Политика в отношении обработки персональных данных

1. Общие положения

1.1. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и принятыми в их исполнение нормативными актами.

1.2. Оператор персональных данных (далее — Оператор):

Индивидуальный предприниматель Речкин Александр Александрович, ИНН 540234482461, ОГРНИП 325547600115704, место нахождения: г. Новосибирск. Связь: страница «Контакты», Telegram @rechkin37.

1.3. Политика применяется ко всем персональным данным, которые Оператор получает при работе сервиса PADEL ID (далее — Сервис), и опубликована для неограниченного доступа по адресу padel-id.ru/privacy.

1.4. Согласие на обработку персональных данных оформляется отдельным документом — «Согласие на обработку персональных данных», согласие на распространение данных в публичном профиле — отдельным согласием. Условия использования Сервиса изложены в Пользовательском соглашении.

2. Чьи данные и какие обрабатываются

2.1. Игроки и пользователи Сервиса:

• фамилия, имя, отображаемое имя, пол, город, фотография профиля (используется как изображение, не для биометрической идентификации);
• номер телефона, имя пользователя и идентификатор в Telegram или MAX;
• номер PADEL ID, самооценка уровня игры, рейтинг, статистика и история матчей, результаты, заявки на турниры и товарищеские игры;
• бронирования кортов, записи на тренировки, сведения об оплате (сумма, статус, способ, номер операции — без реквизитов банковской карты);
• друзья, подписки на клубы, переписка в чатах, голосовые сообщения, реакции, подарки и сообщения к ним, отзывы о тренерах;
• жалобы и решения модерации, обращения в поддержку;
• пароль — только в виде криптографического хеша;
• технические данные: IP-адрес, сведения о браузере и устройстве, cookie и данные сессий, подписки на push-уведомления, журналы событий безопасности и действий.

2.2. Тренеры и организаторы турниров — дополнительно сведения профиля тренера или организатора, стоимость тренировок, клубы, где они работают.

2.3. Сотрудники и представители клубов и организаций — фамилия, имя, контакты, должность и роль в кабинете клуба, действия в кабинете; реквизиты организации и её руководителя для подключения онлайн-оплаты и документооборота.

2.4. Посетители сайта — технические данные (п. 2.1) и сведения, которые они сами указали в форме обращения.

2.5. Оператор не обрабатывает специальные категории персональных данных (о здоровье, политических взглядах и т. п.) и биометрические персональные данные. Камера используется только для сканирования QR-кодов и не сохраняет изображения, микрофон — только для голосового сообщения, которое пользователь сам записал и отправил.

3. Цели и правовые основания

• Создание и ведение профиля, вход и восстановление доступа — исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 Закона о персональных данных) и согласие.
• Рейтинг, статистика, результаты, турниры, товарищеские игры, бронирования и тренировки — исполнение Пользовательского соглашения и договоров, стороной которых является пользователь.
• Приём и учёт оплат, чеки, возвраты — исполнение договора и обязанностей по Федеральному закону от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники…», налоговому законодательству и законодательству о бухгалтерском учёте.
• Уведомления о событиях в Сервисе (брони, турниры, сообщения, подарки) — исполнение Пользовательского соглашения. Рекламные и информационные рассылки направляются только с отдельного согласия по ст. 18 Федерального закона «О рекламе»; сейчас Оператор их не ведёт.
• Чаты, друзья, подарки, отзывы и модерация — исполнение Пользовательского соглашения; рассмотрение жалоб и защита других пользователей — законный интерес Оператора.
• Безопасность, предотвращение злоупотреблений и дублирующих профилей, диагностика и развитие Сервиса — законный интерес Оператора при условии, что не нарушаются права пользователя.
• Ответы на обращения — согласие и исполнение обязанностей Оператора; исполнение требований закона и запросов государственных органов — обязанность по закону.
• Публичный профиль игрока — отдельное согласие на распространение (ст. 10.1 Закона о персональных данных), см. раздел 6.

4. Источники данных

Данные предоставляет сам пользователь — при регистрации, в профиле, в чатах и формах; поступают из Telegram или MAX после того, как пользователь сам запустил бота или передал контакт; вносятся организатором турнира или судьёй (результаты матчей), клубом (брони, отметка прихода), тренером (тренировки); поступают от банка-эквайера (статус и сумма оплаты). Технические данные формируются автоматически при работе Сервиса.

5. Действия с данными

Обработка ведётся с использованием средств автоматизации и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Решений, порождающих юридические последствия для пользователя, исключительно на основании автоматизированной обработки Оператор не принимает: рейтинг рассчитывается автоматически, но не влечёт юридических последствий и может быть оспорен.

6. Публичный профиль

6.1. Публичный профиль игрока, видимый любому посетителю, может содержать: номер PADEL ID, имя и фамилию (или отображаемое имя), фотографию, город, уровень и рейтинг, статистику и результаты матчей, участие в турнирах, полученные подарки (если пользователь их не скрыл). Эти сведения распространяются только с отдельного согласия по ст. 10.1 Закона о персональных данных — «Согласие на распространение персональных данных».

6.2. Телефон, электронная почта, идентификаторы мессенджеров, переписка, сведения об оплатах и безопасности публично не показываются никогда.

6.3. Пользователь вправе в любой момент отозвать согласие на распространение или ограничить состав публикуемых сведений — по обращению к Оператору (раздел 10). Распространение прекращается в течение трёх рабочих дней с получения требования.

7. Кому передаются данные

Данные предоставляются только в объёме, необходимом для конкретной цели:

• клубам и организаторам турниров — данные заявки, брони, участия, оплаты и результаты по их событиям; тренерам — данные о записях к ним; другим пользователям — то, что пользователь сам им адресовал (сообщения, подарки, приглашения в игру);
• АО «ТБанк» (банк-эквайер) и операционному центру Системы быстрых платежей — для проведения оплаты и возврата; данные банковской карты вводятся на странице банка, Оператор их не получает и не хранит;
• оператору фискальных данных через онлайн-кассу — данные чека (сумма, предмет расчёта, телефон или e-mail покупателя для отправки чека);
• российским провайдерам хостинга и облачного хранения — для размещения Сервиса и резервных копий (по поручению Оператора, с обязанностью соблюдать конфиденциальность и требования ст. 19 Закона о персональных данных);
• Telegram и MAX — при использовании пользователем соответствующего способа входа, бота и уведомлений;
• государственным органам — в случаях и порядке, установленных законом.

Оператор не продаёт персональные данные и не передаёт их для рекламы третьих лиц.

8. Трансграничная передача

Данные могут передаваться за пределы Российской Федерации только в следующих случаях и объёме:

• Telegram (иностранный оператор мессенджера) — идентификатор, имя пользователя и содержание сообщений бота, когда пользователь сам выбрал вход и уведомления через Telegram;
• Cloudflare, Inc. (США) — технический ретранслятор запросов к Telegram: через него проходят те же сообщения бота, без хранения;
• сервисы push-уведомлений разработчиков браузеров и операционных систем (Google, Apple, Mozilla) — адрес подписки устройства и зашифрованное содержимое уведомления, если пользователь включил push-уведомления.

Передача осуществляется в соответствии со ст. 12 Закона о персональных данных после уведомления уполномоченного органа. Пользователь может отказаться от неё, не используя Telegram для входа и уведомлений и отключив push-уведомления; основные функции Сервиса при этом доступны.

9. Локализация, сроки хранения и уничтожение

9.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

• данные профиля и связанные с ним сведения — до удаления аккаунта или отзыва согласия, если нет иного законного основания;
• результаты матчей и рейтинговая история — в обезличенном виде могут сохраняться для корректности рейтинга других игроков;
• сведения об оплатах, чеках и возвратах — пять лет, как того требует законодательство о бухгалтерском учёте и налогах;
• переписка в чатах — до удаления аккаунта; сообщения, по которым поданы жалобы, — до завершения рассмотрения и истечения срока обжалования;
• журналы безопасности и технические журналы — не более 12 месяцев, если они не нужны для расследования инцидента;
• обращения в поддержку — три года с последнего сообщения;
• резервные копии: ежедневные копии базы — до 90 дней, файлов — до 30 дней, после чего удалённые данные исчезают и из копий.

9.2. При достижении цели, отзыве согласия или требовании пользователя данные уничтожаются или обезличиваются в течение 30 дней, если иное не предусмотрено законом. Факт уничтожения фиксируется в журнале.

10. Права пользователя и как ими воспользоваться

Пользователь вправе:

• получить сведения об обработке своих данных и их копию;
• потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для цели;
• отозвать согласие на обработку и согласие на распространение;
• отказаться от push-уведомлений и необязательных уведомлений в настройках;
• удалить аккаунт;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

Запрос направляется через страницу «Контакты» (тема «Мои данные и аккаунт»). Оператор отвечает в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах. Для защиты от доступа посторонних Оператор вправе попросить подтвердить, что запрос направлен владельцем аккаунта, — например, из привязанного мессенджера.

11. Защита данных

Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона о персональных данных: назначает ответственного за организацию обработки, разграничивает доступ по ролям, шифрует соединения (TLS), хранит пароли и одноразовые токены только в виде хешей, шифрует ключи платёжных подключений, ведёт журналы действий, делает резервные копии, обновляет программное обеспечение и проверяет соблюдение требований. Об инцидентах с утечкой данных Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления и сообщает результаты расследования в течение 72 часов.

12. Cookie и аналитика

Сервис использует только необходимые cookie и хранилище браузера — для входа, безопасности, выбранного города, режима приложения и настроек интерфейса. Статистика использования собирается собственными средствами Сервиса в обезличенном виде; сторонние рекламные и аналитические системы и пиксели не подключены. Отключение cookie в браузере может сделать вход недоступным.

13. Дети

Самостоятельно зарегистрироваться может лицо, достигшее 14 лет; до 18 лет — с согласия законного представителя. За игрока младше 14 лет регистрацию, согласие на обработку и распространение данных даёт законный представитель. Если Оператор узнает, что данные ребёнка получены без такого согласия, он прекращает их обработку.

14. Изменение Политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации, если в ней не указано иное. О существенных изменениях Оператор сообщает в Сервисе. Предыдущие редакции предоставляются по запросу.