Политика обработки персональных данных

Оператор персональных данных — Индивидуальный предприниматель Повалишин Евгений Сергеевич, ИНН 502717532327, ОГРНИП 317502700055516 (далее — оператор, «мы»).

Адрес для любых обращений по обработке персональных данных — vsembeg@begi.club. Обращения по почте рассматриваются в порядке раздела 13.

Политика действует в отношении сайта https://sh.begi.club и всех его разделов и определяет порядок обработки персональных данных и меры по обеспечению их безопасности. Политика опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Сервис предназначен для совершеннолетних. Мы не собираем сознательно данные лиц младше 18 лет; если такие данные попали к нам, они удаляются по обращению на адрес выше.

Понятия «персональные данные», «обработка», «оператор», «распространение», «уничтожение» и другие используются в значениях статьи 3 Федерального закона № 152-ФЗ.

Пользователь — человек, зарегистрировавший учётную запись. Профиль — карточка спортсмена или тренера в клубе; она может существовать и до того, как человек завёл учётную запись, — её заводит тренер или администратор клуба, чтобы вести занятия.

Мы обрабатываем персональные данные на следующих правовых основаниях:

• согласие субъекта персональных данных — пункт 1 части 1 статьи 6 и статья 9 Закона № 152-ФЗ; согласие даётся отдельным действием при регистрации и может быть отозвано в любой момент
• исполнение договора, стороной которого является субъект персональных данных, — пункт 5 части 1 статьи 6: без обработки данных пользоваться сервисом невозможно
• отдельное согласие на распространение — статья 10.1 Закона № 152-ФЗ; только для публичного профиля и только по решению самого человека (раздел 8)
• исполнение обязанностей, возложенных на оператора законодательством, — пункт 2 части 1 статьи 6: в частности, обязанность подтвердить получение согласия (часть 3 статьи 9), для чего сохраняется запись о согласии и его отзыве

Посетители сайта. Технические данные соединения: IP-адрес, сведения о браузере и устройстве (User-Agent), дата и время запроса — в журналах сервера.

Пользователи (учётная запись). Адрес электронной почты; имя — если человек указал его сам, при регистрации оно не спрашивается; отметка о подтверждении почты; пароль — только в виде необратимого криптографического преобразования (хеша), в исходном виде он нам неизвестен. При входе через Яндекс ID мы получаем от провайдера имя, адрес электронной почты и, если он есть, адрес изображения профиля. Для каждой сессии сохраняются IP-адрес и User-Agent.

Спортсмены. Фамилия и имя; дата рождения либо возраст; контактные данные — адрес электронной почты, номер телефона, имя пользователя в Telegram; клубы, в которых состоит человек, и дата вступления; посещаемость тренировок; домашние задания; результаты забегов и тестирования; полученные достижения.

Тренеры. Фамилия и имя; клубы; проведённые тренировки.

Согласия. Факт и дата согласия, редакция документа, на которую оно дано, факт и дата отзыва, IP-адрес и User-Agent в момент согласия.

Специальные категории персональных данных (о состоянии здоровья, расовой и национальной принадлежности, политических взглядах, религиозных убеждениях) и биометрические персональные данные мы не собираем и не обрабатываем. Просим не вносить сведения о здоровье в свободные поля — например, в текст домашнего задания.

Часть данных спортсмена вносит не он сам, а тренер или администратор клуба — чтобы вести занятия. Ответственность за то, что человек знает об этом и не возражает, лежит на клубе; по обращению на адрес из раздела 1 мы покажем такому человеку всё, что о нём хранится, и удалим по требованию.

• регистрация, вход, подтверждение адреса электронной почты и восстановление пароля — имя, почта, хеш пароля, данные сессии
• ведение занятий в клубе: посещаемость, домашние задания, результаты, достижения, отчёты клуба — данные профиля спортсмена и тренера
• связь тренера и администратора клуба со спортсменом — контактные данные; посторонним они не показываются
• публичная витрина результатов по решению самого человека — данные из раздела 8
• обеспечение работоспособности и безопасности сервиса, выявление и расследование инцидентов — технические данные соединения и сессий
• подтверждение получения и отзыва согласия — записи о согласиях

Для рекламы, маркетинговых рассылок, профилирования и оценки поведения персональные данные не используются. Электронные письма мы отправляем только по существу работы сервиса: подтверждение почты, восстановление пароля, приглашение в клуб.

Обработка смешанная: с использованием средств автоматизации и без них. Совершаемые действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Решения, порождающие юридические последствия или иным образом затрагивающие права и законные интересы человека, исключительно на основании автоматизированной обработки персональных данных не принимаются (статья 16 Закона № 152-ФЗ).

Сайт использует одну техническую cookie — идентификатор сессии, без которого невозможно оставаться в системе после входа. Сторонних систем аналитики, счётчиков и рекламных сетей на сайте нет.

Согласие на обработку персональных данных даётся при регистрации отдельным действием — отметкой, не связанной с принятием других документов, как того требует часть 1 статьи 9 Закона № 152-ФЗ. Мы сохраняем факт согласия, его дату, редакцию документа и технические данные соединения.

Согласие можно отозвать в любой момент письмом на vsembeg@begi.club. После отзыва мы прекращаем обработку и уничтожаем данные в срок, указанный в разделе 11, кроме случаев, когда закон разрешает продолжить обработку без согласия (часть 2 статьи 9). Отзыв согласия делает невозможным пользование сервисом: без этих данных вести занятия и хранить учётную запись нельзя.

По умолчанию профиль закрыт: его видят только сам человек, участники его клубов и тренеры. Человек может открыть свой профиль неограниченному кругу лиц — для этого он даёт отдельное согласие на распространение персональных данных (статья 10.1 Закона № 152-ФЗ). Настоящий раздел публикует условия такой обработки во исполнение части 10 той же статьи.

Распространению подлежат:

• фамилия и имя
• клубы, в которых состоит
• личные рекорды (дистанция, результат, дата и название пробега)
• история забегов: пробег, дистанция, результат, дата
• будущие старты: пробег, дистанция, дата, город
• достижения («ачивки»), полученные в клубе

Не распространяются ни при каких условиях:

• дата рождения и возраст
• контакты: почта, телефон, телеграм
• посещаемость тренировок
• домашние задания
• результаты тестирования

Условия и запреты. Распространение осуществляется только на сайте https://sh.begi.club и только в объёме перечня выше. Передача распространяемых данных третьим лицам, их обработка неограниченным кругом лиц в иных целях, включая рекламные, а также размещение на других ресурсах оператором не осуществляются.

Срок и отзыв. Согласие действует, пока человек держит профиль открытым. Оно прекращается в момент, когда он снимает соответствующую отметку в профиле, — данные немедленно перестают быть доступны посторонним. Того же можно потребовать письмом на vsembeg@begi.club: требование исполняется незамедлительно (часть 12 статьи 10.1).

Карточку, не привязанную к учётной записи, открыть наружу нельзя: согласие на распространение даёт только сам человек. Публичность карточки тренера включает оператор, получив его согласие вне платформы; отметка о том, кто это подтвердил, сохраняется.

Персональные данные не продаются и не передаются третьим лицам, кроме следующих случаев:

• ООО «Клауд» (облачная платформа Cloud.ru) — размещение сервера и базы данных; обработка по поручению оператора, серверы на территории России
• ООО «Яндекс.Облако» (Yandex Cloud Postbox) — доставка служебных писем: подтверждение почты, восстановление пароля, приглашение в клуб; передаётся адрес получателя и текст письма
• ООО «Яндекс» (Яндекс ID) — при входе через Яндекс: мы получаем от провайдера данные профиля, но своих данных ему не передаём
• уполномоченные государственные органы — в случаях, объёме и порядке, установленных законодательством Российской Федерации

Трансграничная передача персональных данных не осуществляется. Внешние чаты клубов (например, в мессенджерах) ведут сами клубы: мы храним только ссылку и не передаём туда никаких данных, переход по ссылке добровольный.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

Данные учётной записи и профиля хранятся, пока действует учётная запись и не отозвано согласие. Достижение цели обработки, отзыв согласия или требование об уничтожении влекут прекращение обработки и уничтожение данных в срок, не превышающий 30 дней с даты обращения (статья 21 Закона № 152-ФЗ), если законом не установлена обязанность хранить их дольше.

Записи о согласиях и их отзыве сохраняются и после отзыва — как доказательство того, что согласие было получено и когда оно прекращено (часть 3 статьи 9). Технические журналы хранятся не дольше, чем нужно для обеспечения безопасности и разбора инцидентов.

Мы принимаем правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения (статьи 18.1 и 19 Закона № 152-ФЗ). В частности:

• доступ к данным закрыт по умолчанию: любой запрос к сервису требует входа, кроме страниц, открытых сознательно (вход, публичный профиль, ссылка-приглашение)
• область видимости ограничена: человек видит только свои клубы и клубы своей компании; данные чужой организации недоступны
• внутри клуба объём данных зависит от роли: контакты и дата рождения доступны самому человеку и тренерскому составу, но не другим участникам
• границы доступа закреплены автоматическими тестами, которые выполняются при каждом изменении кода: расширить доступ незаметно нельзя
• пароли хранятся только в виде хеша; адрес электронной почты подтверждается при регистрации
• соединение с сайтом защищено протоколом HTTPS
• доступ сотрудников и подрядчиков к данным ограничен служебной необходимостью

Шифровальные (криптографические) средства защиты информации, подлежащие сертификации, не применяются.

В соответствии со статьями 14–20 Закона № 152-ФЗ вы вправе:

• получить сведения об обработке ваших персональных данных: основания и цели, способы, сроки, кому передаются
• требовать уточнения данных, если они неполные, устаревшие или неточные
• требовать блокирования или уничтожения данных, если они обрабатываются незаконно или больше не нужны для заявленной цели
• отозвать согласие на обработку и на распространение
• обжаловать действия оператора в Роскомнадзоре или в суде

Обращение направляется на vsembeg@begi.club. В нём нужно указать фамилию, имя, отчество, сведения, подтверждающие ваше отношение к оператору (например, адрес электронной почты вашей учётной записи), и суть требования. Мы отвечаем в течение 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением (статья 20 Закона № 152-ФЗ).

При установлении факта неправомерной или случайной передачи персональных данных, повлекшей нарушение прав их субъектов, оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона № 152-ФЗ), а также принимает меры по устранению последствий.

Оператор вправе изменять настоящую политику. Действующая редакция всегда доступна по этому адресу; дата редакции указана в начале документа. Если изменения затрагивают объём обрабатываемых данных или цели обработки, согласие запрашивается заново.