Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и меры по обеспечению безопасности персональных данных, которые обрабатывает ИП Гаспарян Геворк Альбертович, ИНН 233800456138, ОГРН/ОГРНИП 326237500409146 (далее — «Оператор») в связи с работой клуба «ЛИОН ПОКЕР» (адрес клуба: Восточное Шоссе 6), его сайта и личных кабинетов участников (далее вместе — «клубная система»), в том числе при использовании клубной системы через мобильное приложение «2туза».

1.2. Политика разработана во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и является общедоступным документом (часть 2 статьи 18.1 Закона о персональных данных).

1.3. Регистрация в клубной системе сама по себе не означает согласия на обработку персональных данных: такое согласие дается отдельно (документ «Согласие на обработку персональных данных»), а в случаях, предусмотренных законом, обработка ведется без согласия — для заключения и исполнения договора или исполнения обязанностей Оператора.

2. Основные термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка — любое действие с персональными данными, совершаемое с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.3. Распространение — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

3. Цели обработки, состав данных, основания и сроки

3.1. Регистрация и учет участника, заключение и исполнение договора оказания клубных услуг (Публичной оферты):

• субъекты: участники клубной системы и посетители клуба;
• данные: имя (как указано участником; фамилия и отчество — если указаны), номер телефона, пароль в виде необратимого хеша, сведения о записи на мероприятия, посещениях, участии и результатах (места, фишки, накауты, бонусы за комбинации, рейтинг, достижения), сведения об оплатах и возвратах услуг клуба, сведения об ограничениях доступа за нарушение правил клуба;
• основания: согласие участника и необходимость исполнения договора, стороной которого он является (пункты 1 и 5 части 1 статьи 6 Закона о персональных данных);
• срок: в течение участия в клубной системе — до удаления профиля по заявлению участника или до отзыва согласия; сведения об оплатах в составе учетных данных Исполнителя хранятся в течение срока, установленного налоговым законодательством (не менее 5 лет), после удаления профиля — в обезличенном виде.

3.2. Ведение личного кабинета и профиля участника:

• данные: адрес электронной почты, город, имя пользователя Telegram, фотография профиля, статус (короткий текст), выбранный для показа значок — только если участник сам их указал;
• основание: согласие участника; срок: до удаления сведений участником, удаления профиля или отзыва согласия.

3.3. Ведение внутреннего рейтинга клуба и проведение мероприятий:

• данные: имя, очки, места, накауты и статистика участия;
• имя участника видят персонал клуба и другие участники в личном кабинете, а также посетители в зале на экране турнира. На страницах, открытых без входа (рейтинг клуба, сайт клуба, экран турнира по ссылке, общероссийский рейтинг «2туза»), имя показывается сокращенно — имя и первая буква фамилии, без фотографии и контактов; полностью и с фотографией — только при отдельном согласии участника на распространение (публичный профиль, статья 10.1 Закона о персональных данных);
• основания: согласие участника, исполнение договора; срок: до удаления профиля или отзыва согласия.

3.4. Ведение Программы лояльности и стимулирующих мероприятий клуба:

• данные: количество учтенных посещений, уровень и скидки Программы лояльности, отметки посещений, прокруты и выигранные призы «Рулетки призов», сведения об их использовании;
• основания: согласие участника, исполнение договора; срок: до удаления профиля или отзыва согласия.

3.5. Сервисные уведомления и рассылки:

• данные: номер телефона, адрес электронной почты, подписка на push-уведомления (технический адрес подписки браузера или устройства), отметка о согласии на рассылки;
• сервисные уведомления (о записи, изменении расписания, безопасности аккаунта) направляются для исполнения договора; рекламные и информационные рассылки — только при отдельном согласии на рассылки (статья 18 Федерального закона «О рекламе»);
• срок: до отзыва согласия, отключения уведомлений участником или удаления профиля.

3.6. Подтверждение согласий участника и безопасность клубной системы:

• данные: журнал согласий (какие документы и в какой редакции приняты, дата, IP-адрес, сведения о браузере), технические данные (идентификатор сессии в cookie; IP-адрес — для ограничения числа попыток входа и регистрации), журнал действий персонала в клубной системе;
• основания: исполнение обязанностей Оператора по Закону о персональных данных (доказательство получения согласия — часть 3 статьи 9), законный интерес Оператора в защите клубной системы;
• сроки: журнал согласий — в течение участия в клубной системе, после удаления профиля сохраняется только факт согласия (редакция и дата) без имени, телефона, IP-адреса и сведений о браузере; IP-адрес для ограничения попыток — только на время ограничения (от нескольких минут до суток); журнал действий персонала — 180 дней.

3.7. Фото- и видеосъемка в клубе:

• данные: изображение участника на фотографиях и видеозаписях мероприятий;
• основание: отдельное добровольное согласие на фото- и видеосъемку (статья 152.1 Гражданского кодекса Российской Федерации, статья 10.1 Закона о персональных данных); срок: до отзыва согласия.

3.8. Организация работы персонала клуба:

• субъекты: работники и исполнители клуба (администраторы, кассиры, дилеры и др.);
• данные: имя, логин, роль, PIN-код и пароль в виде необратимого хеша, сведения о сменах и начислениях, журнал действий в клубной системе;
• основания: договор с работником или исполнителем, трудовое законодательство; срок: в течение договора и сроков хранения, установленных законодательством.

3.9. Статистика посещаемости сайта клуба:

• Сервисы веб-аналитики и рекламные cookie на сайте клуба не используются. Если клуб подключит аналитику, она будет загружаться только после согласия посетителя в баннере cookie, а этот пункт будет дополнен.

4. Чего Оператор не делает

4.1. Не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Фотография профиля и фото- и видеоматериалы не используются для установления личности.

4.2. Не сохраняет копии и реквизиты документов, удостоверяющих личность: при подтверждении возраста персонал только сверяет документ.

4.3. Не обрабатывает персональные данные лиц младше 18 лет: участниками клубной системы могут быть только совершеннолетние.

4.4. Не принимает решений, порождающих юридические последствия для участника, исключительно на основании автоматизированной обработки.

4.5. Не продает персональные данные и не передает их третьим лицам для их собственных целей.

5. Передача и поручение обработки

5.1. Оператор поручает обработку персональных данных (часть 3 статьи 6 Закона о персональных данных) Лукманову Даниилу Равильевичу (плательщику налога на профессиональный доход, ИНН 614107632605), правообладателю и оператору программной платформы «2туза» (сайт https://2tuza.store) — в объеме, необходимом для работы клубной системы и мобильного приложения: хранение, запись, систематизация, извлечение, обезличивание, удаление по указаниям Оператора, с обязанностью соблюдать конфиденциальность и требования статьи 19 Закона о персональных данных.

5.2. Данные клубной системы хранятся на серверах, расположенных на территории Российской Федерации (хостинг-провайдер SpaceWeb (серверы в г. Санкт-Петербурге, Российская Федерация)). Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

5.3. Трансграничная передача персональных данных не осуществляется. Push-уведомления доставляются через службы уведомлений браузера или операционной системы (Google, Apple, Mozilla и др.) в зашифрованном виде: службе передаются только технический адрес подписки и зашифрованное сообщение, которое она не может прочитать; имя и телефон участника не передаются.

5.4. Персональные данные предоставляются государственным органам только в случаях, прямо предусмотренных законом.

5.5. Если участник пользуется мобильным приложением «2туза», его учетная запись в приложении («паспорт 2туза»: имя, телефон, пароль в виде хеша, фотография) ведется правообладателем платформы как самостоятельным оператором по его политике (https://2tuza.store/privacy); при вступлении в клуб из приложения клубу передаются имя и телефон для создания профиля участника.

6. Меры защиты

6.1. Оператор принимает правовые, организационные и технические меры защиты (статьи 18.1 и 19 Закона о персональных данных): разграничение доступа персонала по ролям и PIN-кодам, хранение паролей и PIN-кодов только в виде необратимого хеша, передача данных только по защищенному протоколу HTTPS, журналирование действий персонала, ограничение числа попыток входа, резервное копирование, ознакомление персонала с требованиями к обработке персональных данных.

6.2. При выявлении неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Закона о персональных данных (в течение 24 часов — о самом инциденте, в течение 72 часов — о результатах расследования).

7. Уничтожение и обезличивание

7.1. По достижении целей обработки, по истечении сроков из раздела 3, при отзыве согласия или по заявлению участника об удалении профиля персональные данные уничтожаются или обезличиваются в срок не более 30 дней, если иное не предусмотрено законом.

7.2. При удалении профиля в клубной системе имя заменяется на «Удаленный игрок», телефон, адрес электронной почты, Telegram, город, статус, фотография, пароль и подписки на уведомления удаляются, в журнале согласий и журнале действий имя, телефон, IP-адрес и сведения о браузере стираются. Обезличенные сведения об участии в мероприятиях и об оплатах сохраняются для учета клуба и результатов других участников.

7.3. Уничтожение подтверждается записью в журнале действий клубной системы.

8. Права субъекта персональных данных

8.1. Субъект вправе получать сведения об обработке своих персональных данных, требовать их уточнения, блокирования или уничтожения, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели; отозвать согласие; требовать прекращения обработки; обжаловать действия Оператора в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных) или в суд (статьи 14, 17, 21 Закона о персональных данных).

8.2. Оператор отвечает на запрос субъекта в течение 10 рабочих дней со дня его получения; срок может быть продлен не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (статьи 14 и 20 Закона о персональных данных). Требование прекратить обработку исполняется в течение 10 рабочих дней (часть 5.1 статьи 21).

8.3. Запрос направляется Оператору (по электронной почте lionpoker@yandex.ru, через Telegram https://t.me/lionpokerclub или по телефону +79888980001) либо передается администратору клуба. Запрос должен позволять установить заявителя (имя и телефон, указанные в клубной системе) и содержать подпись (для электронной формы — отправку с контакта, указанного в профиле).

9. Cookie

9.1. Сайт клуба использует технические cookie для входа в личный кабинет и панели персонала; без них вход невозможен. Подробно — в Политике использования файлов cookie клуба (/cookies).

10. Заключительные положения

10.1. Политика размещается в клубе, на сайте https://lion.poker.2tuza.store/ и в Telegram https://t.me/lionpokerclub и на странице /privacy сайта клуба; к ней обеспечен неограниченный доступ.

10.2. Оператор вправе изменять Политику при изменении законодательства или порядка обработки. Новая редакция вступает в силу с момента размещения. Изменение Политики не расширяет цели и перечень данных, на обработку которых участник дал согласие: для этого требуется новое согласие.