ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

в отношении цифрового продукта «Клуб ХМРЗ»

Индивидуальный предприниматель Лапкина Марина Анатольевна (ИНН 540138816908, ОГРНИП 321547600079832)

Редакция № 1 от 01.08.2026 — размещена по адресу [URL Политики]

 
ПРИМЕЧАНИЕ ДЛЯ ПРОВЕРЯЮЩЕГО ЮРИСТА. РЕД. 2 — сфера политики изменена по вердикту аудитора (блокер 1.4): документ охватывает ТОЛЬКО «Клуб ХМРЗ», где сведения о здоровье не запрашиваются. По решению владельца проект ограничен Клубом: документы по Программе ХМРЗ и иным продуктам в объём работ не входят и настоящей политикой не затрагиваются. Клубные документы от марафона полностью независимы, поэтому для запуска Клуба этого достаточно.
1. Общие положения1.1. Настоящая Политика обработки персональных данных (далее — «Политика») принята Индивидуальным предпринимателем Лапкиной Мариной Анатольевной, ИНН 540138816908, ОГРНИП 321547600079832 (далее — «Оператор»), во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»).
1.2. Политика определяет цели, правовые основания, условия и порядок обработки персональных данных, меры их защиты, а также права субъектов персональных данных при использовании цифрового продукта «Клуб ХМРЗ» (включая Telegram-бота, личный кабинет и закрытое сообщество) и страницы оплаты Клуба [домен страницы оплаты]. Обработка персональных данных в рамках иных продуктов Оператора (в том числе Программы ХМРЗ) регулируется отдельными документами Оператора.
1.3. Политика размещается в открытом доступе по адресу [URL Политики] и доступна до начала предоставления персональных данных.
1.4. Термины используются в значениях, определённых Законом о персональных данных.
1.5. Контакты Оператора по вопросам персональных данных: [email для обращений по ПД; по умолчанию — lapkinashop@gmail.com]; лицо, ответственное за организацию обработки персональных данных: [ФИО или должность ответственного].
2. Правовые основания обработки2.1. Обработка осуществляется на основаниях, предусмотренных ст. 6 Закона о персональных данных, в том числе:
— заключение и исполнение договоров, стороной которых является субъект персональных данных (публичные оферты Оператора);
— согласие субъекта персональных данных — в случаях, когда оно требуется (в том числе на получение рекламных сообщений);
— исполнение обязанностей, возложенных на Оператора законодательством (в том числе Федеральным законом № 54-ФЗ о применении контрольно-кассовой техники, налоговым и бухгалтерским законодательством);
— осуществление прав и законных интересов Оператора (защита исключительных прав, обеспечение безопасности), если при этом не нарушаются права субъектов.
2.2. Обработка персональных данных, необходимая для заключения и исполнения договора с пользователем, осуществляется на основании подпункта 5 пункта 1 статьи 6 Закона о персональных данных и отдельного согласия не требует. Согласие запрашивается только для целей, не необходимых для исполнения договора (в частности, для направления рекламных сообщений); такое согласие является добровольным, оформляется отдельным документом и отдельным действием субъекта, не объединяется с иными документами и подтверждениями (ст. 9 Закона о персональных данных), а его отсутствие не препятствует приобретению продукта.
3. Категории субъектов, состав данных, цели и сроки3.1. Оператор обрабатывает персональные данные следующих категорий субъектов: пользователи и заказчики «Клуба ХМРЗ»; лица, обратившиеся в поддержку Клуба; лица, предоставившие согласие на получение рекламных сообщений через ресурсы Клуба.
3.2. В рамках Клуба специальные категории персональных данных и биометрические персональные данные Оператором не запрашиваются и целенаправленно не собираются. Сведения о здоровье для предоставления Клуба не требуются; решения о применении типовых меню пользователи принимают самостоятельно. Оператор не запрашивает и не использует сведения о здоровье для формирования Меню, персонализации продукта или принятия решений в отношении пользователя. Если пользователь по собственной инициативе публикует такие сведения в сообществе, Оператор обрабатывает их только в минимальном объёме, необходимом для модерации, ограничения их дальнейшего распространения, защиты участников и удаления соответствующего сообщения (публикация таких сведений ограничена Правилами сообщества).
3.3. Основные процессы обработки:
 
3.4. По истечении сроков данные уничтожаются либо обезличиваются, если продолжение обработки не требуется по закону.
4. Порядок и условия обработки. Локализация4.1. Обработка осуществляется с использованием средств автоматизации. Действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
4.2. При сборе персональных данных граждан Российской Федерации их запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных). Основная база данных Оператора размещена на сервере на территории Российской Федерации (г. Москва, хостинг-провайдер [полное наименование юридического лица провайдера AdminVPS]); файлы цифровых материалов хранятся в объектном хранилище Яндекс ([ООО «Яндекс.Облако»], Российская Федерация).
4.3. Продажа персональных данных, а также их предоставление третьим лицам в целях, не совместимых с целями сбора, не осуществляются. Принятие решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки не производится, за исключением автоматических операций, прямо предусмотренных договором (активация и прекращение доступа по сроку).
4.4. Лица, осуществляющие обработку по поручению Оператора (ч. 3 ст. 6 Закона о персональных данных):
 
ПРИМЕЧАНИЕ ДЛЯ ПРОВЕРЯЮЩЕГО ЮРИСТА. С каждым лицом из таблицы необходим договор (или условия сервиса), содержащий обязательные условия поручения обработки по ч. 3 ст. 6 152-ФЗ: перечень действий, цели, обязанность конфиденциальности и защиты, требования ст. 19. У крупных провайдеров (Яндекс) это стандартные условия — проверить и зафиксировать реквизиты документов. Отсутствие оформленного поручения — типовое замечание РКН при проверке.
4.5. Самостоятельными операторами, получающими данные в связи с исполнением договора (не по поручению), являются: платёжный сервис «Робокасса» [юрлицо] и обслуживающие банки — в части, необходимой для приёма платежа, фискализации и возвратов; оператор фискальных данных [наименование ОФД]. Обработка ими регулируется их собственными политиками.
4.6. Данные банковских карт Оператором не собираются и не хранятся; их обработка осуществляется платёжным сервисом.
5. Трансграничная передача5.1. Взаимодействие с пользователями осуществляется через мессенджер Telegram — сервис иностранного лица (Telegram Messenger Inc. и аффилированные лица). При использовании Telegram сведения, необходимые для взаимодействия (Telegram ID, username, имя, содержание сообщений в боте и сообществе), передаются на инфраструктуру Telegram, что является трансграничной передачей персональных данных.
5.2. Telegram используется как канал взаимодействия; основной базой персональных данных он не является (п. 4.2 Политики).
5.3. До начала трансграничной передачи Оператор направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу персональных данных (ст. 12 Закона о персональных данных). [Статус: проверить/подать до запуска — см. чек-лист].
6. Права субъектов персональных данных6.1. Субъект вправе: получать сведения об обработке своих данных; требовать уточнения, блокирования или уничтожения данных (неполных, устаревших, неточных, незаконно полученных, не являющихся необходимыми); отзывать согласия; обжаловать действия Оператора в Роскомнадзор или в суд; пользоваться иными правами, предусмотренными Законом о персональных данных.
6.2. Запрос направляется по контактам п. 1.5 Политики и должен позволять идентифицировать субъекта (Telegram ID / данные заказа). Оператор отвечает в течение 10 рабочих дней с даты обращения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ст. 20 Закона о персональных данных).
6.3. При отзыве согласия Оператор прекращает соответствующую обработку и уничтожает данные в срок, не превышающий 30 дней, за исключением данных, обработка которых продолжается по иным законным основаниям (исполнение договора, требования закона о хранении).
6.4. Прекращение рекламных рассылок производится по требованию субъекта незамедлительно (раздел «Согласие на рекламные сообщения»).
7. Меры защиты7.1. Оператор принимает необходимые правовые, организационные и технические меры (ст. 18.1, 19 Закона о персональных данных), включая: назначение ответственного за организацию обработки; ограничение и разграничение доступа; защищённые каналы передачи; журналирование действий в учётной системе; резервное копирование на территории Российской Федерации; оценку вреда и внутренний учёт носителей и систем; ознакомление лиц, допущенных к обработке, с требованиями законодательства.
7.2. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в порядке и сроки, установленные ч. 3.1 ст. 21 Закона о персональных данных (первичное уведомление — в течение 24 часов, результаты внутреннего расследования — в течение 72 часов), и принимает меры по устранению последствий.
8. Уведомление Роскомнадзора об обработке8.1. Оператор осуществляет обработку персональных данных с уведомлением уполномоченного органа (ст. 22 Закона о персональных данных). [Статус уведомления: номер/дата в реестре операторов — проверить; при отсутствии — подать ДО запуска «Клуба ХМРЗ»; при наличии — проверить актуальность целей и при необходимости подать сведения об изменениях].
9. Заключительные положения9.1. Политика пересматривается по мере изменения законодательства и процессов обработки. Новая редакция размещается по адресу п. 1.3 и применяется с момента размещения.
9.2. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.