Политика обработки персональных данных

Политика распространяется на персональные данные, которые Оператор получает через сайт https://lobbi.pro и веб-сервис https://app.lobbi.pro (далее вместе — Платформа). Политика не распространяется на сайты третьих лиц, на которые ведут ссылки и трансляции.

Термины используются в значении ст. 3 Закона № 152-ФЗ: персональные данные (ПДн), обработка, распространение, предоставление, блокирование, уничтожение, обезличивание, персональные данные, разрешённые субъектом для распространения.

Оператор назначил ответственного за организацию обработки персональных данных. Связаться с ним можно по адресу hello@altair7.ru.

Оператор обрабатывает ПДн на законной и справедливой основе, только для заранее определённых целей и в объёме, необходимом для них, обеспечивает точность данных и хранит их не дольше, чем этого требуют цели обработки (ст. 5 Закона № 152-ФЗ).

Политика опубликована в свободном доступе по адресу https://lobbi.pro/privacy/.

Оператор обрабатывает ПДн следующих категорий субъектов:

• а)зарегистрированные пользователи Платформы (игроки, зрители, организаторы, судьи, представители клубов и федераций);
• б)участники турниров без аккаунта, для которых организатор создал предварительный профиль;
• в)посетители Платформы без регистрации — в объёме технических данных;
• г)лица, обратившиеся к Оператору по e-mail, в том числе правообладатели и заявители жалоб.

Оператор не обрабатывает специальные категории ПДн (ст. 10 Закона № 152-ФЗ) и биометрические ПДн (ст. 11 Закона № 152-ФЗ): фотографии в профиле и публикациях не используются для установления личности. Оператор не запрашивает паспортные данные и не обрабатывает данные банковских карт — их обрабатывают платёжные сервисы (CloudPayments, BelAssist) и платёжный агент; Оператор получает только сведения об оплате (сумма, статус, последние цифры карты, токен для повторных списаний).

Пользователь не должен размещать ПДн третьих лиц без их согласия.

Ссылки на статьи в таблице даны на Закон № 152-ФЗ, если не указано иное. При отзыве согласия Оператор вправе продолжить обработку без согласия при наличии иных оснований, указанных в п. 2–11 ч. 1 ст. 6 Закона № 152-ФЗ (ч. 2 ст. 9).

Публичная часть профиля и Спортивные данные становятся доступны неограниченному кругу лиц только на основании отдельного согласия на распространение персональных данных (ст. 10.1 Закона № 152-ФЗ). Это согласие оформляется отдельно от иных согласий и даётся отдельной отметкой при регистрации.

Общедоступными могут быть:

• а)ник, адрес профиля и история их изменений;
• б)аватар, обложка, сведения о себе, город, страна, ссылки, интересы — если вы их заполнили;
• в)настоящее имя — только если вы включили его показ;
• г)публикации, фотографии, комментарии и реакции — в пределах выбранной вами видимости;
• д)подписки и подписчики, клубы, роли на Платформе, отметка о верификации;
• е)Спортивные данные — с момента их раскрытия организатором;
• ж)ник, очки и места в таблицах фэнтези и прогнозов.

Никогда не распространяются: e-mail, пароль, IP-адрес, данные о сеансах, сохранённое, черновики, жалобы и их авторы, заявки на роль организатора, уведомления и обращения к Оператору.

Вы вправе установить запреты на передачу (кроме предоставления доступа) ваших данных неограниченному кругу лиц, запреты на их обработку неограниченным кругом лиц или иные условия — в настройках профиля, когда функция доступна, либо заявлением на hello@altair7.ru. Оператор не вправе отказать в установлении запретов и условий и в течение 3 рабочих дней с момента их получения делает сведения о них доступными на странице профиля (ч. 9–10 ст. 10.1).

Оператор технически ограничивает массовый автоматизированный сбор данных с Платформы и запрещает его Пользовательским соглашением, но не может полностью исключить копирование общедоступных сведений третьими лицами. Ответственность за последующую незаконную обработку таких сведений несут лица, которые её осуществляют.

Молчание или бездействие не считается согласием на распространение (ч. 8 ст. 10.1). Без этого согласия Оператор не сможет предоставить публичные функции Платформы: публичный профиль, публикации и участие в публичных таблицах под вашим ником.

Вы вправе в любой момент потребовать прекратить распространение ваших данных. В требовании укажите ник или адрес профиля (а также фамилию, имя и отчество, если они указаны в профиле), контактный e-mail и перечень данных, распространение которых нужно прекратить. Оператор прекращает распространение в течение 3 рабочих дней с момента получения требования (ч. 12–13 ст. 10.1). Спортивные данные при этом обезличиваются, чтобы сохранить корректность результатов других участников.

Организатор турнира может создать предварительный профиль участника, у которого нет аккаунта. В него вносятся только ник, город (при наличии) и результаты партий турниров этого организатора. Фотографии, контакты, фамилия, имя, дата рождения и иные данные не вносятся.

Организатор действует по поручению Оператора (ч. 3 ст. 6 Закона № 152-ФЗ) в части получения согласия участника. До внесения данных организатор обязан сообщить участнику сведения, предусмотренные ч. 3 ст. 18 Закона № 152-ФЗ (наименование и адрес Оператора, цель и правовое основание обработки, круг лиц, которым будут доступны данные, права субъекта, источник данных), и получить от него согласие на обработку и распространение, адресованное Оператору, по форме, приведённой в согласии на распространение. Согласие может быть получено письменно или в электронной форме, например в форме регистрации на турнир.

Поскольку участник уведомляется организатором при получении согласия, Оператор не направляет ему отдельное уведомление (п. 1 ч. 4 ст. 18 Закона № 152-ФЗ). Сведения об обработке также размещены в настоящем разделе.

Организатор хранит подтверждение согласия и передаёт его Оператору в течение 3 рабочих дней по запросу. Если подтверждение не представлено, Оператор прекращает распространение данных и обезличивает их.

Предварительный профиль помечается как неподтверждённый: посетители видят, что у него нет подтверждённого владельца.

Лицо, данные которого внесены в предварительный профиль, вправе:

• а)получить сведения об обработке своих данных;
• б)потребовать исправить неточные данные;
• в)потребовать прекратить распространение и удалить профиль — распространение прекращается в течение 3 рабочих дней, данные обезличиваются или уничтожаются в срок не более 30 дней;
• г)получить управление профилем: зарегистрироваться и пройти проверку, описанную в разделе 9 Пользовательского соглашения.

Оператор осуществляет следующие действия с ПДн: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ, а в случаях, описанных в разделе 5, — распространение), обезличивание, блокирование, удаление и уничтожение. Обработка смешанная, с использованием средств автоматизации и передачей по сети Интернет.

Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ). Основной сервер расположен в Москве, изображения дополнительно реплицируются в объектное хранилище S3 Timeweb Cloud на территории России.

Трансграничная передача ПДн не осуществляется.

Оператор поручает обработку ПДн третьим лицам на основании договора, обязывающего их соблюдать конфиденциальность и принимать меры защиты по ст. 19 Закона № 152-ФЗ (ч. 3 ст. 6):

• а)ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud) — предоставление вычислительных мощностей и объектного хранилища S3 на территории России для хранения данных Платформы;
• б)провайдер отправки электронной почты на территории России — для доставки служебных писем;
• в)сервис искусственного интеллекта onefast.ai — распознавание изображений протоколов и разбор игры; передаются изображение протокола или обезличенная статистика без ника, имени и контактов;
• г)ООО «КлаудПэйментс» (CloudPayments) — приём оплаты картами российских банков; передаются сумма, номер заказа, e-mail для чека;
• д)платёжный агент ИП Левицкий В. С. (Республика Беларусь, УНП 192485539) и платёжный сервис BelAssist (PaySec) — приём оплаты зарубежными и белорусскими картами; передаются сумма, номер заказа и e-mail; это трансграничная передача в страну, обеспечивающую адекватную защиту прав субъектов ПДн (Республика Беларусь — сторона Конвенции 108);
• е)мессенджер Telegram (Telegram FZ-LLC, ОАЭ) — если пользователь сам входит через Telegram или привязывает его: Оператор получает от Telegram идентификатор, имя, имя пользователя и фото профиля, а в бот направляет только уведомления, включённые пользователем, и его публикации в его же каналы;
• ж)организаторы турниров — в части получения согласий участников для предварительных профилей (раздел 6).

Актуальный перечень лиц, которым поручена обработка, предоставляется по запросу на hello@altair7.ru.

Организаторы и судьи турнира получают доступ к данным участников своего турнира в объёме, необходимом для его проведения: ник, профиль, заявка и её статус, рассадка, протоколы.

Оператор предоставляет ПДн органам государственной власти только по основаниям и в порядке, установленным законом.

Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права, исключительно на основании автоматизированной обработки (ст. 16 Закона № 152-ФЗ). Рейтинги рассчитываются автоматически, но носят информационный характер.

При достижении целей обработки или отзыве согласия ПДн уничтожаются или обезличиваются в срок не более 30 дней (ч. 4–5 ст. 21 Закона № 152-ФЗ), если иное не предусмотрено законом или договором. Если уничтожить данные в этот срок невозможно, они блокируются и уничтожаются в срок не более 6 месяцев (ч. 6 ст. 21). Уничтожение подтверждается в порядке, установленном Роскомнадзором. Резервные копии перезаписываются в течение 30 дней.

Обезличивание спортивных данных означает, что результаты партий сохраняются в таблицах турниров без связи с субъектом: вместо ника отображается «Удалённый игрок».

На Платформе не подключены рекламные трекеры и сторонние системы веб-аналитики, cookies для рекламы и аналитики не используются.

Веб-сервис app.lobbi.pro использует один строго необходимый cookie сеанса «pp_s»: случайный идентификатор, по которому сервер узнаёт, что вы вошли в аккаунт. Cookie недоступен скриптам страницы (httpOnly), передаётся только по HTTPS (Secure), не отправляется на сторонние сайты (SameSite=Lax) и действует до 60 дней или до выхода из аккаунта. На сервере хранится только хэш идентификатора.

Браузер может хранить в локальном хранилище настройки интерфейса (например, выбранный режим ленты) и черновики публикаций. Эти данные остаются на вашем устройстве, пока вы не опубликуете материал.

Cookie сеанса можно удалить или запретить в настройках браузера, но тогда вход в аккаунт будет невозможен.

Если Оператор подключит сервисы аналитики, Политика будет обновлена до их подключения, а в случаях, предусмотренных законом, будет запрошено согласие.

Субъект ПДн вправе:

• а)получить сведения об обработке своих ПДн, перечисленные в ч. 7 ст. 14 Закона № 152-ФЗ, и доступ к своим данным;
• б)потребовать уточнения, блокирования или уничтожения ПДн, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
• в)отозвать согласие на обработку ПДн (ч. 2 ст. 9);
• г)потребовать прекратить распространение ПДн (ч. 12 ст. 10.1);
• д)потребовать прекратить обработку ПДн в целях рассылок (ст. 15);
• е)потребовать прекратить обработку ПДн (ч. 5.1 ст. 21);
• ж)получить копию своих данных в машиночитаемом виде;
• з)обжаловать действия или бездействие Оператора в Роскомнадзор или в суд (ст. 17).

Запрос направляется на hello@altair7.ru с e-mail, указанного в аккаунте, либо почтой по адресу: 115477, г. Москва, ул. Кантемировская, д. 53, к. 1, помещ. 1/1.

В запросе укажите e-mail аккаунта и ник или адрес профиля — эти сведения подтверждают ваше участие в отношениях с Оператором (ч. 3 ст. 14 Закона № 152-ФЗ). Если запрос направлен не с e-mail аккаунта, Оператор вправе запросить дополнительное подтверждение. Законный представитель прикладывает документ, подтверждающий полномочия.

Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней — в этом случае Оператор направляет мотивированное уведомление (ч. 1 ст. 20, ч. 5.1 ст. 21).

Уточнение ПДн выполняется в течение 7 рабочих дней с даты представления подтверждающих сведений (ч. 3 ст. 20); распространение прекращается в течение 3 рабочих дней; при отзыве согласия данные уничтожаются в срок не более 30 дней.

Рассмотрение запросов бесплатно. Отказ в предоставлении сведений даётся мотивированно со ссылкой на основание отказа.

Оператор принимает правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ст. 18.1 и 19 Закона № 152-ФЗ).

Организационные меры:

• а)назначение ответственного за организацию обработки ПДн и издание локальных актов по вопросам обработки ПДн;
• б)ознакомление работников, имеющих доступ к ПДн, с требованиями законодательства и локальными актами;
• в)оценка вреда, который может быть причинён субъектам, определение актуальных угроз и уровня защищённости ПДн в информационной системе;
• г)разграничение доступа: владелец профиля, организатор и судья — только в своих турнирах, администратор — в пределах полномочий;
• д)внутренний контроль соответствия обработки требованиям закона.

Технические меры:

• а)шифрование соединений (HTTPS/TLS);
• б)хранение паролей только в виде стойкого хэша с солью (scrypt), хранение на сервере только хэша идентификатора сеанса;
• в)cookie сеанса с флагами httpOnly и Secure, просмотр и завершение активных сеансов;
• г)ограничение частоты попыток входа и восстановления пароля, одноразовые ссылки восстановления со сроком действия 1 час;
• д)журналирование значимых действий, резервное копирование, своевременное обновление программного обеспечения;
• е)доступ к базе данных только из внутренней сети сервера.

При выявлении неправомерной или случайной передачи (утечки) ПДн Оператор уведомляет Роскомнадзор в течение 24 часов об инциденте и в течение 72 часов о результатах его внутреннего расследования (ч. 3.1 ст. 21 Закона № 152-ФЗ), а при необходимости — сообщает пострадавшим пользователям.

Платформа предназначена для лиц, достигших 16 лет. Пользователи в возрасте от 16 до 18 лет используют Платформу с согласия законных представителей.

Оператор сознательно не обрабатывает ПДн лиц младше 16 лет. Если такой аккаунт выявлен, он удаляется вместе с данными. Законный представитель может направить запрос об удалении на hello@altair7.ru.

Оператор вправе изменять Политику. Новая редакция публикуется по адресу https://lobbi.pro/privacy/ с указанием даты и номера версии и вступает в силу с момента публикации, если в ней не указано иное.

О существенных изменениях Оператор сообщает пользователям в Платформе и (или) по e-mail не менее чем за 10 календарных дней до их вступления в силу. Изменения, требующие нового согласия, применяются только после его получения.