Политика в отношении обработки персональных данных

Политика в отношении обработки персональных данных

в информационном сервисе «Наш Гольф»: сайт нашгольф.рф, мобильное приложение и административная панель

Редакция 1.0

Дата утверждения: (уточняется) Дата вступления в силу: (уточняется) Утверждена: (уточняется) (приказ № (уточняется) от (уточняется))

---

Раздел 1. Общие положения

1.1. Назначение и сфера действия Политики

1.1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и с учётом Рекомендаций Роскомнадзора от 31.07.2017 по составлению документа, определяющего политику оператора в отношении обработки персональных данных.

1.1.2. Политика определяет цели, правовые основания, объём и категории обрабатываемых персональных данных, категории субъектов персональных данных, порядок и условия обработки, сроки обработки и хранения, порядок уничтожения персональных данных, а также сведения о реализуемых требованиях к защите персональных данных в информационном сервисе «Наш Гольф» (далее — «Сервис»), включающем публичный сайт нашгольф.рф, мобильное приложение и административную панель.

1.1.3. Оператором, осуществляющим обработку персональных данных в Сервисе, является ООО «РЕАЛПРО» (далее — «Оператор»).

1.1.4. Политика действует в отношении всех персональных данных, которые Оператор получает и обрабатывает с использованием средств автоматизации и/или без использования таких средств в связи с функционированием Сервиса.

1.1.5. Политика является общедоступным документом. Действующая редакция Политики размещается в свободном доступе на сайте нашгольф.рф по адресу https://нашгольф.рф/privacy и доступна в мобильном приложении Наш Гольф. Доступ к Политике обеспечивается без регистрации, по прямой ссылке, в том числе на всех страницах Сервиса, с которых ведётся сбор персональных данных (форма входа по парольу, форма регистрации, страница профиля).

1.2. Используемые понятия и определения

В Политике используются следующие понятия (в значениях, установленных статьёй 3 152-ФЗ):

• персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• субъект персональных данных — физическое лицо, к которому относятся персональные данные;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств; применительно к Сервису — программно-аппаратный комплекс «Наш Гольф» (сайт нашгольф.рф, мобильное приложение, административная панель и используемые базы данных);
• персональные данные, разрешённые субъектом персональных данных для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путём дачи согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения, в порядке статьи 10.1 152-ФЗ;
• конфиденциальность персональных данных — обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

Иные понятия используются в значениях, установленных 152-ФЗ.

1.3. Реквизиты Оператора

• Наименование (организационно-правовая форма): ООО «РЕАЛПРО»
• ИНН: 7813679550
• ОГРН (ОГРНИП): 1247800042423
• Юридический адрес: (уточняется)
• Фактический адрес (адрес для направления обращений): (уточняется)
• Адрес электронной почты для обращений субъектов: (уточняется)
• Телефон: (уточняется)
• Сайт: нашгольф.рф

Ответственный за организацию обработки персональных данных:

• ФИО: (уточняется)
• Должность: (уточняется)
• Контактный телефон: (уточняется)
• Адрес электронной почты: (уточняется)
• Почтовый адрес: (уточняется)

1.4. Права и обязанности Оператора и субъекта персональных данных

1.4.1. Оператор обязан: обрабатывать персональные данные на законном и справедливом основании; ограничивать обработку достижением конкретных, заранее определённых и законных целей; не объединять базы данных, обработка которых осуществляется в несовместимых между собой целях; обрабатывать только те персональные данные, которые отвечают целям их обработки; обеспечивать точность, достаточность и актуальность персональных данных; принимать необходимые правовые, организационные и технические меры для защиты персональных данных; разъяснять субъекту персональных данных его права; отвечать на обращения и запросы субъектов и Роскомнадзора в установленные сроки; прекращать обработку и уничтожать (обезличивать) персональные данные при достижении целей обработки, отзыве согласия или при наступлении иных законных оснований; соблюдать требование о локализации баз данных персональных данных граждан Российской Федерации на территории Российской Федерации.

1.4.2. Оператор вправе: получать от субъекта достоверные персональные данные и документы; самостоятельно определять состав и перечень мер защиты; поручать обработку персональных данных другим лицам с согласия субъекта (если иное не предусмотрено законом) на основании договора (поручения); ограничивать доступ к персональным данным; обрабатывать персональные данные без согласия субъекта в случаях, предусмотренных 152-ФЗ.

1.4.3. Субъект персональных данных имеет право: на получение информации, касающейся обработки его персональных данных (статья 14 152-ФЗ); на доступ к своим персональным данным; требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку персональных данных; требовать прекращения передачи (распространения, предоставления, доступа) персональных данных, ранее разрешённых для распространения; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке; на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

1.4.4. Субъект персональных данных обязан: предоставлять достоверные персональные данные; своевременно сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных. За предоставление персональных данных третьих лиц (в том числе при загрузке счётных карточек, содержащих данные других игроков) субъект отвечает самостоятельно и подтверждает наличие у него законных оснований для такой передачи.

---

Раздел 2. Цели сбора и обработки персональных данных

2.1. Оператор обрабатывает персональные данные исключительно в конкретных, заранее определённых и законных целях. Несовместимые между собой цели не объединяются. Цели обработки:

1. Аутентификация и идентификация пользователя — регистрация и вход в Сервис по номеру телефона и паролю, заданному пользователем при регистрации (номер телефона используется как логин).
2. Ведение учётной записи и профиля пользователя — создание и ведение профиля игрока, тренера, спонсора/представителя клуба, болельщика.
3. Формирование и публичное отображение публичных витрин Сервиса — самостоятельная цель, предполагающая распространение персональных данных неопределённому кругу лиц: публичный рейтинг (имя игрока и город), Зал славы, реестр результатов «hole-in-one», публичные профили игрока и тренера.
4. Обработка и распознавание счётных карточек — приём, хранение и распознавание (в том числе средствами OCR) фотографий счётных карточек гольфа для учёта результатов игр.
5. Формирование и ведение спортивных и рейтинговых данных — расчёт и ведение гандикапа и рейтинговых показателей, в том числе синхронизация гандикапа и рейтинговых данных с Ассоциацией гольфа России (АГР).
6. Обработка отзывов — приём, размещение и модерация отзывов пользователей.
7. Информационное взаимодействие с пользователем — направление сервисных, информационных и (при наличии согласия) рекламных сообщений, обработка обращений и запросов пользователей, в том числе с использованием систем управления взаимоотношениями (CRM).
8. Соблюдение требований законодательства — исполнение обязанностей Оператора, предусмотренных законодательством Российской Федерации.

2.2. Обработка персональных данных, не совместимая с указанными целями, не осуществляется.

---

Раздел 3. Правовые основания обработки персональных данных

3.1. Обработка персональных данных осуществляется на следующих правовых основаниях (статья 6 152-ФЗ):

• согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 152-ФЗ) — для целей аутентификации, ведения профиля, обработки отзывов, информационного взаимодействия;
• обработка персональных данных в связи с исполнением договора (пользовательского соглашения / публичной оферты), стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (пункт 5 части 1 статьи 6 152-ФЗ) — для предоставления функциональности Сервиса;
• отдельное согласие субъекта персональных данных на обработку персональных данных, разрешённых субъектом для распространения (статья 10.1 152-ФЗ) — для публичного отображения персональных данных в публичных витринах Сервиса (рейтинг, Зал славы, hole-in-one, публичные профили);
• обработка персональных данных, необходимая для осуществления прав и законных интересов Оператора или третьих лиц (пункт 7 части 1 статьи 6 152-ФЗ) — в той части, в какой это не нарушает права и свободы субъекта.

3.2. Для несовершеннолетних субъектов (юниоров) правовым основанием является согласие, данное законным представителем (родителем, усыновителем, опекуном, попечителем), в порядке, описанном в подразделе 4-бис.

3.3. Обработка осуществляется на основании следующих нормативных правовых актов и внутренних документов Оператора:

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 21.07.2014 № 242-ФЗ (требование о локализации баз данных персональных данных граждан Российской Федерации);
• иные нормативные правовые акты Российской Федерации в области персональных данных;
• (уточняется);
• Пользовательское соглашение (публичная оферта) Сервиса;
• формы согласий на обработку персональных данных и на распространение персональных данных;
• настоящая Политика и локальные акты Оператора по защите персональных данных.

---

Раздел 4. Объём и категории обрабатываемых персональных данных. Категории субъектов

4.1. Категории субъектов персональных данных

• игрок (в том числе несовершеннолетний — юниор);
• тренер;
• спонсор / представитель клуба;
• болельщик (зарегистрированный пользователь);
• третьи лица — иные игроки, чьи персональные данные содержатся в фотографиях счётных карточек, загружаемых пользователями.

4.2. Категории и перечень обрабатываемых персональных данных

Оператор обрабатывает следующие персональные данные:

• номер телефона (используется в качестве логина и для входа по парольу);
• фамилия, имя, отчество (при наличии);
• дата рождения и производный показатель — возраст;
• страна;
• город;
• клуб (принадлежность к гольф-клубу);
• ссылки на профили в социальных сетях;
• фотографии счётных карточек гольфа (содержат фамилии/имена и спортивные результаты игроков, в том числе третьих лиц);
• гандикап и рейтинговые данные (часть данных может поступать от Ассоциации гольфа России — АГР);
• содержание отзывов;
• адрес электронной почты (при указании пользователем) и иные контактные данные;
• технические данные сетевого взаимодействия (см. раздел о cookie ниже).

4.3. Соотнесение категорий ПДн, субъектов и целей

4.4. Особые категории и биометрические персональные данные

4.4.1. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни).

4.4.2. Оператор не обрабатывает биометрические персональные данные: фотографии (в том числе изображения на счётных карточках и в профилях) не используются Оператором для установления личности субъекта (биометрической идентификации), а используются исключительно для оформления профиля, учёта спортивных результатов и публичного отображения в составе витрин. В случае если Оператор начнёт использовать фотографии для целей идентификации личности, он установит особый режим обработки биометрических персональных данных и получит отдельное согласие в письменной форме в соответствии со статьёй 11 152-ФЗ, о чём внесёт изменения в настоящую Политику.

4.5. Персональные данные третьих лиц на счётных карточках

4.5.1. Фотографии счётных карточек гольфа могут содержать персональные данные третьих лиц — иных игроков (фамилии, имена, спортивные результаты). Загружая такие фотографии, пользователь подтверждает наличие у него правовых оснований для передачи Оператору этих данных. Публичное раскрытие персональных данных третьих лиц, содержащихся в счётных карточках, осуществляется только при наличии надлежащего согласия соответствующих субъектов на распространение (статья 10.1 152-ФЗ). При отсутствии такого согласия персональные данные третьих лиц обрабатываются без распространения и (или) обезличиваются перед публикацией.

---

Раздел 4-бис. Обработка персональных данных несовершеннолетних (юниоров)

4-бис.1. Среди игроков Сервиса возможны несовершеннолетние (юниоры гольфа). Оператор обрабатывает персональные данные несовершеннолетних с соблюдением повышенных требований.

4-бис.2. Согласие на обработку персональных данных несовершеннолетнего, в том числе согласие на распространение его персональных данных в публичных витринах (рейтинг, профиль, Зал славы, hole-in-one), даётся:

• за малолетних в возрасте до 14 лет — законным представителем (родителем, усыновителем, опекуном) полностью от имени ребёнка;
• за несовершеннолетних в возрасте от 14 до 18 лет — самим несовершеннолетним с письменного согласия (одобрения) его законного представителя;
• эмансипированными несовершеннолетними (вступившими в брак или эмансипированными в порядке статьи 27 Гражданского кодекса Российской Федерации) — самостоятельно.

4-бис.3. Согласие законного представителя должно содержать сведения о законном представителе и о несовершеннолетнем субъекте, а также документ, подтверждающий полномочия законного представителя (свидетельство о рождении, документ об опеке/попечительстве). Оператор вправе проверить полномочия законного представителя.

4-бис.4. Публичное распространение персональных данных несовершеннолетнего игрока (включая имя и город в рейтинге, профиль) осуществляется исключительно при наличии отдельного согласия законного представителя на распространение по статье 10.1 152-ФЗ. При отсутствии такого согласия персональные данные несовершеннолетнего в публичных витринах не отображаются.

---

Раздел 5. Порядок и условия обработки персональных данных

5.1. Перечень действий (операций) с персональными данными

Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Способы обработки

Обработка персональных данных осуществляется как с использованием средств автоматизации (смешанная и автоматизированная обработка в ИСПДн Сервиса), так и без использования средств автоматизации.

5.3. Передача персональных данных третьим лицам и поручение обработки

5.3.1. Оператор может поручать обработку персональных данных третьим лицам — обработчикам на основании договора (поручения на обработку) в соответствии с частью 3 статьи 6 152-ФЗ. В поручении устанавливаются перечень действий с персональными данными, цели обработки, обязанность обработчика соблюдать конфиденциальность и обеспечивать безопасность персональных данных, требования к защите персональных данных. Обработчики обязаны соблюдать принципы и правила обработки персональных данных, предусмотренные 152-ФЗ.

5.3.2. Категории лиц, которым персональные данные могут передаваться / обработка которым может быть поручена (по мере подключения соответствующих интеграций):

• оператор связи / SMS-провайдер — для направления одноразовых кодов и сервисных сообщений;
• Ассоциация гольфа России (АГР) — источник и (или) получатель гандикапа и рейтинговых данных; передача и получение данных в целях ведения спортивного рейтинга;
• поставщик услуг распознавания (OCR) — для распознавания счётных карточек;
• поставщик системы управления взаимоотношениями (CRM, в т.ч. amoCRM) — для информационного взаимодействия;
• поставщик услуг хостинга и хранилища (в т.ч. объектное хранилище S3), расположенный на территории Российской Федерации.

5.3.3. Оператор обеспечивает, чтобы базы данных, используемые обработчиками для записи, систематизации, накопления, хранения, уточнения и извлечения персональных данных граждан Российской Федерации, находились на территории Российской Федерации.

5.4. Локализация баз данных персональных данных (242-ФЗ)

Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются Оператором с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 152-ФЗ). Вся обработка и хранение персональных данных в Сервисе осуществляются на серверах и в базах данных, расположенных на территории Российской Федерации (в том числе на инфраструктуре провайдера, размещённой в г. Москве). Трансграничная передача персональных данных не осуществляется (см. раздел 8).

5.5. Сроки обработки и хранения персональных данных

5.5.1. Срок обработки персональных данных определяется достижением целей их обработки, если иной срок не установлен федеральным законом или договором. Персональные данные хранятся не дольше, чем этого требуют цели их обработки.

5.5.2. Сроки хранения по целям:

5.5.3. По достижении целей обработки либо при наступлении иных законных оснований (отзыв согласия, требование субъекта) персональные данные подлежат уничтожению либо обезличиванию в сроки, установленные разделом 6.

5.6. Условия и место хранения

Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки. Хранение осуществляется в ИСПДн Сервиса на серверах и в хранилищах, расположенных на территории Российской Федерации, с применением мер защиты, описанных в разделе 7. Доступ к персональным данным предоставляется ограниченному кругу уполномоченных работников Оператора.

---

Раздел 5-бис. Особенности обработки персональных данных, разрешённых субъектом для распространения (публичные витрины)

5-бис.1. Публичные витрины Сервиса — публичный рейтинг (имя игрока и город), Зал славы, реестр результатов «hole-in-one», публичные профили игрока и тренера — предполагают распространение персональных данных неопределённому кругу лиц. Указанные данные раскрываются на сайте нашгольф.рф открыто, без регистрации.

5-бис.2. Обработка персональных данных, разрешённых субъектом для распространения, осуществляется на основании отдельного согласия субъекта (законного представителя несовершеннолетнего), оформляемого отдельно от иных согласий на обработку персональных данных (часть 1 статьи 10.1 152-ФЗ) и с учётом требований Приказа Роскомнадзора от 24.02.2021 № 18.

5-бис.3. Молчание или бездействие субъекта ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешённых для распространения (часть 8 статьи 10.1 152-ФЗ). Преднастроенные («предзаполненные») отметки согласия и согласие по умолчанию не применяются — требуется явное активное действие субъекта.

5-бис.4. Оператор обеспечивает субъекту возможность определить перечень персональных данных, разрешённых для распространения, по каждой категории, отдельно для каждой витрины (например, разрешить публикацию имени и не разрешить публикацию города), а также установить запреты на передачу (кроме предоставления доступа) неопределённому кругу лиц и условия обработки и распространения (части 1, 9 статьи 10.1 152-ФЗ). Отказ Оператора установить заявленные субъектом запреты и условия не допускается.

5-бис.5. Если субъект не определил перечень персональных данных, разрешённых для распространения, такие персональные данные обрабатываются Оператором без передачи (распространения, предоставления, доступа) неопределённому кругу лиц (часть 5 статьи 10.1 152-ФЗ): публичный профиль и позиция в рейтинге не публикуются.

5-бис.6. Оператор не позднее трёх рабочих дней с момента получения согласия на распространение публикует информацию об условиях обработки и о наличии запретов и условий на обработку (передачу неопределённому кругу лиц) персональных данных, разрешённых для распространения (часть 10 статьи 10.1 152-ФЗ).

5-бис.7. Субъект (законный представитель) вправе в любое время потребовать прекратить передачу (распространение, предоставление, доступ) ранее разрешённых для распространения персональных данных. Такое требование исполняется Оператором — действие согласия в этой части прекращается с момента поступления требования; персональные данные исключаются из публичных витрин.

5-бис.8. Сведения об информационных ресурсах, посредством которых осуществляется предоставление доступа неопределённому кругу лиц (адрес сайта нашгольф.рф и конкретные разделы — рейтинг, Зал славы, hole-in-one, профили), указываются в форме согласия на распространение.

---

Раздел 6. Актуализация, исправление, удаление и уничтожение персональных данных. Ответы на обращения субъектов

6.1. Реализация прав субъекта

6.1.1. Субъект персональных данных вправе обратиться к Оператору за сведениями, касающимися обработки его персональных данных (статья 14 152-ФЗ), в том числе за подтверждением факта обработки, правовыми основаниями и целями, способами обработки, перечнем обрабатываемых данных и источником их получения, сроками обработки и хранения, сведениями о лицах-обработчиках. Сведения предоставляются в доступной форме и не должны содержать персональные данные третьих лиц.

6.1.2. Обращения и запросы направляются по адресу (уточняется), по электронной почте (уточняется) или через интерфейс Сервиса (личный кабинет). Рекомендуемые формы запроса (на доступ, уточнение, блокирование, удаление, отзыв согласия) приведены в Приложениях к Политике (уточняется).

6.2. Сроки ответа на обращения

Оператор предоставляет субъекту запрашиваемые сведения либо обеспечивает ознакомление в течение 10 рабочих дней со дня обращения с возможностью продления, но не более чем на 5 рабочих дней, с направлением субъекту мотивированного уведомления (статья 20 152-ФЗ). Доступ субъекта к своим персональным данным предоставляется безвозмездно.

6.3. Уточнение и блокирование

В случае подтверждения факта неточности персональных данных Оператор уточняет их на основании предоставленных сведений в срок не более 7 рабочих дней и снимает блокирование. При выявлении неправомерной обработки Оператор осуществляет блокирование на период проверки.

6.4. Отзыв согласия и уничтожение персональных данных

6.4.1. Субъект вправе в любой момент отозвать согласие на обработку персональных данных. Отзыв направляется Оператору в письменной форме либо иным способом, позволяющим подтвердить факт его получения.

6.4.2. При достижении цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты достижения цели, если иное не предусмотрено договором или федеральным законом (часть 4 статьи 21 152-ФЗ).

6.4.3. При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено соглашением сторон либо если Оператор не вправе продолжать обработку без согласия по иным законным основаниям (часть 5 статьи 21 152-ФЗ). Данные, обработка которых необходима для исполнения договора или предусмотрена федеральным законом, могут сохраняться на соответствующем правовом основании.

6.4.4. При невозможности устранения нарушений при неправомерной обработке Оператор прекращает обработку в срок не более 3 рабочих дней, а при невозможности обеспечить правомерность — уничтожает персональные данные в срок не более 10 рабочих дней.

6.4.5. Вместо уничтожения по достижении целей персональные данные могут быть обезличены (для ведения исторической спортивной статистики и агрегированных рейтингов).

6.4.6. Факт уничтожения персональных данных при автоматизированной обработке подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в ИСПДн (Приказ Роскомнадзора от 28.10.2022 № 179); указанные документы хранятся 3 года.

---

Раздел 7. Сведения о реализуемых требованиях к защите персональных данных

7.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (статьи 18.1, 19 152-ФЗ).

7.2. Правовые и организационные меры:

• назначение ответственного за организацию обработки персональных данных (пункт 1 части 1 статьи 18.1 152-ФЗ);
• издание настоящей Политики и локальных актов по вопросам обработки и защиты персональных данных, определяющих для каждой цели категории и перечень обрабатываемых персональных данных, сроки хранения и порядок уничтожения;
• осуществление внутреннего контроля и (или) аудита соответствия обработки требованиям законодательства;
• оценка вреда, который может быть причинён субъектам в случае нарушения 152-ФЗ;
• ознакомление и обучение работников, непосредственно осуществляющих обработку персональных данных;
• определение угроз безопасности и установление режима конфиденциальности; учёт машинных носителей персональных данных.

7.3. Технические меры:

• разграничение прав доступа к персональным данным, идентификация и аутентификация пользователей и работников;
• защита механизма самописной аутентификации по номеру телефона: ограничение количества попыток ввода и срока действия одноразового парольа, защита от подбора и автоматизированных атак, троттлинг запросов;
• защита канала передачи SMS и иных каналов связи, шифрование передаваемых данных (HTTPS/TLS);
• резервное копирование и восстановление данных; регистрация и учёт событий в ИСПДн (журналирование);
• применение средств защиты информации, антивирусной защиты и контроля целостности;
• контроль за принимаемыми мерами и их периодическая оценка.

7.4. Перечень конкретных применяемых средств и мер защиты определяется внутренними документами Оператора с учётом актуальных угроз безопасности и требований к защите персональных данных, установленных Правительством Российской Федерации.

---

Раздел 8. Трансграничная передача персональных данных

8.1. Трансграничная передача персональных данных Оператором не осуществляется. Вся обработка и хранение персональных данных осуществляются на территории Российской Федерации, что согласуется с требованием о локализации (часть 5 статьи 18 152-ФЗ).

8.2. В случае возникновения необходимости трансграничной передачи персональных данных Оператор предварительно направит уведомление в Роскомнадзор в порядке статьи 12 152-ФЗ и внесёт соответствующие изменения в настоящую Политику.

---

Раздел 9. Заключительные положения

9.1. Настоящая Политика утверждена (уточняется) и вступает в силу с (уточняется).

9.2. Политика подлежит пересмотру и актуализации при изменении законодательства Российской Федерации, состава обрабатываемых персональных данных, целей или условий обработки, а также по мере необходимости. Новая редакция Политики вступает в силу с момента её размещения в Сервисе, если иное не предусмотрено самой редакцией.

9.3. Действующая редакция Политики размещается в свободном доступе на сайте нашгольф.рф по адресу https://нашгольф.рф/privacy и доступна в мобильном приложении Наш Гольф. Доступ обеспечивается без регистрации, по прямой ссылке, в том числе на всех страницах сбора персональных данных.

9.4. Об изменениях Политики субъекты информируются путём размещения новой редакции в Сервисе; существенные изменения дополнительно могут доводиться до сведения пользователей через интерфейс Сервиса.

---

Информация о связанных обязанностях Оператора (справочно)

Помимо настоящей Политики Оператор обеспечивает соблюдение следующих обязанностей:

• Уведомление Роскомнадзора о намерении осуществлять обработку персональных данных до начала обработки (статья 22 152-ФЗ). Поскольку обработка является автоматизированной и осуществляется коммерческим оператором, ни одно из исключений части 2 статьи 22 152-ФЗ не применяется — уведомление обязательно.
• Уведомление Роскомнадзора об инцидентах (утечках) — в течение 24 часов о факте инцидента и в течение 72 часов о результатах внутреннего расследования (часть 3.1 статьи 21 152-ФЗ).
• Оформление согласий на обработку персональных данных отдельным документом от иных подписываемых субъектом документов, в том числе отдельно от Пользовательского соглашения (оферты) и от настоящей Политики (статья 9 152-ФЗ, с учётом изменений, действующих с 01.09.2025); отметка о согласии при регистрации по SMS реализуется отдельным неотмеченным по умолчанию элементом.

---

*Настоящий документ является шаблоном и подлежит юридической выверке Оператором с заполнением всех плейсхолдеров вида (уточняется) и проверкой актуальности правовых норм на дату утверждения.*