии с мероприятий хранятся в арендованном Оператором объектном хранилище того же провайдера (Timeweb Cloud, адрес s3.twcstorage.ru, Россия); персональные данные из заявок туда не попадают.
6. Фото- и видеоматериалы с мероприятий
На Сайте публикуются фотографии и видео с прошедших мероприятий проекта. Это публичные мероприятия, съёмка на них ведётся открыто, материалы публикуются в соответствии с подпунктом 2 пункта 1 статьи 152.1 Гражданского кодекса РФ. Оператор не использует эти материалы, чтобы установить личность изображённых людей. Если вы есть на фотографии или в видео и хотите, чтобы материал убрали с Сайта, напишите на support@gdemoy2007.ru и укажите, какой это материал. Оператор удалит его в течение 10 рабочих дней.
7. Локализация
Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся в базе данных, находящейся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных). Резервные копии этой базы данных также хранятся только на территории Российской Федерации.
8. Передача персональных данных и трансграничная передача (Telegram)
8.1. Административной панели у Сайта нет, поэтому о каждой новой заявке Оператор узнаёт из уведомления в мессенджере Telegram. Уведомление отправляет бот Оператора в личный чат Оператора. Уведомление уходит только после того, как заявка записана в базу данных в России.
8.2. Уведомление содержит: вид заявки, имя, телефон, адрес электронной почты, город, комментарий (те из них, что заявитель указал) и номер заявки.
8.3. Telegram — иностранный сервис, поэтому отправка уведомления является трансграничной передачей персональных данных. Получатель — Telegram Messenger Inc. (Британские Виргинские острова). По сведениям самой компании, данные облачных чатов Telegram хранятся в дата-центрах в разных странах, которыми управляют разные юридические лица. Полный перечень этих стран компания не раскрывает. Среди них могут быть государства, которые не входят в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (ч. 2 ст. 12 Закона о персональных данных).
8.4. Трансграничную передачу Оператор ведёт по правилам статьи 12 Закона о персональных данных: на основании согласия субъекта, после оценки того, как получатель соблюдает конфиденциальность и безопасность данных, и после уведомления Роскомнадзора о намерении осуществлять трансграничную передачу. Передача в государства, которые не обеспечивают адекватную защиту, начинается не раньше, чем истекут сроки рассмотрения этого уведомления.
8.5. Оператор не передаёт персональные данные другим третьим лицам, кроме случаев, когда это обязательно по закону, например по запросу суда или уполномоченного государственного органа.
9. Сроки хранения и уничтожение
9.1. Заявки хранятся в базе данных 365 дней с даты получения. По истечении этого срока система уничтожает их автоматически: проверка выполняется ежедневно. Пока уведомление о заявке не доставлено в Telegram, его копия находится в очереди уведомлений в той же базе данных. После успешной отправки копия удаляется из очереди сразу, недоставленная — вместе с заявкой по истечении срока хранения.
9.2. Уведомления о заявках в Telegram Оператор удаляет вручную в те же сроки, что и заявки в базе данных.
9.3. Если субъект отзывает согласие или требует прекратить обработку или уничтожить свои данные, Оператор прекращает обработку и уничтожает данные заявки в базе данных и в Telegram в течение 10 рабочих дней с даты получения отзыва или требования. Этот срок может быть продлён не более чем на 5 рабочих дней, если Оператор направит субъекту мотивированное уведомление о причинах продления.
9.4. Если уничтожить данные в эти сроки невозможно, Оператор блокирует их и уничтожает не позднее чем через 6 месяцев (ч. 6 ст. 21 Закона о персональных данных).
9.5. Уничтожение подтверждается в порядке, установленном Роскомнадзором (приказ от 28.10.2022 № 179).
10. Меры защиты персональных данных
Оператор применяет правовые, организационные и технические меры по статьям 18.1 и 19 Закона о персональных данных:
- передача данных между браузером и Сайтом шифруется по протоколу HTTPS;
- база данных находится во внутренней сети сервера, из интернета к ней подключиться нельзя;
- доступ к серверу, базе данных и Telegram-чату с уведомлениями есть только у Оператора;
- формы защищены от подделки запросов (CSRF) и от автоматических отправок: браузер решает вычислительную задачу (proof-of-work) без сторонних сервисов; частота отправки заявок с одного IP-адреса ограничена;
- в журналы сервера не записывается содержимое заявок;
- хранятся только данные, необходимые для целей обработки, и только в течение установленного срока;
- Оператор оценивает вред, который может быть причинён субъектам в случае нарушения закона, и проводит внутренний контроль соответствия обработки закону и этой Политике;
- о неправомерной или случайной передаче персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 Закона о персональных данных.
11. Права субъекта и порядок обращения
11.1. Субъект персональных данных вправе:
- получить сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона о персональных данных);
- потребовать уточнить, заблокировать или уничтожить свои данные, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
- отозвать согласие на обработку персональных данных;
- потребовать прекратить обработку своих персональных данных;
- обжаловать действия или бездействие Оператора в Роскомнадзоре (в том числе в Управлении Роскомнадзора по Республике Татарстан) или в суде.
11.2. Обращения и запросы направляются на support@gdemoy2007.ru. В запросе нужно указать сведения, которые подтверждают участие субъекта в отношениях с Оператором: вид заявки, примерную дату её отправки, телефон или e-mail из заявки. Запрос должен соответствовать ч. 3 ст. 14 Закона о персональных данных. Запрос в форме электронного документа подписывается электронной подписью по законодательству РФ. Ответ Оператор направляет по контактам, указанным в запросе или в заявке.
11.3. Сроки ответа:
| Обращение | Срок |
|---|---|
| Сведения об обработке, ознакомление с данными | 10 рабочих дней с даты получения запроса; продление — не более чем на 5 рабочих дней с мотивированным уведомлением |
| Уточнение неполных, неточных или неактуальных данных | 7 рабочих дней с даты, когда субъект предоставил подтверждающие сведения |
| Уничтожение незаконно полученных или ненужных для цели данных | 7 рабочих дней с даты, когда субъект предоставил подтверждающие сведения |
| Отзыв согласия, требование прекратить обработку или уничтожить данные | 10 рабочих дней; продление — не более чем на 5 рабочих дней с мотивированным уведомлением |
11.4. Ознакомление с данными и ответы на обращения бесплатны.
12. Cookie и хранилище браузера
Сайт использует только технические cookie и хранилище браузера (localStorage, sessionStorage). Они нужны, чтобы Сайт работал: запоминали выбранную версию Сайта, защищали форму заявки, хранили рекорды игр. Персональные данные в них не записываются, для аналитики и рекламы они не используются. Перечень и сроки — в документе «Cookie и хранилище браузера».
13. Сторонние сайты и сервисы
13.1. На Сайте есть ссылки на сторонние ресурсы: площадки продажи билетов (например, voroh.ru), сайты партнёров, сообщества проекта во ВКонтакте, Telegram и Instagram, Яндекс Музыку. Instagram принадлежит компании Meta, признанной экстремистской организацией и запрещённой в РФ. Когда вы переходите по такой ссылке, ваши данные обрабатывает владелец соответствующего ресурса по своим правилам. Это касается и данных, которые вы указываете при покупке билета. Оператор за обработку данных на сторонних ресурсах не отвечает.
13.2. Если вы пишете Оператору напрямую в Telegram или во ВКонтакте, переписка проходит через инфраструктуру соответствующего сервиса. Оператор использует полученные так сведения только для ответа на ваше сообщение.
13.3. Фотографии с мероприятий загружаются в браузер не с сервера Сайта, а из объектного хранилища Timeweb Cloud (s3.twcstorage.ru, пункт 5.3). При загрузке фотографии браузер, как это технически устроено в интернете, передаёт хранилищу свой IP-адрес, сведения о браузере (User-Agent) и адрес Сайта. Оператор не использует эти сведения, чтобы установить личность посетителя, не сопоставляет их с заявками и не применяет для аналитики или рекламы. Другие медиафайлы на Сайте (например, видео) также могут загружаться со сторонних серверов; при этом браузер так же передаёт серверу свой IP-адрес, и Оператор эти сведения не получает.
14. Изменение Политики
14.1. Оператор вправе в любое время и по своему усмотрению изменять Политику в одностороннем порядке без уведомления пользователей. Новая редакция действует с момента её публикации на Сайте. Действующий текст Политики всегда доступен на Сайте, пользователь самостоятельно следит за его изменениями. Продолжая пользоваться Сайтом после публикации новой редакции, пользователь принимает её.
14.2. Изменение Политики не расширяет согласия на обработку персональных данных, данные ранее. Если меняются цели обработки, состав персональных данных или их получатели, в том числе условия трансграничной передачи, прежнее согласие на новые условия не распространяется. Данные, полученные ранее, обрабатываются на прежних условиях, а для новых условий Оператор запрашивает новое согласие при следующей заявке.