Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») устанавливает основные принципы, цели, условия и способы обработки персональных данных, перечень обрабатываемых персональных данных, права субъектов персональных данных и обязанности Оператора.

1.2. Оператор персональных данных: Автономная некоммерческая организация «Центр Организации Массовых Мероприятий» (АНО ЦОММ), зарегистрированная по адресу: Москва.

1.3. Деятельность Оператора осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иными нормативными правовыми актами Российской Федерации.

1.4. Сервис АО ЦОММ доступен по адресу: gucomm.ru.

1.5. Email для обращений по вопросам обработки ПДн: info@gucomm.ru.

1.6. Email для вопросов безопасности: security@gucomm.ru.

2.1. Обработка персональных данных осуществляется на следующих правовых основаниях:

• согласие субъекта персональных данных (ст. 6, ч. 1, п. 1 ФЗ-152);
• исполнение договора, стороной которого является субъект ПДн (ст. 6, ч. 1, п. 5 ФЗ-152);
• осуществление прав и законных интересов оператора (ст. 6, ч. 1, п. 7 ФЗ-152);
• исполнение требований законодательства РФ.

2.2. Согласие на обработку персональных данных несовершеннолетних лиц в возрасте до 18 лет даётся их родителями или законными представителями в соответствии со ст. 9, ч. 1 ФЗ-152.

4.1. Оператор обрабатывает следующие категории персональных данных:

• фамилия, имя, отчество;
• адрес электронной почты;
• номер телефона (при указании);
• фотография профиля (при загрузке);
• IP-адрес, информация об устройстве и браузере;
• данные о входах и действиях в системе (журнал аудита);
• данные заявок и обращений (дата, содержание обращения, контактная информация);
• сервисные сообщения и коммуникации в рамках функций Сервиса (при наличии соответствующего функционала);
• реквизиты юридических лиц (ИНН, ОГРН, БИК, расчётный счёт, адрес — для корпоративных аккаунтов);
• дата рождения (при указании в профиле, кастинге или карточке субъекта likeness);
• паспортные данные в текстовом виде (серия, номер, кем выдан, адрес регистрации) — только в сценариях просмотра локаций ListLoc при отдельном согласии;
• голосовые сообщения и их текстовая расшифровка (при использовании транскрибации);
• платёжные метаданные (идентификатор пользователя, сумма и статус платежа).

4.2. Оператор не ставит целью обработку специальных категорий персональных данных (расовое происхождение, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) и не использует биометрию для установления личности. Пользователь может самостоятельно загрузить файлы, содержащие такие сведения; Оператору следует направлять запросы об удалении на info@gucomm.ru.

6.1. Оператор принимает следующие технические и организационные меры защиты:

• шифрование паролей с использованием алгоритма bcrypt (cost factor 10-12);
• передача данных по защищённому протоколу HTTPS/TLS;
• усиленная аутентификация пользователей и контроль доступа (в том числе для административных разделов);
• использование шифрования и защищённых каналов при передаче и хранении данных в рамках доступного функционала Сервиса;
• хранение файлов в Object Storage на территории РФ (Timeweb Cloud, регион ru-1);
• защита от SQL-инъекций, XSS, CSRF;
• ограничение частоты запросов (rate limiting) для предотвращения атак брутфорс;
• проверка паролей по базе утечек (Have I Been Pwned, k-anonymity);
• ведение журнала аудита всех значимых действий;
• мониторинг подозрительной активности.

6.2. Доступ к персональным данным предоставляется только уполномоченным сотрудникам Оператора в рамках их служебных обязанностей.

7.1. Оператор привлекает следующих поручителей обработки персональных данных:

7.2. Поставщики за пределами РФ привлекаются на основании ст. 12 ФЗ-152. Идентификаторы аккаунта (ФИО, email, телефон) в запросы к ИИ и STT не подставляются, однако голосовое сообщение и текст запроса могут содержать персональные данные субъекта.

7.3. По требованию закона персональные данные могут быть переданы государственным органам (ст. 6, ч. 1, п. 10 ФЗ-152).

7.4. Google Analytics (GA4), Facebook Pixel и иные зарубежные рекламные аналитические системы не используются и не подключены.

7.1.1. ФИО, email, телефон и платёжные реквизиты как поля профиля в зарубежные базы Оператором не выгружаются.

7.1.2. За пределы Российской Федерации в рамках отдельных функций передаются данные, перечисленные в таблице статьи 7, включая текст ИИ-запроса, аудио и текст серверной расшифровки голоса, IP при капче или загрузке модели, хеш-фрагмент пароля и диагностику ошибок (Sentry).

7.1.3. Такая передача осуществляется на основании ст. 12 ФЗ-152 при обеспечении адекватной защиты данных получателем. Оператор не размещает и не намерен размещать заявления о том, что «данные не покидают РФ», пока в архитектуре Сервиса используются перечисленные зарубежные поставщики.

7.1.4. При изменении состава зарубежных поставщиков (в том числе после перехода на Yandex SmartCaptcha) настоящая статья актуализируется без изменения общей структуры документа.

8.1. В соответствии с ФЗ-152 субъект ПДн имеет право:

• получить сведения о факте обработки и составе обрабатываемых данных (ст. 14);
• требовать уточнения, блокирования или уничтожения ПДн (ст. 21);
• отозвать согласие на обработку ПДн в любое время (ст. 9, ч. 2);
• обжаловать действия или бездействие Оператора в уполномоченный орган (Роскомнадзор);
• получить копию обрабатываемых данных (портируемость);
• требовать прекращения обработки данных.

8.2. Реализация прав осуществляется через раздел «Мои данные» в личном кабинете (gucomm.ru/lk/settings/my-data) или по адресу info@gucomm.ru.

8.3. Срок рассмотрения обращения — 30 дней с момента получения.

9.1. Сервис использует аналитику Яндекс.Метрика. Используемые cookies:

9.2. Пользователь вправе отказаться от аналитических cookies через баннер управления согласием.

9.3. Сервис не использует Google Analytics, Facebook Pixel или иные зарубежные аналитические системы.

10.1. При регистрации лица в возрасте до 18 лет обязательно указание родителя / законного представителя, уже зарегистрированного в системе.

10.2. На email родителя/представителя направляется запрос на подтверждение. До подтверждения аккаунт несовершеннолетнего находится в статусе «ожидает одобрения». Срок ожидания — 7 дней, по истечении которых аккаунт удаляется.

10.3. Родитель/представитель вправе в любое время отозвать согласие через личный кабинет, раздел «Связанные аккаунты».

11.1. В случае выявления инцидента, повлёкшего несанкционированный доступ к персональным данным, Оператор обязуется:

• уведомить Роскомнадзор в течение 24 часов с момента обнаружения (ст. 21.1 ФЗ-152, Приказ РКН № 178 от 14.11.2022);
• уведомить затронутых пользователей в течение 72 часов;
• принять меры по устранению инцидента и его последствий;
• зафиксировать инцидент во внутреннем реестре.

11.2. Уведомление пользователям направляется на email-адрес, указанный при регистрации, с описанием характера инцидента и рекомендациями по защите.

11.3. По вопросам безопасности: security@gucomm.ru.

12.1. В соответствии со ст. 18.1 ФЗ-152 первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляется с использованием баз данных, находящихся на территории Российской Федерации.

12.2. Основная база данных и файловое хранилище расположены в дата-центре Timeweb Cloud, регион ru-1 (РФ).

12.3. Номер уведомления об обработке ПДн в реестре РКН: [укажите номер уведомления РКН после регистрации].

13.1. Ответственный за организацию обработки персональных данных назначается приказом руководителя организации.

13.2. Внутренний аудит соблюдения настоящей Политики проводится не реже одного раза в год.

13.3. За нарушение требований настоящей Политики предусмотрена ответственность в соответствии с законодательством РФ.

13.4. Нарушения, допущенные при обработке персональных данных, фиксируются и расследуются в установленном порядке.

14.1. Настоящая Политика вступает в силу с момента её утверждения и действует бессрочно.

14.2. Актуальная версия Политики размещается на сайте gucomm.ru/legal/personal-data-policy.

14.3. При внесении существенных изменений пользователи уведомляются по электронной почте не менее чем за 7 дней до вступления изменений в силу.