Политика в отношении обработки персональных данных клиентов и посетителей сайта, приложения

1. Общие положения

Настоящая Политика в отношении обработки персональных данных клиентов и посетителей сайта, приложения (далее - Политика) определяет общие принципы и порядок обработки персональных данных (далее - ПДн) клиентов и посетителей сайта, приложения (далее совместно - Субъекты ПДн), и основные меры по обеспечению безопасности их ПДн в ООО «БК «ПАРИ», ОГРН 1027703029188 (далее - Общество, Оператор).

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - ФЗ №152), другими законодательными и нормативными правовыми актами Российской Федерации, определяющими порядок работы с ПДн и требования к обеспечению их безопасности. Настоящая Политика издана в целях выполнения Обществом, являющимся оператором Персональных данных, своих обязанностей в рамках требований статьи 18.1 ФЗ №152.

2. Принципы обработки персональных данных

Обработка ПДн Обществом осуществляется в соответствии со следующими принципами:

• обработка ПДн осуществляется на законной и справедливой основе. Общество принимает все необходимые меры по выполнению требований законодательства, не обрабатывает ПДн в случаях, когда это не допускается законодательством и не требуется для достижения определенных Обществом целей, не использует ПДн во вред субъектам ПДн;
• обработка ПДн ограничивается достижением конкретных, заранее определённых и законных целей;
• обработке подлежат только те ПДн, которые отвечают заявленным целям их обработки;
• содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки;
• обрабатываемые ПДн не являются избыточными по отношению к заявленным целям обработки;
• при обработке ПДн не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, не совместимых между собой;
• при обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки;
• хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, согласием субъекта ПДн или договором, стороной которого является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Обществом допущенных нарушений при обработке ПДн, если иное не предусмотрено федеральным законом.

3. Правовые основания обработки персональных данных

Правовыми основаниями обработки ПДн Обществом являются:

• законодательство Российской Федерации, в том числе Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», Федеральный закон от 29.12.2006 № 244-ФЗ «О государственном регулировании деятельности по организации и проведению азартных игр и о внесении изменений в некоторые законодательные акты Российской Федерации», Федеральный закон «О публично-правовой компании «Единый регулятор азартных игр» и о внесении изменений в отдельные законодательные акты Российской Федерации» от 30.12.2020 № 493-ФЗ;
• уставные документы Общества;
• договоры, заключаемые между Обществом и субъектом ПДн;
• договоры, заключаемые между Обществом и контрагентами;
• согласия субъекта ПДн на обработку ПДн.

4. Порядок и условия обработки персональных данных

Обработка ПДн Обществом допускается в следующих случаях:

• обработка ПДн осуществляется с согласия субъекта ПДн на обработку его ПДн;
• обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством на Общество функций, полномочий и обязанностей;
• обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской;
• обработка ПДн необходима для исполнения договора, стороной которого является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн;
• обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта ПДн невозможно;
• обработка ПДн Обществом необходима для осуществления прав и законных интересов Общества и/или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъектов ПДн.

Базы данных, с использованием которых осуществляются запись, систематизация, накопление, хранение, уточнение (обновление, изменение), а также извлечение ПДн граждан Российской Федерации, находятся на территории Российской Федерации.

В случае, если обработка ПДн Обществом осуществляется в целях исполнения договора, стороной которого является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн, заключаемый с субъектом ПДн договор не может содержать положения, ограничивающие права и свободы субъекта ПДн, а также положения, допускающие в качестве условия заключения договора бездействие субъекта ПДн.

Общество не раскрывает третьим лицам и не распространяет ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством, договором с субъектом ПДн или не указано в полученном от него согласии на обработку ПДн.

Общество вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (далее - поручение Оператора). Лицо, осуществляющее обработку ПДн по поручению Оператора, обязано соблюдать принципы и правила обработки ПДн, предусмотренные настоящей Политикой и ФЗ № 152.

В случае, если Общество поручает обработку ПДн другому лицу, ответственность перед субъектом ПДн за действия указанного лица несет Общество. Лицо, осуществляющее обработку ПДн по поручению Общества, несет ответственность перед Обществом.

Общество осуществляет обработку ПДн с использованием средств автоматизации, а также без использования таких средств.

Общество не принимает решения, порождающие юридические последствия в отношении субъектов ПДн или иным образом затрагивающие их права и законные интересы, на основании исключительно автоматизированной обработки ПДн. Данные, имеющие юридические последствия или затрагивающие права и законные интересы Работников и Клиентов, подлежат перед их использованием проверке со стороны уполномоченного работника Общества.

5. Цели обработки персональных данных

Цель	Категория субъектов ПДн	Перечень ПДн	Категория ПДн	Способы обработки ПДн	Срок обработки и хранения ПДн, порядок уничтожения ПДн
Организация и проведение азартных игр (включая заключение основанных на риске соглашений о выигрыше)	Клиенты	- Фамилия, имя, отчество - Дата рождения - Возраст - Данные документа, удостоверяющего личность - Номер контактного телефона - Адрес электронной почты - ИНН - СНИЛС - Иные сведения из дополнительных полей - Данные о действиях на сайте/приложении - Учитываемые данные клиента	Иные	С использованием средств автоматизации Без использования таких средств	5 лет с момента последнего взаимодействия. ПДн уничтожаются в течение 30 дней с момента достижения целей обработки или получения отзыва согласия в соответствии с внутренними нормативными актами.
Защита интересов при подозрении на недобросовестные действия	Клиенты	- Фамилия, имя, отчество - Данные документа - ИНН - СНИЛС - Фотография - Видеоизображения - Подтверждающие документы	Иные	С использованием средств автоматизации Без использования таких средств	5 лет с момента последнего взаимодействия. ПДн уничтожаются в течение 30 дней с момента достижения целей обработки или получения отзыва согласия в соответствии с внутренними нормативными актами.
Выполнение требований к организатору азартных игр	Клиенты	- Фамилия, имя, отчество - Дата рождения - Возраст - Данные документа - Номер телефона - Email - ИНН - СНИЛС - Данные о действиях - Данные о транзакциях	Иные	С использованием средств автоматизации Без использования таких средств	5 лет с момента последнего взаимодействия. ПДн уничтожаются в течение 30 дней с момента достижения целей обработки или получения отзыва согласия в соответствии с внутренними нормативными актами.
Организация программы лояльности, маркетинговых проектов	Клиенты	- Фамилия, имя, отчество - Данные документа - Адрес проживания - ИНН - Номер телефона - Банковские реквизиты - Семейное положение - Биография - Email - Фотография - Видеоизображение - Запись голоса	Иные	С использованием средств автоматизации Без использования таких средств	3 года с момента прекращения участия. ПДн уничтожаются в течение 30 дней с момента достижения целей обработки или получения отзыва согласия в соответствии с внутренними нормативными актами.
Предоставление информации об Обществе	Пользователи сайта и мобильного приложения	- Дата первого посещения - Сведения о блокировщиках рекламы - Данные о поведении - Количество сеансов - Идентификатор пользователя - Cookie-файлы	Иные	С использованием средств автоматизации	До момента достижения цели обработки ПДн, зависящей от типа файлов Сookies. ПДн уничтожаются в течение 30 дней с момента достижения целей обработки или получения отзыва согласия в соответствии с внутренними нормативными актами.

Общество также может обрабатывать иную информацию, такую как:

• данные о геолокации мобильного устройства Клиента;
• технические данные, в том числе: данные об аппаратном и программном обеспечении устройства Клиента, имя устройства Клиента, публичные IP-адреса, cookie, данные об идентификаторе браузера и иные данные.

6. Права, согласия субъектов персональных данных

Субъект ПДн принимает решение о предоставлении своих ПДн Обществу и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку ПДн может предоставляться субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством.

Обработка ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта ПДн. Общество обязано немедленно прекратить по письменному требованию субъекта ПДн обработку его ПДн в вышеуказанных целях.

Субъект ПДн имеет право на получение по письменному запросу информации, касающейся обработки его ПДн (если такое право не ограничено в соответствии с федеральными законами.

Субъект ПДн вправе требовать от Общества (посредством направления письменного запроса) уточнения своих ПДн, их блокирования или уничтожения в случаях, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Согласие на обработку ПДн, может быть отозвано субъектом ПДн. В этом случае Общество уничтожает такие ПДн, в отношении которых отзывается согласие на обработку, в течение 30 дней с момента получения отзыва согласия субъекта на обработку его ПДн если иной срок не определен в уведомлении или договоре, при условии, что у Общества отсутствуют основания для продолжения их обработки в соответствии с действующим законодательством. Согласие может быть отозвано путем направления письменного заявления с личной подписью по адресу Общества, либо путем направления скан-копии письменного заявления с личной подписью на электронную почту support@pari-kz.club.

Субъект ПДн вправе направить Обществу требование о прекращении обработки его ПДн путем направления письменного требования с личной подписью по адресу Общества либо путем направления скан-копии письменного заявления с личной подписью на почту support@pari-kz.club. В срок, установленный действующим законодательством, Общество прекращает обработку ПДн, за исключением случаев, предусмотренным законодательством.

7. Обязанности Общества

В соответствии с требованиями ФЗ № 152 Общество обязано:

• предоставлять субъекту ПДн по его письменному запросу информацию, касающуюся обработки его ПДн, либо на законных основаниях предоставить отказ;
• по требованию субъекта ПДн уточнять обрабатываемые ПДн, блокировать или удалять, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. Либо обеспечить уточнение, блокирование, удаление, в случае если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора;
• в случае достижения цели обработки ПДн, незамедлительно прекратить обработку ПДн и уничтожить либо обезличить соответствующие ПДн в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено федеральными законами. Либо обеспечить уничтожение, обезличивание, в случае если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора;
• в случае отзыва субъектом ПДн согласия на обработку своих ПДн, прекратить обработку ПДн и уничтожить ПДн в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Оператором и субъектом ПДн, при условии, что у Общества отсутствуют основания для продолжения их обработки в соответствии с действующим законодательством. Либо обеспечить прекращение обработки ПДн и их уничтожение, в случае если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора;
• в случае обращения субъекта ПДн к Обществу с требованием о прекращении обработки ПДн, в срок, не превышающий десяти рабочих дней с даты получения Обществом соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку ПДн), за исключением случаев, предусмотренных п. 2 - 11 ч. 1 ст. 6,частью 2 ст. 10 и ч. 2 ст. 11 ФЗ № 152, в том числе при условии, что у Общества отсутствуют основания для продолжения их обработки в соответствии с действующим законодательством;
• в случае поступления требования субъекта о прекращении обработки ПДн в маркетинговых целях немедленно прекратить обработку ПДн. Либо обеспечить прекращение обработки ПДн, в случае если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора;
• при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети Интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации;
• в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, уведомить уполномоченный орган по защите прав субъектов ПДн;
• обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн.

8. Сведения о реализуемых требованиях к защите персональных данных

Безопасность ПДн, обрабатываемых Обществом, обеспечивается реализацией правовых, организационных и технических мер, необходимых и достаточных для обеспечения требований законодательства о ПДн.

Правовые меры, принимаемые Обществом, включают:

• разработку локальных актов Общества, реализующих требования законодательства, в том числе - Политики Общества в отношении обработки ПДн;
• отказ от любых способов обработки ПДн, не соответствующих определенным в Политике целям и требованиям законодательства.

Организационно-технические меры, принимаемые Обществом, включают:

• назначение лица, ответственного за организацию обработки ПДн;
• назначение лица, ответственного за обеспечение безопасности ПДн в информационных системах персональных данных (далее - ИСПДн);
• ограничение состава лиц, допущенных к обработке ПДн, и организацию разрешительной системы доступа к ним;
• ознакомление лиц, непосредственно осуществляющих обработку ПДн, с положениями законодательства о ПДн, в том числе с требованиями к защите ПДн, с Политикой, другими локальными актами Общества по вопросам обработки ПДн;
• обучение всех категорий работников Общества, непосредственно осуществляющих обработку ПДн, правилам работы с ними и обеспечения безопасности обрабатываемых данных;
• регламентацию процессов обработки ПДн;
• определение угроз безопасности ПДн при их обработке в ИСПДн, формирование на их основе частной модели (моделей) угроз;
• разработку на основе частной модели угроз системы защиты ПДн для установленных Правительством Российской Федерации уровней защищенности ПДн при их обработке в ИСПДн;
• использование для нейтрализации актуальных угроз средств защиты информации (далее - СЗИ), прошедших процедуру оценки соответствия;
• оценку эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
• проверку готовности и эффективности использования СЗИ;
• разграничение доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации;
• организацию учета, хранения и обращения носителей, содержащих информацию с ПДн;
• регистрацию и учёт действий c ПДн пользователей информационных систем, где обрабатываются ПДн;
• размещение технических средств обработки ПДн в пределах охраняемой территории;
• ограничение допуска посторонних лиц в помещения Общества, недопущение их нахождения в помещениях, где ведется работа с ПДн и размещаются технические средства их обработки, без контроля со стороны работников Общества;
• обнаружение фактов несанкционированного доступа (далее - НСД) к ПДн и принятие мер;
• восстановление ПДн, модифицированных или уничтоженных вследствие НСД к ним;
• проведение оценки возможного вреда субъектам ПДн, который может быть причинен в случае нарушения требований безопасности;
• контроль эффективности применяемых мер и средств по обеспечению безопасности ПДн, а также контроль уровня защищенности ИСПДн.

9. Заключительные положения

Иные обязанности и права Общества как Оператора ПДн и лица, организующего их обработку по поручению других операторов, определяются законодательством Российской Федерации в области ПДн.

Должностные лица и Работники Общества, виновные в нарушении норм, регулирующих обработку и защиту ПДн, несут материальную, дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.

Политика пересматривается и совершенствуется на регулярной основе. Обязательный пересмотр Политики проводится в случае существенных изменений международного законодательства или законодательства Российской Федерации в сфере ПДн.

Внесение изменений в настоящий документ инициируется Лицом, ответственным за организацию обработки ПДн Общества.

Ответственность за осуществление общего контроля выполнения требований настоящего документа, предоставление рекомендаций по их выполнению, поддержание документа в актуальном состоянии с учетом требований международных и национальных стандартов, а также законодательства Российской Федерации несет Лицо, ответственное за организацию обработки ПДн Общества.

Термины, определения и сокращения

Термин	Определение
Деятельность по организации и проведению азартных игр	деятельность по оказанию услуг по заключению с участниками азартных игр основанных на риске соглашений о выигрыше или по организации заключения таких соглашений между двумя или несколькими участниками азартной игры
Единый регулятор азартных игр (ЕРАИ)	публично-правовая компания, созданная в целях повышения эффективности государственного контроля (надзора) за организацией и проведением азартных игр и обеспечения внебюджетного финансирования спорта в Российской Федерации (ИНН 9703038188, местонахождение: 123112, г. Москва, вн. тер. г. муниципальный округ Пресненский, наб. Пресненская, д. 8, стр. 1, этаж 6, пом. IN, ком. 9а, 9б, 9в, 9г, 9д, 9е, 9ж)
Единый центр учета переводов ставок букмекерских контор и тотализаторов (Единый ЦУПИС)	кредитная организация, в том числе небанковская кредитная организация, осуществляющая деятельность по приему от физического лица денежных средств, в том числе электронных денежных средств (за исключением почтовых переводов), а также их учет и перевод Обществу по поручению такого физического лица. В Политике под Единым ЦУПИС понимается ООО НКО «Мобильная карта» (191024, г. Санкт-Петербург, 2-я Советская ул., д. 27/2, лит. А, пом. 62-Н; ИНН 7835905228; Лицензия № 3522-К от 24.12.2019, support@1cupis.ru), если иное не указано специально
Информационная система персональных данных	совокупность содержащихся в базах данных персональных данных, и обеспечивающих их обработку информационных технологий и технических средств
Оператор, Общество	ООО «БК «ПАРИ», самостоятельно или совместно с другими лицами, организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
Сайт	веб-сайт Общества в сети Интернет по адресу https://pari-kz.club/
Мобильное приложение	Официальное мобильное приложение Общества, ссылки на которые размещены по ссылке https://pari-kz.club/apps/
Сокращение	Значение
ПДн	Персональные данные
ИСПДн	Информационные системы персональных данных
НСД	Несанкционированный доступ
РФ	Российская Федерация
СЗИ	Средство защиты информации
ФЗ № 152	Федеральный закон от 27.07.2006 № 152 ФЗ «О персональных данных»