Политика обработки персональных данных

1. Общие положения

1.1. Политика определяет, как Индивидуальный предприниматель Запороцкий Павел Александрович, ИНН 230903448207, ОГРНИП 320237500052191, адрес: pr@prsport.ru (далее — оператор), обрабатывает персональные данные. Оператор ведёт деятельность спортивного агентства под обозначением PRSport и сайт prsport.ru (далее — сайт).

1.2. Политика действует для всех персональных данных, которые обрабатывает оператор: полученных через сайт, при заключении и исполнении договоров и при подготовке публикаций о проектах. Оператор публикует политику на сайте, доступ к ней открыт всем (ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон).

1.3. Вопросы о персональных данных, запросы, требования и отзыв согласия: почта pr@prsport.ru или письмо по адресу pr@prsport.ru. За организацию обработки персональных данных отвечает сам оператор.

1.4. Термины используются в значении ст. 3 Закона. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Обработка — любое действие с персональными данными: от сбора до уничтожения.

1.5. Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей, в объёме, который нужен для этих целей, и не дольше, чем этого требуют цели (ст. 5 Закона). Данные, собранные для разных целей, в одну базу не объединяются, если цели несовместимы.

К оглавлению

2. Чьи данные обрабатываются

• посетители сайта;
• люди, которые отправили форму «Заявка»: спортсмены, тренеры, родители или иные законные представители спортсменов младше 18 лет, представители клубов, организаторов, брендов и компаний;
• люди, которые отправили форму «Партнёрство»: представители брендов и спонсоров, редакций и блогеры, спортивные агенты, представители продакшн-компаний;
• клиенты и партнёры оператора — физические лица, их законные представители, представители клиентов и партнёров — организаций и индивидуальных предпринимателей;
• участники команды агентства, клиенты, участники проектов и авторы отзывов, которые дали согласие на публикацию;
• люди, которые обратились к оператору по вопросам своих персональных данных, и их представители.

Специальные категории персональных данных (о здоровье, взглядах, убеждениях и иные из ч. 1 ст. 10 Закона) и биометрические данные оператор через сайт не запрашивает и не обрабатывает. В текстовых полях форм такие сведения писать не нужно. Если для работы по договору они понадобятся, оператор попросит письменное согласие (п. 1 ч. 2 ст. 10 Закона).

К оглавлению

3. Цели, данные, основания и сроки

Цель 1. Ответить на заявку на услуги, обсудить задачу и подготовить предложение

• Чьи данные: отправители формы «Заявка».
• Данные: кто вы — выбор из списка (спортсмен или тренер, клуб или организатор, бренд или компания); имя или название; телефон или адрес электронной почты; текст в поле «Что нужно», если вы его заполнили; страница, с которой отправлена заявка; направление услуг; рекламные метки из адреса страницы; дата и время отправки; редакция согласия, действовавшая в момент отправки.
• Основание: согласие (п. 1 ч. 1 ст. 6 Закона). Сведения о спортсмене младше 18 лет — с согласия его законного представителя (раздел 8).
• Срок: пока идёт обсуждение, но не дольше 12 месяцев с последнего контакта. Если вы отказались от услуг или попросили удалить заявку — уничтожение в течение 30 дней. Если заключён договор, данные обрабатываются по цели 3.
• Уничтожение: удаление записи из базы данных сайта и писем из почты, запись в журнале событий, акт (раздел 7).

Цель 2. Рассмотреть предложение о партнёрстве и ответить на него

• Чьи данные: отправители формы «Партнёрство».
• Данные: кто вы — выбор из списка (бренд или спонсор, редакция или блогер, спортивный агент, продакшн, другое); компания или имя; телефон или адрес электронной почты; текст в поле «Что предлагаете»; дата и время отправки; редакция согласия, действовавшая в момент отправки.
• Основание: согласие (п. 1 ч. 1 ст. 6 Закона).
• Срок: пока идёт обсуждение, но не дольше 12 месяцев с последнего контакта; после отказа — уничтожение в течение 30 дней; после заключения договора — по цели 3.
• Уничтожение: как по цели 1.

Цель 3. Заключить и исполнить договор

• Чьи данные: клиенты и партнёры — физические лица; законные представители клиентов младше 18 лет; представители клиентов и партнёров — организаций и индивидуальных предпринимателей.
• Данные: фамилия, имя, отчество; телефон; адрес электронной почты; организация и должность — для представителей; дата рождения спортсмена — только если ему нет 18 лет, чтобы определить, кто подписывает договор; паспортные данные и адрес регистрации — если они нужны для договора; банковские реквизиты — для расчётов; сведения о задаче и работе по договору, переписка по нему.
• Основание: договор, стороной которого является человек, и подготовка договора по его инициативе (п. 5 ч. 1 ст. 6 Закона); для законных представителей и представителей организаций — законный интерес оператора в заключении и исполнении договора (п. 7 ч. 1 ст. 6 Закона); хранение документов налогового учёта — обязанность по закону (п. 2 ч. 1 ст. 6 Закона, пп. 8 п. 1 ст. 23 Налогового кодекса РФ).
• Срок: срок действия договора; документы налогового учёта — 5 лет; переписка — 3 года после исполнения договора (ст. 196 Гражданского кодекса РФ).
• Уничтожение: удаление электронных записей, бумажные документы — измельчение; акт (раздел 7).

Цель 4. Рассказать о проектах и команде агентства

• Чьи данные: участники команды агентства, клиенты, участники проектов и авторы отзывов, которые дали согласие на публикацию.
• Данные: в объёме, указанном в согласии: фамилия, имя, отчество; фотография и видеоизображение; роль в проекте или должность; вид спорта, клуб и спортивные достижения; сведения о совместной работе; текст отзыва.
• Основание: согласие на обработку персональных данных, разрешённых для распространения (ст. 10.1 Закона), и согласие на использование изображения (ст. 152.1 ГК РФ). Оба согласия — отдельные письменные документы.
• Где публикуется: на сайте prsport.ru, на странице агентства во «ВКонтакте» и в канале агентства в Telegram — только там, где человек разрешил в согласии.
• Срок: до отзыва согласия или окончания срока, указанного в нём. По требованию публикация снимается в течение трёх рабочих дней.
• Уничтожение: снятие публикации, удаление файлов с сервера и из рабочих папок, акт (раздел 7).

Цель 5. Понять, какие страницы читают и откуда приходят заявки, чтобы улучшать сайт

• Чьи данные: посетители сайта, которые нажали «Разрешить аналитику» в окне о cookie.
• Данные: IP-адрес; город, определённый по IP-адресу; идентификаторы cookie Яндекс Метрики; тип устройства, операционная система, браузер, разрешение экрана, язык браузера; адреса просмотренных страниц, источник перехода и рекламные метки; дата, время и длительность посещения; нажатия на ссылки и кнопки, прокрутка страниц.
• Основание: согласие на обработку данных о посещении сайта (п. 1 ч. 1 ст. 6 Закона) — отдельный документ на странице /soglasie-cookie/.
• Срок: 12 месяцев с даты согласия или до его отзыва.
• Уничтожение: после отзыва Метрика не загружается, её cookie удаляются; по требованию данные о посещениях удаляются средствами Яндекс Метрики, если по сведениям из обращения их можно отличить от данных других посетителей.

Цель 6. Обеспечить работу и защиту сайта

• Чьи данные: все посетители сайта.
• Данные: журналы сервера — IP-адрес, дата и время запроса, адрес запрошенной страницы, код ответа сервера, сведения о браузере; необходимые cookie — выбор в окне о cookie.
• Основание: законный интерес оператора — работа сайта и его защита от атак и спама (п. 7 ч. 1 ст. 6 Закона). Права посетителей не нарушаются: состав данных минимальный, содержимое форм в журналы не попадает, доступ к журналам есть только у того, кто администрирует сервер, с заявками журналы сопоставляются только при разборе инцидента.
• Срок: журналы сервера — 30 дней; если за этот срок выявлен инцидент — выгрузка журналов за его период хранится до окончания внутреннего расследования и проверки по нему; выбор в окне о cookie — 12 месяцев; отметка защиты форм — до конца сеанса.
• Уничтожение: автоматическое удаление по истечении срока.

Цель 7. Ответить на запросы и требования по персональным данным

• Чьи данные: люди, которые обратились к оператору по вопросам своих данных, и их представители.
• Данные: фамилия, имя, отчество; контакты для ответа; сведения из обращения, по которым можно найти данные; реквизиты документа, подтверждающего полномочия представителя; содержание запроса и ответа.
• Основание: исполнение обязанностей оператора по ст. 14, 20 и 21 Закона (п. 2 ч. 1 ст. 6 Закона).
• Срок: 3 года с даты ответа.
• Уничтожение: удаление электронных записей, бумажные документы — измельчение.

Данные не используются для рассылок и рекламы и не передаются третьим лицам для их рекламы.

К оглавлению

4. Что оператор делает с данными

4.1. Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — только лицам из раздела 6, блокирование, удаление, уничтожение. Распространение — раскрытие данных неопределённому кругу лиц — только по цели 4 и только с отдельного согласия.

4.2. Люди, которые разрешили публиковать свои данные, вправе запретить или ограничить их обработку другими лицами (ч. 9 ст. 10.1 Закона). Сведения об условиях обработки опубликованных данных и о наличии таких запретов и условий оператор размещает в блоке «Условия обработки опубликованных данных» в конце этой страницы не позднее трёх рабочих дней после получения каждого согласия (ч. 10 ст. 10.1 Закона).

4.3. Обработка смешанная: с помощью компьютера (сайт, админка, почта) и без него — когда человек читает заявку и отвечает на неё или работает с бумажным договором. Решений, которые порождают для человека юридические последствия или иначе затрагивают его права, на основании исключительно автоматизированной обработки оператор не принимает.

К оглавлению

5. Где хранятся данные

5.1. Заявки и предложения хранятся в базе данных сайта на облачном сервере в России, копия заявки приходит в почту на домене prsport.ru, почтовые серверы — в России. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России ведутся с использованием баз данных в России (ч. 5 ст. 18 Закона).

5.2. В мессенджер Telegram приходит только сигнал «пришла новая заявка» — без имени, контактов и текста. Переписку по заявкам и договорам оператор ведёт по телефону и почте на домене prsport.ru.

5.3. Трансграничной передачи персональных данных (ст. 12 Закона) оператор не осуществляет. Telegram принадлежит иностранной компании, данные там хранятся за пределами России, поэтому публикация данных людей в канале агентства в Telegram была бы такой передачей. Такие публикации оператор начнёт только после уведомления Роскомнадзора (ч. 3 ст. 12 Закона) и с новой редакцией этой политики.

5.4. Шрифты и скрипты сайта загружаются с его собственного сервера. Сторонний сервис на сайте один — Яндекс Метрика, и она работает только после согласия.

К оглавлению

6. Кому поручается обработка и кому передаются данные

6.1. Оператор поручает часть обработки по договору (ч. 3 ст. 6 Закона):

• Общество с ограниченной ответственностью «Регистратор доменных имен РЕГ.РУ» (REG.RU), 125315, г. Москва, вн.тер.г. муниципальный округ Аэропорт, Ленинградский пр-кт, д. 72, к. 3 — облачный сервер в России: хранение базы данных сайта и журналов сервера;
• ООО «ЯНДЕКС 360 для бизнеса», 119021, г. Москва, ул. Тимура Фрунзе, д. 11, стр. 44 — почта на домене prsport.ru (сервис Яндекс 360 для бизнеса): доставка и хранение писем;
• ООО «ЯНДЕКС», 119021, г. Москва, ул. Льва Толстого, д. 16, — сервис Яндекс Метрика, только по цели 5 и только после согласия.

6.2. Эти лица обязаны соблюдать принципы и правила обработки по Закону, хранить конфиденциальность данных, обеспечивать их безопасность и сообщать оператору об инцидентах. Ответственность перед вами за их действия несёт оператор (ч. 5 ст. 6 Закона).

6.3. Другим лицам данные передаются только в случаях, предусмотренных законом, — например, по запросу суда или государственного органа. Оператор не продаёт данные и не публикует их без согласия по ст. 10.1 Закона.

К оглавлению

7. Сроки хранения и уничтожение

7.1. Сводка сроков:

7.2. Когда цель достигнута или срок истёк, оператор уничтожает данные в течение 30 дней (ч. 4 ст. 21 Закона). Из резервных копий данные уходят при их плановой замене, не позже чем через 30 дней.

7.3. Уничтожение данных, обработанных с помощью компьютера, подтверждается актом об уничтожении и выгрузкой из журнала событий, бумажных — актом (Требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179). Акты и выгрузки хранятся три года.

К оглавлению

8. Данные несовершеннолетних

8.1. Формы на сайте заполняют совершеннолетние. Если спортсмену нет 18 лет, заявку оставляет его родитель или иной законный представитель: он даёт согласие за себя и за спортсмена.

8.2. Через форму оператор получает данные законного представителя и только те сведения о спортсмене, которые представитель сам укажет в описании задачи. Полномочия представителя оператор проверяет при заключении договора по документу, копию документа не снимает (ч. 1 ст. 9 Закона).

8.3. Публикация данных и изображения несовершеннолетнего — только с письменного согласия законного представителя, а со спортсменом от 14 лет — и с его согласия.

К оглавлению

9. Ваши права и как ими пользоваться

9.1. Вы вправе:

• получить сведения о том, обрабатывает ли оператор ваши данные, какие, зачем, на каком основании, как и сколько хранит, кому поручает обработку (ч. 7 ст. 14 Закона);
• потребовать уточнить данные, заблокировать или уничтожить их, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели (ч. 1 ст. 14 Закона);
• отозвать согласие (ч. 2 ст. 9 Закона);
• потребовать прекратить обработку (ч. 5.1 ст. 21 Закона);
• потребовать снять публикацию своих данных (ст. 10.1 Закона);
• обжаловать действия оператора в Роскомнадзоре или в суде (ст. 17 Закона).

9.2. Как обратиться: письмом на pr@prsport.ru или по адресу pr@prsport.ru. Чтобы найти ваши данные, укажите имя и телефон или почту, которые вы оставили в форме. Если обращается представитель, приложите документ о полномочиях.

9.3. Сроки ответа:

• сведения о ваших данных — в течение 10 рабочих дней с даты обращения; срок может быть продлён не более чем на 5 рабочих дней, о причинах оператор сообщит (ст. 14 и 20 Закона);
• уточнение неточных данных — в течение 7 рабочих дней с даты получения подтверждающих сведений (ч. 2 ст. 21 Закона);
• требование прекратить обработку — не позднее 10 рабочих дней с даты получения, с возможным продлением до 5 рабочих дней, кроме случаев из п. 2–11 ч. 1 ст. 6 Закона (ч. 5.1 ст. 21 Закона);
• отзыв согласия — прекращение обработки и уничтожение данных в течение 30 дней с даты получения отзыва, если закон или договор не требуют хранить их дальше (ч. 5 ст. 21 Закона);
• требование снять публикацию — в течение трёх рабочих дней.

К оглавлению

10. Cookie и Яндекс Метрика

10.1. Cookie — небольшие файлы, которые сайт сохраняет в вашем браузере. На сайте их два вида:

• необходимые — запоминают ваш выбор в окне о cookie; включены всегда (цель 6);
• аналитические — их ставит Яндекс Метрика (цель 5). Метрика загружается, только если вы нажали «Разрешить аналитику». Нажимая кнопку, вы даёте согласие на обработку данных о посещении сайта (текст согласия). Если вы выбрали «Только необходимые», Метрика не загружается.

10.2. Вебвизор — запись действий на странице — на сайте не используется.

10.3. Таблица cookie сайта: название, кто ставит, зачем, срок хранения.

Перечень cookie Яндекса и их назначение задаёт Яндекс, он может меняться; полный список — на странице справки Яндекс Метрики. После выбора «Только необходимые» сайт удаляет cookie и данные Метрики со своего домена. Cookie на доменах Яндекса сайт удалить не может — их удаляют в настройках браузера.

10.4. Передумали — нажмите «Настройки cookie» внизу любой страницы и выберите заново. Cookie можно удалить и в настройках браузера.

К оглавлению

11. Как защищены данные

Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона:

• утверждены политика и перечень лиц, допущенных к персональным данным: доступ к ним есть только у оператора;
• определён 4-й уровень защищённости персональных данных в информационной системе сайта (Требования, утверждённые постановлением Правительства РФ от 01.11.2012 № 1119), меры защиты ему соответствуют;
• проведена оценка вреда, который может быть причинён при нарушении Закона (Требования, утверждённые приказом Роскомнадзора от 27.10.2022 № 178);
• база данных сайта — на сервере в России, данные между браузером и сайтом передаются по защищённому соединению HTTPS (протокол TLS);
• вход в админку — в два слоя: пароль на входе сервера и личная учётная запись оператора в системе управления сайтом; просмотр, изменение и удаление записей фиксируются в журнале событий;
• резервные копии хранятся не дольше 30 дней;
• оператор контролирует соблюдение политики и пересматривает её при изменении обработки.

К оглавлению

12. Если данные утекли

Если оператор обнаружил неправомерную или случайную передачу персональных данных, которая нарушила права людей, он:

• в течение 24 часов сообщает об инциденте в Роскомнадзор: что произошло, предполагаемые причины и вред, принятые меры, контактное лицо;
• в течение 72 часов сообщает о результатах расследования и о тех, кто причастен, если они выявлены (ч. 3.1 ст. 21 Закона);
• устраняет последствия и сообщает людям, чьих данных это коснулось.

К оглавлению

13. Изменения политики

Оператор вправе менять политику. Новая редакция действует с даты публикации на этой странице, дата редакции стоит в начале документа. Прошлые редакции оператор хранит и выдаёт по запросу.

К оглавлению