Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных Оператором и издана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

1.2. Политика распространяется на обработку персональных данных, полученных через сайт beamix.ru и через мобильное приложение «Beamix» (далее совместно — Сервис).

1.3. Оператор обрабатывает персональные данные на принципах статьи 5 Закона: обработка ограничивается заранее определёнными целями, объём данных соответствует целям, данные не хранятся дольше, чем требуется для целей обработки.

2. Назначение Сервиса

2.1. Сервис предназначен для измерения времени прохождения круга на памп-треке и BMX-треке при помощи лазерного хронометра и для ведения истории измерений тренером.

2.2. Оператор не использует персональные данные для рекламы, профилирования, принятия решений на основании исключительно автоматизированной обработки (статья 16 Закона) и не передаёт их третьим лицам, кроме случаев, указанных в разделе 8.

3. Категории субъектов и обрабатываемых данных

3.1. Пользователи Сервиса (тренеры, владельцы устройств). Оператор обрабатывает: адрес электронной почты; отображаемое имя, указанное пользователем; хэш пароля (сам пароль Оператору неизвестен и не хранится); дату регистрации; идентификатор и метку принадлежащего пользователю устройства-хронометра.

3.2. Спортсмены (райдеры), сведения о которых вносит Пользователь. Оператор обрабатывает: отображаемое имя, указанное Пользователем; год рождения (необязательно, вносится для распределения по возрастным группам); результаты измерений — время круга, количество кругов, дата и время измерения, наименование тренировки и указанное Пользователем место проведения; отметку о действительности результата и комментарий Пользователя.

3.3. Посетители сайта. В журналах веб-сервера фиксируются: IP-адрес в усечённом виде, дата и время запроса, запрошенный адрес, код ответа, характеристики браузера.

3.4. Оператор не обрабатывает: специальные категории персональных данных (статья 10 Закона), в том числе сведения о состоянии здоровья; биометрические персональные данные (статья 11 Закона); паспортные данные; точную дату рождения; адрес места жительства; номер телефона; платёжные данные; данные о геолокации устройства.

3.5. Результаты измерений представляют собой спортивный результат и не являются сведениями о состоянии здоровья.

4. Цели обработки

• Адрес электронной почты и хэш пароля — регистрация и аутентификация.
• Отображаемое имя Пользователя — обращение к Пользователю в интерфейсе.
• Идентификатор устройства — привязка устройства к учётной записи.
• Имя спортсмена — соотнесение результата с конкретным спортсменом.
• Год рождения спортсмена — распределение результатов по возрастным группам.
• Результаты измерений — ведение истории тренировок, расчёт личных рекордов и динамики.
• Журналы веб-сервера — работоспособность и защита Сервиса.

5. Правовые основания обработки

5.1. Для данных Пользователей — согласие субъекта (пункт 1 части 1 статьи 6 Закона), выраженное при регистрации, и исполнение соглашения об использовании Сервиса (пункт 5 части 1 статьи 6 Закона).

5.2. Для данных спортсменов — поручение оператора в порядке части 3 статьи 6 Закона. Оператором в отношении данных спортсменов является Пользователь (тренер) либо спортивная организация, от имени которой он действует. Индивидуальный предприниматель Яковлев Антон Викторович обрабатывает эти данные по поручению Пользователя, в пределах, определённых поручением, и не определяет самостоятельно цели их обработки.

5.3. Пользователь, внося сведения о спортсмене, подтверждает, что располагает согласием субъекта, а если спортсмен не достиг возраста, в котором вправе давать согласие самостоятельно, — согласием его законного представителя. Форма такого согласия опубликована по адресу https://beamix.ru/consent и предоставляется безвозмездно.

6. Обработка данных несовершеннолетних

6.1. Сервис применяется преимущественно в детско-юношеском спорте. Оператор исходит из того, что значительная часть спортсменов, сведения о которых вносятся Пользователями, является несовершеннолетними.

6.2. Согласие на обработку персональных данных несовершеннолетнего, не обладающего полной дееспособностью, даёт его законный представитель (часть 1 статьи 9 Закона, статья 28 Гражданского кодекса Российской Федерации). Получение такого согласия обеспечивает Пользователь.

6.3. Объём данных о спортсмене намеренно ограничен именем и годом рождения. Оператор не запрашивает и не предоставляет возможности внести точную дату рождения, адрес, номер телефона, сведения о родителях, фотографию или иные данные, не требующиеся для хронометража.

7. Сроки хранения

• Данные учётной записи и связанные с ней данные спортсменов и результаты измерений — в течение срока действия учётной записи; уничтожаются в течение 30 дней с момента её удаления.
• Токены аутентификации — до истечения срока действия, удаляются автоматически.
• Ссылки публичного доступа — не более 365 дней, по истечении срока удаляются автоматически.
• Журналы веб-сервера — не более 30 дней.
• По достижении цели обработки либо при отзыве согласия данные уничтожаются в срок, не превышающий 30 дней, если Законом не установлена обязанность продолжить хранение.

8. Передача данных

8.1. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных Законом, и случая, описанного в пункте 8.2.

8.2. Ссылки публичного доступа. По собственному решению Пользователь может создать ссылку, открывающую доступ к результатам одного спортсмена или одной тренировки без авторизации. Такая ссылка содержит случайный токен длиной 32 байта и не может быть подобрана; имеет обязательный срок действия; может быть отозвана Пользователем в любой момент; открывает только результаты соответствующего спортсмена или тренировки и не даёт доступа к учётной записи, адресу электронной почты Пользователя или к данным других спортсменов; закрыта от индексирования поисковыми системами. Создание такой ссылки является действием Пользователя, и ответственность за её распространение несёт Пользователь.

8.3. Трансграничная передача не осуществляется. Оператор не передаёт персональные данные на территорию иностранных государств. Мобильное приложение обменивается данными исключительно с сервером Оператора; средства аналитики, сбора статистики сбоев и рекламные библиотеки в приложении отсутствуют.

8.4. Функция голосового объявления результатов в мобильном приложении использует средства синтеза речи операционной системы устройства. В синтез передаются только числовые значения времени; имена спортсменов и любые иные персональные данные в синтез речи не передаются.

9. Место обработки и меры защиты

9.1. Базы данных, содержащие персональные данные граждан Российской Федерации, расположены на территории Российской Федерации (часть 5 статьи 18 Закона). Сервер размещён у российского хостинг-провайдера; резервные копии, в случае их создания, размещаются исключительно в российских хранилищах.

9.2. Оператор принимает меры, предусмотренные статьёй 19 Закона, в том числе:

• передача данных между приложением, сайтом и сервером осуществляется только по защищённому протоколу TLS;
• пароли хранятся в виде хэша, полученного с использованием алгоритма bcrypt, и не могут быть восстановлены;
• токены аутентификации хранятся в виде хэша SHA-256;
• доступ к серверу базы данных ограничен локальным интерфейсом;
• попытки входа и регистрации ограничены по частоте;
• IP-адреса в журналах веб-сервера хранятся в усечённом виде;
• определён перечень лиц, имеющих доступ к персональным данным.

10. Права субъекта персональных данных

10.1. Субъект вправе получить сведения об обработке своих персональных данных, требовать их уточнения, блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также отозвать согласие на обработку.

10.2. Обращение направляется на адрес anthony.yakovlev@gmail.com. Оператор отвечает на запрос о предоставлении сведений в течение 30 дней со дня его получения (статья 20 Закона), уточняет либо уничтожает данные в течение 7 рабочих дней с момента представления подтверждающих сведений и прекращает обработку при отзыве согласия в срок, не превышающий 30 дней.

10.3. Обращение в отношении данных спортсмена может быть направлено как Оператору, так и Пользователю, внёсшему эти данные. Оператор передаёт такое обращение Пользователю и обеспечивает исполнение его решения.

10.4. Пользователь вправе в любой момент удалить свою учётную запись. Удаление учётной записи влечёт уничтожение всех связанных с ней данных спортсменов и результатов измерений.

11. Уведомление об инциденте

11.1. При установлении факта неправомерной передачи персональных данных Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Закона).

12. Изменение Политики

12.1. Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента её опубликования по адресу https://beamix.ru/privacy

12.2. Предыдущие редакции сохраняются и предоставляются по запросу.