Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет цели, правовые основания, состав, сроки и порядок обработки персональных данных, а также меры по их защите при работе сайта https://racelist.ru (далее — Сайт).

1.2. Политика разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и опубликована на Сайте в свободном доступе по адресу https://racelist.ru/legal/privacy-policy.

1.3. Политика применяется ко всем персональным данным, которые Оператор обрабатывает в связи с работой Сайта, с использованием средств автоматизации и без них.

1.4. Сайт — бесплатный календарь спортивных стартов (забегов, заплывов, велогонок, триатлонов, лыжных гонок и других). Сведения о стартах Сайт собирает из открытых источников — сайтов организаторов и платформ регистрации — и показывает со ссылкой на первоисточник. Регистрация на старты и оплата участия на Сайте не проводятся: они происходят на сайте организатора.

2. Сведения об операторе

Оператор персональных данных — индивидуальный предприниматель Туманов Алексей Борисович (далее — Оператор):

• ИНН: 774307259766
• ОГРНИП: 324774600024638
• Адрес: г. Москва, Российская Федерация
• Электронная почта для обращений по персональным данным: notify@racelist.ru
• Сайт: https://racelist.ru

Лицо, ответственное за организацию обработки персональных данных, — Туманов Алексей Борисович.

3. Термины

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Посетитель — физическое лицо, которое открывает страницы Сайта.

Cookies — небольшие файлы и записи, которые Сайт или подключённые к нему сервисы сохраняют в браузере посетителя (включая записи localStorage).

Обработчик — лицо, которое обрабатывает персональные данные по поручению Оператора.

Трансграничная передача — передача персональных данных на территорию иностранного государства иностранному лицу или органу власти.

4. Принципы обработки

Оператор обрабатывает персональные данные на законной и справедливой основе; только для заранее определённых целей и в объёме, необходимом для этих целей; не объединяет базы данных, обработка которых ведётся в несовместимых целях; обеспечивает точность данных; хранит их не дольше, чем требуют цели обработки, после чего уничтожает или обезличивает.

На Сайте нет регистрации, личного кабинета и оплаты. Персональные данные посетитель вводит сам только в двух формах, каждая — с отдельным согласием: подписка на напоминание о старте (раздел 5.5) и заявка на странице «Организаторам» (раздел 5.6). Если появятся новые функции, Политика будет дополнена до их запуска.

5. Категории субъектов, цели, состав данных и сроки

5.1. Посетители Сайта: технические данные

• Цель: обеспечение работы Сайта, его безопасности и защиты от атак, выявление и устранение ошибок.
• Данные: IP-адрес, дата и время запроса, адрес запрошенной страницы, адрес страницы-источника (referer), сведения о браузере и операционной системе (User-Agent), код ответа сервера.
• Правовое основание: законный интерес Оператора в обеспечении работоспособности и безопасности Сайта (пункт 7 части 1 статьи 6 Закона о персональных данных).
• Способ: автоматизированная обработка в журналах веб-сервера.
• Срок хранения: 14 дней, затем журналы автоматически удаляются.

5.2. Посетители Сайта: веб-аналитика (Яндекс Метрика)

• Цель: анализ посещаемости и поведения посетителей для улучшения Сайта.
• Данные: идентификаторы cookies Яндекс Метрики, IP-адрес, сведения о браузере, устройстве и операционной системе, просмотренные страницы, действия на страницах (клики, прокрутка, записи сеансов Вебвизора — без содержимого полей ввода), источник перехода, приблизительное местоположение по IP-адресу.
• Правовое основание: согласие посетителя (пункт 1 части 1 статьи 6 Закона о персональных данных), которое он даёт кнопкой «Принять» в уведомлении о cookies. Текст согласия: https://racelist.ru/legal/analytics-consent.
• Пока согласия нет (или выбран вариант «Только необходимые»), счётчик Яндекс Метрики не загружается и данные в Яндекс не передаются.
• Срок: до отзыва согласия, но не более 1 года с даты согласия (затем Сайт спрашивает согласие заново). Записи Вебвизора хранятся в сервисе ограниченный срок, установленный Яндекс Метрикой; статистика используется в обезличенном агрегированном виде.

5.3. Лица, которые обращаются к Оператору

• Цель: рассмотрение обращения и ответ на него (вопросы, просьбы исправить или удалить сведения о старте, обращения субъектов персональных данных), если обращение пришло на электронную почту или в мессенджер. Заявки через форму на странице «Организаторам» — в пункте 5.6.
• Данные: адрес электронной почты или имя пользователя в мессенджере, имя (если указано), содержание обращения и приложенные к нему сведения.
• Правовое основание: обращение направляется по инициативе самого субъекта; данные обрабатываются для ответа ему и в законном интересе Оператора (пункт 7 части 1 статьи 6), а обращения субъектов персональных данных — во исполнение обязанностей Оператора по Закону о персональных данных (пункт 2 части 1 статьи 6).
• Срок хранения: 1 год с даты ответа, обращения субъектов персональных данных — 3 года.

5.4. Организаторы стартов

• Цель: информирование посетителей о том, кто проводит старт, — так же, как это указано в первоисточнике.
• Данные: наименование организатора — юридического лица в том виде, в каком оно опубликовано на сайте старта или платформе регистрации. Если организатор — индивидуальный предприниматель, на Сайте показываются только его фамилия и инициалы («ИП Фамилия И. О.»). Если организатор — физическое лицо, его имя на Сайте не показывается, в поиск и разметку для поисковых систем не попадает: вместо него указано «Частное лицо». Полное наименование хранится в базе данных Оператора в том виде, в каком получено из первоисточника, и на Сайте не публикуется.
• Правовое основание: законный интерес Оператора и посетителей в получении достоверной информации о публичном спортивном мероприятии (пункт 7 части 1 статьи 6).
• Срок: пока сведения о старте показываются на Сайте; после этого — в архиве прошедших стартов. Организатор может в любой момент попросить убрать или изменить эти сведения (раздел 9).

5.5. Подписчики на напоминания о стартах

• Цель: отправка напоминаний о выбранном посетителем старте — об открытии регистрации и (или) за выбранное число дней до старта.
• Данные: адрес электронной почты (при подписке по почте) или идентификатор чата Telegram (при подписке через бота); выбранный старт и виды напоминаний; дата и время согласия и подтверждения; журнал отправленных напоминаний.
• Правовое основание: согласие посетителя (пункт 1 части 1 статьи 6) — отдельный документ: https://racelist.ru/legal/consent-reminders. Подписка по почте подтверждается по ссылке из письма.
• Срок хранения: до отзыва согласия, но не дольше 30 дней после окончания старта; неподтверждённая подписка по почте удаляется через 7 дней.

5.6. Заявители через форму на странице «Организаторам»

• Цель: рассмотрение заявки (добавить, исправить или убрать сведения о старте, предложение о сотрудничестве) и ответ на неё.
• Данные: имя; адрес электронной почты или имя пользователя в Телеграме — то, что заявитель указал для ответа; сведения из заявки (название старта, ссылка, комментарий); дата заявки и версия согласия.
• Правовое основание: согласие заявителя (пункт 1 части 1 статьи 6) — отдельный документ: https://racelist.ru/legal/feedback-consent. Без отметки о согласии форма не отправляется.
• Способ: заявка сохраняется в базе данных Сайта и пересылается на служебный почтовый ящик Оператора (notify@racelist.ru) у российского почтового провайдера.
• Срок хранения: до отзыва согласия, но не дольше 1 года с даты ответа на заявку; после этого — уничтожение в течение 30 дней.

Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и т. п.), биометрические данные и данные о судимости. Решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки не принимаются.

6. Порядок и условия обработки

6.1. Персональные данные хранятся и обрабатываются в базах данных и на серверах, расположенных в Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

6.2. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных в разделе 7, и случаев, предусмотренных законодательством Российской Федерации (например, по запросу суда или уполномоченного органа).

6.3. Оператор не распространяет персональные данные посетителей и не публикует их.

6.4. По достижении целей обработки, истечении срока хранения или отзыве согласия персональные данные уничтожаются или обезличиваются в течение 30 дней, если иное не предусмотрено законом, в том числе обработчиком — средствами удаления данных, которые предоставляет сервис. Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

7. Передача данных и обработчики

Картографическая подложка на Сайте загружается через сервер Оператора: браузер посетителя обращается только к Сайту, IP-адреса посетителей картографическим сервисам не передаются.

Если посетитель сам переходит по ссылке на внешний сайт (сайт организатора, платформу регистрации, мессенджер или социальную сеть, в том числе через кнопку «Поделиться»), дальнейшая обработка его данных регулируется правилами этого сайта, а не настоящей Политикой.

8. Трансграничная передача

Оператор не осуществляет трансграничную передачу персональных данных, кроме одного случая, который выбирает сам посетитель: напоминания о старте через Telegram-бота (раздел 5.5). Telegram — сервис иностранной компании; для доставки сообщения ему передаются идентификатор чата и текст напоминания (название, дата и место старта). Это прямо указано в согласии на напоминания; посетитель, не желающий такой передачи, может выбрать напоминание по почте.

Если посетитель сам пишет Оператору в Telegram, сообщение обрабатывается сервисом Telegram по его собственным правилам; Оператор не переносит туда данные из Сайта.

9. Права субъектов персональных данных

Субъект персональных данных вправе:

• получить сведения об обработке своих персональных данных (статья 14 Закона о персональных данных);
• потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• возразить против обработки на основании законного интереса Оператора — например, попросить убрать имя организатора со страницы старта;
• обжаловать действия или бездействие Оператора в Роскомнадзор (https://rkn.gov.ru) или в суд.

Как обратиться. Запрос направляется на notify@racelist.ru. В запросе нужно указать, как с вами связаться, и сведения, по которым можно найти ваши данные (например, адрес страницы старта). Если сведений недостаточно, чтобы установить заявителя и его данные, Оператор вправе запросить уточнения в пределах, предусмотренных частью 3 статьи 14 Закона о персональных данных.

Сроки.

• Сведения об обработке — не позднее 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (статья 14).
• Требование прекратить распространение сведений о себе (например, имени организатора на странице старта) — в течение 3 рабочих дней с момента получения (статья 10.1).
• Уточнение неточных данных — в течение 7 рабочих дней с момента представления подтверждающих сведений; уничтожение незаконно полученных или ненужных для цели данных — в те же 7 рабочих дней (статья 20).
• Требование прекратить обработку — в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней, с учётом исключений части 5.1 статьи 21.

Отзыв согласия на веб-аналитику — в один клик: ссылка «Настройки cookies» внизу любой страницы Сайта. После отзыва счётчик Яндекс Метрики больше не загружается.

10. Меры защиты

Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных, в том числе:

• назначено лицо, ответственное за организацию обработки персональных данных;
• соединение с Сайтом защищено протоколом HTTPS (TLS);
• доступ к серверу — только по ключам SSH, у ограниченного круга лиц; включены межсетевой экран и защита от перебора паролей;
• журналы сервера хранятся ограниченный срок (14 дней) и удаляются автоматически;
• аналитические cookies не устанавливаются без согласия посетителя;
• программное обеспечение сервера регулярно обновляется.

При обнаружении неправомерной или случайной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления — о произошедшем, его предполагаемых причинах, вреде и принятых мерах, а в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона о персональных данных).

11. Cookies

Какие cookies и записи в браузере использует Сайт и как ими управлять, описано в Политике использования cookies: https://racelist.ru/legal/cookies.

12. Изменение Политики

12.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с указанием даты, с которой она действует, и номера версии.

12.2. Если изменения требуют нового согласия (например, появляется новая цель обработки), Оператор запрашивает его отдельно и не начинает обработку до его получения.

12.3. Вопросы по Политике можно направить на notify@racelist.ru.