Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») устанавливает основные принципы, цели, условия и способы обработки персональных данных, перечень обрабатываемых персональных данных, права субъектов персональных данных и обязанности Оператора.

1.2. Оператор персональных данных: Автономная некоммерческая организация «Центр Организации Массовых Мероприятий» (АНО ЦОММ), зарегистрированная по адресу: г. Москва.

1.3. Деятельность Оператора осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иными нормативными правовыми актами Российской Федерации.

1.4. Сервис ЦОММ доступен по адресу: gucomm.ru.

1.5. Email для обращений по вопросам обработки ПДн: privacy@gucomm.ru.

1.6. Email для вопросов безопасности: security@gucomm.ru.

2.1. Обработка персональных данных осуществляется на следующих правовых основаниях:

• согласие субъекта персональных данных (ст. 6, ч. 1, п. 1 ФЗ-152);
• исполнение договора, стороной которого является субъект ПДн (ст. 6, ч. 1, п. 5 ФЗ-152);
• осуществление прав и законных интересов оператора (ст. 6, ч. 1, п. 7 ФЗ-152);
• исполнение требований законодательства РФ.

2.2. Согласие на обработку персональных данных несовершеннолетних лиц в возрасте до 18 лет даётся их родителями или законными представителями в соответствии со ст. 9, ч. 1 ФЗ-152.

4.1. Оператор обрабатывает следующие категории персональных данных:

• фамилия, имя, отчество;
• адрес электронной почты;
• номер телефона (при указании);
• фотография профиля (при загрузке);
• IP-адрес, информация об устройстве и браузере;
• данные о входах и действиях в системе (журнал аудита);
• данные бронирований (дата, время, контактная информация);
• сообщения в чате (хранятся в зашифрованном виде, E2EE);
• реквизиты юридических лиц (ИНН, ОГРН, адрес — для корпоративных аккаунтов).

4.2. Оператор не обрабатывает специальные категории персональных данных (расовое происхождение, политические взгляды, религиозные убеждения, состояние здоровья, биометрические данные).

6.1. Оператор принимает следующие технические и организационные меры защиты:

• шифрование паролей с использованием алгоритма bcrypt (cost factor 10-12);
• передача данных по защищённому протоколу HTTPS/TLS;
• двухфакторная аутентификация TOTP с AES-256-GCM шифрованием секрета;
• сквозное шифрование (E2EE) сообщений с использованием P-256 ECDH (WebCrypto API) — приватный ключ не покидает устройство пользователя;
• хранение файлов в Object Storage на территории РФ (Timeweb Cloud, регион ru-1);
• защита от SQL-инъекций, XSS, CSRF;
• ограничение частоты запросов (rate limiting) для предотвращения атак брутфорс;
• проверка паролей по базе утечек (Have I Been Pwned, k-anonymity);
• ведение журнала аудита всех значимых действий;
• мониторинг подозрительной активности.

6.2. Доступ к персональным данным предоставляется только уполномоченным сотрудникам Оператора в рамках их служебных обязанностей.

7.1. Оператор привлекает следующих поручителей обработки персональных данных:

7.2. Поставщики, расположенные за пределами РФ (OpenAI, HIBP), привлекаются на основании ст. 12 ФЗ-152 с обеспечением адекватного уровня защиты. Передача персональных данных этим поставщикам минимизирована: личные идентификаторы пользователей не передаются.

7.3. По требованию закона персональные данные могут быть переданы государственным органам (ст. 6, ч. 1, п. 10 ФЗ-152).

8.1. В соответствии с ФЗ-152 субъект ПДн имеет право:

• получить сведения о факте обработки и составе обрабатываемых данных (ст. 14);
• требовать уточнения, блокирования или уничтожения ПДн (ст. 21);
• отозвать согласие на обработку ПДн в любое время (ст. 9, ч. 2);
• обжаловать действия или бездействие Оператора в уполномоченный орган (Роскомнадзор);
• получить копию обрабатываемых данных (портируемость);
• требовать прекращения обработки данных.

8.2. Реализация прав осуществляется через раздел «Мои данные» в личном кабинете (gucomm.ru/lk/settings/my-data) или по адресу privacy@gucomm.ru.

8.3. Срок рассмотрения обращения — 30 дней с момента получения.

9.1. Сервис использует аналитику Яндекс.Метрика. Используемые cookies:

9.2. Пользователь вправе отказаться от аналитических cookies через баннер управления согласием.

9.3. Сервис не использует Google Analytics, Facebook Pixel или иные зарубежные аналитические системы.

10.1. При регистрации лица в возрасте до 18 лет обязательно указание родителя / законного представителя, уже зарегистрированного в системе.

10.2. На email родителя/представителя направляется запрос на подтверждение. До подтверждения аккаунт несовершеннолетнего находится в статусе «ожидает одобрения». Срок ожидания — 7 дней, по истечении которых аккаунт удаляется.

10.3. Родитель/представитель вправе в любое время отозвать согласие через личный кабинет, раздел «Связанные аккаунты».

11.1. В случае выявления инцидента, повлёкшего несанкционированный доступ к персональным данным, Оператор обязуется:

• уведомить Роскомнадзор в течение 24 часов с момента обнаружения (ст. 21.1 ФЗ-152, Приказ РКН № 178 от 14.11.2022);
• уведомить затронутых пользователей в течение 72 часов;
• принять меры по устранению инцидента и его последствий;
• зафиксировать инцидент во внутреннем реестре.

11.2. Уведомление пользователям направляется на email-адрес, указанный при регистрации, с описанием характера инцидента и рекомендациями по защите.

11.3. По вопросам безопасности: security@gucomm.ru.

12.1. В соответствии со ст. 18.1 ФЗ-152 первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляется с использованием баз данных, находящихся на территории Российской Федерации.

12.2. Основная база данных и файловое хранилище расположены в дата-центре Timeweb Cloud, регион ru-1 (РФ).

12.3. Номер уведомления об обработке ПДн в реестре РКН: [ожидает присвоения].

13.1. Ответственный за организацию обработки персональных данных назначается приказом руководителя организации.

13.2. Внутренний аудит соблюдения настоящей Политики проводится не реже одного раза в год.

13.3. За нарушение требований настоящей Политики предусмотрена ответственность в соответствии с законодательством РФ.

13.4. Нарушения, допущенные при обработке персональных данных, фиксируются и расследуются в установленном порядке.

14.1. Настоящая Политика вступает в силу с момента её утверждения и действует бессрочно.

14.2. Актуальная версия Политики размещается на сайте gucomm.ru/legal/personal-data-policy.

14.3. При внесении существенных изменений пользователи уведомляются по электронной почте не менее чем за 7 дней до вступления изменений в силу.