Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и определяет политику Оператора в отношении обработки персональных данных, порядок и условия их обработки, а также сведения о реализуемых требованиях к защите персональных данных.

1.2. Оператор: Индивидуальный предприниматель Костычев Илья Александрович (ИНН: 645053761200 ОГРНИП: 326645700048667), адрес места ведения деятельности (Клуб «СЕЛЕКТ»): 410012, г. Саратов, ул. Астраханская, д. 102, к. 8; адрес для направления корреспонденции: 410012, г. Саратов, ул. Астраханская, д. 102, к. 8; телефон: +7 933 093 9988; адрес электронной почты: gobiz@list.ru (далее — Оператор).

1.3. Действие Политики распространяется на все персональные данные субъектов, обрабатываемые Оператором как с использованием средств автоматизации, так и без использования таких средств.

1.4. Политика является общедоступным документом. Оператор обеспечивает неограниченный доступ к Политике путём её размещения на информационном стенде в помещении Клуба, а при осуществлении сбора персональных данных с использованием информационно-телекоммуникационной сети «Интернет» — также путём публикации на официальном сайте Оператора по адресу: https://selectpoker.ru в разделе, доступном без регистрации и авторизации, в течение 10 рабочих дней с даты утверждения Политики (ч. 2 ст. 18.1 Закона № 152-ФЗ).

1.4. Политика является общедоступным документом. Оператор обеспечивает неограниченный доступ к Политике путём её размещения на информационном стенде в помещении Клуба, а при осуществлении сбора персональных данных с использованием информационно-телекоммуникационной сети «Интернет» — также путём публикации в официальном приложении Оператора по адресу: https://selectpoker.ru/app в разделе, доступном без регистрации и авторизации, в течение 10 рабочих дней с даты утверждения Политики (ч. 2 ст. 18.1 Закона № 152-ФЗ).

1.5. В настоящей Политике конфиденциальности используются следующие термины:

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
• Оператор персональных данных (Оператор) — Индивидуальный предприниматель Костычев Илья Александрович, самостоятельно осуществляющий обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
• Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются Оператором (покупатель, работник, контрагент и иное лицо, вступающее в отношения с Оператором).
• Конфиденциальность персональных данных — обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

Иные понятия, используемые в настоящей Политике, применяются в значениях, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1.6. Политика подлежит пересмотру не реже одного раза в год, а также при изменении законодательства Российской Федерации в области персональных данных или состава обрабатываемых персональных данных.

2. Правовые основания обработки персональных данных

2.1. Обработка персональных данных осуществляется Оператором в соответствии с:

• Конституцией Российской Федерации (ст. 23, 24);
• Гражданским кодексом Российской Федерации (в том числе ст. 152.1);
• Трудовым кодексом Российской Федерации (гл. 14);
• Налоговым кодексом Российской Федерации (гл. 23);
• Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18);
• постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• приказом Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения»;
• приказом Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке вреда, который может быть причинён субъектам персональных данных...»;
• приказом Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

2.2. Правовыми основаниями обработки также являются: договор об оказании услуг (публичная оферта), заключаемый Оператором с субъектом персональных данных; согласия субъектов персональных данных на обработку персональных данных, локальные нормативные акты Оператора.

3. Цели обработки, категории субъектов, состав персональных данных, правовые основания и сроки обработки

3.1. Оператор обрабатывает персональные данные в объёме, минимально необходимом для достижения следующих целей:

3.2. Обработка персональных данных, не совместимая с целями, указанными в п. 3.1 Политики, не допускается. Объединение баз данных, обработка персональных данных в которых осуществляется в целях, несовместимых между собой, не производится.

3.3. Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона № 152-ФЗ), а также персональные данные несовершеннолетних. Лица, не достигшие возраста 18 лет, к участию в мероприятиях не допускаются.

3.4. Фотографии и видеозаписи, получаемые Оператором, не используются для установления личности субъекта персональных данных с применением специальных технических или программных средств, а могут использоваться исключительно в рекламных целях. В связи с этим указанные данные не относятся к биометрическим персональным данным в значении ст. 11 Закона № 152-ФЗ. Оператор не осуществляет обработку биометрических персональных данных и не размещает их в единой биометрической системе.

4. Принципы обработки персональных данных

4.1. Обработка персональных данных осуществляется Оператором на основе следующих принципов (ст. 5 Закона № 152-ФЗ):

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;
• не допускается объединение баз данных, обработка персональных данных в которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только те персональные данные, которые отвечают целям их обработки;
• содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки; обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям их обработки;
• при обработке обеспечиваются точность персональных данных, их достаточность и актуальность; Оператор принимает необходимые меры по удалению или уточнению неполных или неточных данных;
• хранение осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки;
• обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных ч. 1 ст. 6 Закона № 152-ФЗ. Согласие оформляется в письменной форме либо в форме, позволяющей подтвердить факт его получения, отдельно от иных документов (в том числе отдельно от текста публичной оферты и правил проведения мероприятий).

5.2. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение персональных данных.

5.3. Обработка осуществляется смешанным способом: с использованием средств автоматизации (персональные компьютеры, CRM-система, электронная почта, мессенджеры) и без использования средств автоматизации (журналы учёта, бумажные экземпляры договоров и согласий) с соблюдением требований законодательства.

5.4. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании договора, содержащего перечень действий (операций) с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных, а также требования к защите обрабатываемых персональных данных (ч. 3 ст. 6 Закона № 152-ФЗ).

5.5. Трансграничная передача персональных данных Оператором не осуществляется.

5.6. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных (ст. 16 Закона № 152-ФЗ).

5.7. Обработка персональных данных в целях продвижения услуг Оператора на рынке путём осуществления прямых контактов с субъектом с помощью средств связи, а также в целях политической агитации, допускается только при условии предварительного согласия субъекта. По требованию субъекта Оператор незамедлительно прекращает такую обработку (ч. 1, 2 ст. 15 Закона № 152-ФЗ).

5.8. Условиями прекращения обработки персональных данных являются: достижение целей обработки либо утрата необходимости в их достижении; отзыв субъектом согласия на обработку; истечение срока обработки, установленного п. 3.1 Политики; выявление неправомерной обработки персональных данных.

5.9. Оператор обеспечивает конфиденциальность персональных данных: лица, получившие доступ к персональным данным, не раскрывают их третьим лицам и не распространяют без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Закона № 152-ФЗ).

6. Особенности обработки изображений. Видеонаблюдение

6.1. В помещениях Клуба осуществляется видеонаблюдение в целях обеспечения безопасности участников мероприятий, работников и сохранности имущества Оператора. О ведении видеонаблюдения субъекты информируются посредством размещения на входе и в зонах наблюдения информационных табличек (пиктограмм) с указанием наименования и контактных данных Оператора.

6.2. Срок хранения видеозаписей составляет не более 30 суток, по истечении которых записи уничтожаются автоматически путём перезаписи, если больший срок не требуется для рассмотрения обращения субъекта, разрешения спора или предоставления записи по законному запросу уполномоченного органа.

6.3. Фото- и видеосъёмка мероприятий осуществляется с согласия участников. О проведении съёмки участники уведомляются до начала мероприятия.

6.4. Размещение (распространение) фото- и видеоматериалов с изображениями участников на сайте Оператора, в социальных сетях и мессенджерах осуществляется исключительно на основании отдельного согласия субъекта на обработку персональных данных, разрешённых субъектом для распространения (ст. 10.1 Закона № 152-ФЗ), оформленного по форме, отвечающей требованиям приказа Роскомнадзора от 24.02.2021 № 18. Молчание или бездействие субъекта ни при каких обстоятельствах не может рассматриваться как согласие на распространение.

6.5. Субъект персональных данных вправе в любое время потребовать от Оператора прекращения передачи (распространения, предоставления, доступа) своих персональных данных. Такое требование должно содержать сведения, предусмотренные ч. 12 ст. 10.1 Закона № 152-ФЗ, и подлежит исполнению Оператором незамедлительно.

7. Сроки обработки и порядок уничтожения персональных данных

7.1. Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки. Конкретные сроки установлены п. 3.1 Политики.

7.2. В случае достижения цели обработки, утраты необходимости в её достижении, а также в случае отзыва субъектом согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты наступления соответствующего обстоятельства, если иное не предусмотрено договором с субъектом либо федеральным законом.

7.3. В случае выявления неправомерной обработки персональных данных Оператор прекращает неправомерную обработку в срок, не превышающий трёх рабочих дней с даты выявления. При невозможности обеспечения правомерности обработки Оператор уничтожает персональные данные в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки, и уведомляет об этом субъекта.

7.4. Уничтожение персональных данных подтверждается актом об уничтожении персональных данных и (или) выгрузкой из журнала регистрации событий в информационной системе персональных данных, оформляемыми в соответствии с приказом Роскомнадзора от 28.10.2022 № 179.

7.5. Материальные носители персональных данных (анкеты, журналы, бумажные экземпляры согласий и договоров) уничтожаются способом, исключающим возможность восстановления информации (измельчение в шредере), с составлением акта.

8. Права субъектов персональных данных и порядок их реализации

8.1. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных Оператором, в том числе: подтверждение факта обработки, цели обработки, способы обработки, сведения о лицах, имеющих доступ к персональным данным, перечень обрабатываемых данных, источник их получения, сроки обработки и хранения;
• требовать от Оператора уточнения, блокирования или уничтожения его персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• выдвигать условие предварительного согласия при обработке персональных данных в целях продвижения на рынке товаров, работ и услуг;
• отозвать согласие на обработку персональных данных, а также направить требование о прекращении обработки персональных данных;
• обжаловать в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор, rkn.gov.ru) или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

8.2. Субъект персональных данных обязан:

• предоставлять Оператору достоверные данные о себе;
• сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.

8.3. Лица, передавшие Оператору недостоверные сведения о себе либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством Российской Федерации.

8.4. Запрос субъекта персональных данных (его представителя) направляется Оператору по адресу, указанному в п. 1.2 Политики, в том числе по адресу электронной почты. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта или его представителя. Запрос может быть направлен в форме электронного документа, подписанного электронной подписью.

8.5. Оператор предоставляет запрашиваемые сведения в течение десяти рабочих дней с даты получения запроса. Указанный срок может быть продлён, но не более чем на пять рабочих дней, с направлением субъекту уведомления с обоснованием продления.

8.6. В случае выявления неточных персональных данных Оператор осуществляет их блокирование на период проверки (не более семи рабочих дней), а при подтверждении неточности — уточняет персональные данные в течение семи рабочих дней и снимает блокирование.

8.7. При отзыве субъектом согласия на обработку персональных данных Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, за исключением случаев, когда обработка может быть продолжена при наличии оснований, предусмотренных пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона № 152-ФЗ.

8.8. Отказ в предоставлении сведений допускается только по основаниям, предусмотренным ч. 8 ст. 14 Закона № 152-ФЗ, оформляется в письменной форме и должен быть мотивированным.

8.9. Обращения и запросы субъектов, а также сведения о принятых по ним мерах регистрируются Оператором в журнале учёта обращений субъектов персональных данных.

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает следующие организационные меры (ст. 18.1, 19 Закона № 152-ФЗ):

• назначение лица, ответственного за организацию обработки персональных данных;
• издание и утверждение локальных актов по вопросам обработки и защиты персональных данных, определяющих в том числе порядок предотвращения и выявления нарушений законодательства и устранения их последствий;
• ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства и локальными актами Оператора под подпись, отбор обязательств о неразглашении, обучение работников;
• осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства не реже одного раза в год;
• проведение оценки вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, в соответствии с приказом Роскомнадзора от 27.10.2022 № 178;
• определение угроз безопасности персональных данных и уровня защищённости информационных систем персональных данных в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119;
• установление правил доступа к персональным данным, обрабатываемым в информационных системах, а также порядка доступа в помещения, в которых ведётся обработка;
• раздельное хранение материальных носителей, обработка персональных данных на которых осуществляется в различных целях;
• учёт машинных носителей персональных данных;
• регистрация и учёт всех действий, совершаемых с персональными данными в информационных системах.

9.2. Оператор принимает следующие технические меры:

• применение средств антивирусной защиты и межсетевого экранирования;
• разграничение прав доступа пользователей, парольная защита рабочих станций и учётных записей;
• использование защищённых каналов связи (шифрование трафика по протоколу TLS) при передаче персональных данных;
• резервное копирование баз данных и восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• хранение материальных носителей в запираемых шкафах (сейфах), исключающих доступ посторонних лиц;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, включая меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак.

9.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор: в течение 24 часов с момента выявления инцидента — о произошедшем инциденте, предполагаемых причинах и предполагаемом вреде, а также о принятых мерах; в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (ч. 3.1 ст. 21 Закона № 152-ФЗ).

10. Ответственный за организацию обработки персональных данных

10.1. Лицо, ответственное за организацию обработки персональных данных, назначается приказом Оператора. Сведения о нём: Костычев Илья Александрович, телефон: +7 933 093 9988, адрес электронной почты: gobiz@list.ru.

10.2. Ответственный получает указания непосредственно от Оператора и подотчётен ему. В его обязанности входит: осуществление внутреннего контроля за соблюдением законодательства о персональных данных; доведение до сведения работников положений законодательства и локальных актов; организация приёма и обработки обращений и запросов субъектов персональных данных и контроль за их рассмотрением (ст. 22.1 Закона № 152-ФЗ).

11. Ответственность

11.1. Лица, виновные в нарушении требований законодательства Российской Федерации в области персональных данных, несут ответственность, предусмотренную ст. 13.11 Кодекса Российской Федерации об административных правонарушениях, ст. 137 Уголовного кодекса Российской Федерации, а также гражданско-правовую и дисциплинарную ответственность.

12. Заключительные положения

12.1. Настоящая Политика вступает в силу с даты её утверждения приказом Оператора и действует бессрочно до замены её новой редакцией.

12.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её утверждения и обеспечения к ней неограниченного доступа в порядке, предусмотренном п. 1.4 Политики.

12.3. Предыдущие редакции Политики хранятся Оператором с указанием периода их действия.

12.4. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.