Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые оператором.

1.2. Оператором персональных данных является ИП [ФАМИЛИЯ И. О.], ИНН [ИНН], ОГРНИП [ОГРНИП], адрес: [ЮРИДИЧЕСКИЙ АДРЕС] (далее — Оператор).

1.3. Политика разработана в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" и иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

1.4. Политика применяется ко всем персональным данным, которые Оператор получает от пользователей платформы YFG (https://yfg.su), включая покупателей билетов, посетителей сайта и организаторов мероприятий.

1.5. Политика публикуется в открытом доступе и действует бессрочно до замены её новой редакцией.

2. Основные понятия

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее обработку персональных данных и определяющее её цели и состав.
• Субъект персональных данных — пользователь Платформы, чьи данные обрабатывает Оператор.
• Обезличивание — действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту без использования дополнительной информации.
• Cookie — небольшие текстовые файлы, сохраняемые в браузере пользователя; порядок их использования описан в Политике использования cookie.

3. Правовые основания обработки

3.1. Оператор обрабатывает персональные данные на следующих основаниях:

• согласие субъекта персональных данных на обработку его данных (статья 6 Федерального закона N 152-ФЗ), выражаемое путём проставления отметки в форме и (или) совершения действий по оформлению заказа;
• исполнение договора, стороной которого является субъект персональных данных, — договора на приобретение билета и оказание сопутствующих услуг;
• исполнение обязанностей, возложенных на Оператора законодательством, в том числе Федеральным законом от 22.05.2003 N 54-ФЗ в части формирования фискальных чеков и налоговым законодательством в части хранения документов;
• осуществление прав и законных интересов Оператора, не нарушающих права субъекта, — предотвращение мошенничества, обеспечение безопасности сервиса, защита от неправомерных действий.

3.2. Обработка данных, несовместимая с указанными целями, не допускается.

4. Состав обрабатываемых персональных данных

4.1. Оператор обрабатывает следующие категории данных пользователей:

• фамилия, имя, отчество либо имя, указанное при регистрации;
• адрес электронной почты и номер телефона;
• город и иные сведения, добровольно указанные в профиле;
• данные учётной записи: идентификатор, хеш пароля, история входов;
• сведения о заказах: состав заказа, стоимость, дата и время покупки, статус оплаты и возврата, идентификаторы транзакций;
• технические данные: IP-адрес, сведения об устройстве и браузере, данные о посещённых страницах и cookie;
• переписка с поддержкой и обращения пользователя.

4.2. Для организаторов мероприятий дополнительно обрабатываются: наименование, ИНН, ОГРНИП или ОГРН, юридический адрес, банковские реквизиты, данные контактного лица, документы, необходимые для проверки и расчётов.

4.3. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья), за исключением сведений, необходимых для обеспечения доступности мероприятия и предоставляемых субъектом добровольно.

4.4. Оператор не хранит полные реквизиты банковских карт. Данные карт обрабатываются банком-эквайером и платёжным сервисом, сертифицированными по стандарту PCI DSS; Оператору передаются только маскированный номер карты и результат операции.

5. Цели обработки персональных данных

1. регистрация и авторизация пользователя, ведение учётной записи;
2. оформление, оплата и исполнение заказов на билеты, выдача электронных билетов;
3. формирование и направление фискальных чеков в соответствии с Федеральным законом N 54-ФЗ, в том числе передача данных организатору мероприятия и оператору фискальных данных;
4. рассмотрение заявлений на возврат билетов и перечисление денежных средств;
5. информационная поддержка пользователей, обработка обращений, жалоб и претензий;
6. информирование о статусе заказа, изменениях, отмене или переносе мероприятия;
7. расчёты с организаторами мероприятий, формирование отчётов агента;
8. анализ работы сервиса, повышение удобства Платформы, составление обезличенной статистики;
9. предотвращение мошенничества, злоупотреблений и нарушений правил Платформы;
10. исполнение требований законодательства Российской Федерации.

6. Порядок и условия обработки

6.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств (смешанная обработка).

6.2. Оператор обрабатывает персональные данные в объёме, необходимом для достижения целей обработки. Избыточная обработка не допускается.

6.3. Персональные данные хранятся на серверах, расположенных на территории Российской Федерации.

6.4. Оператор вправе поручить обработку персональных данных третьему лицу на основании договора, содержащего требования к защите данных; такие лица обязаны соблюдать конфиденциальность и обрабатывать данные только по поручению Оператора.

7. Cookie и аналитика

7.1. Платформа использует cookie для поддержания сессии, сохранения выбранной темы оформления, обеспечения безопасности форм и сбора обезличенной статистики посещений.

7.2. Подробный перечень категорий cookie, сроков их хранения и способов отключения приведён в Политике использования cookie.

7.3. Отключение строго необходимых cookie в настройках браузера может привести к невозможности авторизации и оформления заказа.

8. Передача персональных данных третьим лицам

8.1. Оператор передаёт персональные данные третьим лицам в объёме, необходимом для достижения целей обработки, и только в следующих случаях:

• организатору мероприятия — данные покупателя (имя, контактные данные и сведения о заказе) для идентификации билета при входе, проведения мероприятия и формирования фискального чека;
• банку-эквайеру и платёжному сервису — данные, необходимые для проведения платежа и возврата;
• оператору фискальных данных и налоговым органам — сведения, обязательные для формирования и передачи фискального чека в соответствии с Федеральным законом N 54-ФЗ;
• поставщикам инфраструктуры — хостинг, системы рассылок, техническая поддержка, обеспечивающие работу Платформы, на условиях конфиденциальности;
• государственным органам — по мотивированным запросам в случаях и порядке, установленных законом.

8.2. Оператор не продаёт и не передаёт персональные данные третьим лицам для целей, не связанных с работой Платформы.

8.3. Передача данным третьим лицам осуществляется на условиях соблюдения ими конфиденциальности и требований законодательства о персональных данных.

9. Трансграничная передача персональных данных

9.1. Оператор не осуществляет трансграничную передачу персональных данных, за исключением случаев, когда это необходимо для исполнения договора и осуществляется с соблюдением требований законодательства Российской Федерации, включая получение отдельного согласия субъекта, если такое согласие требуется.

10. Сроки хранения персональных данных

10.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки:

• данные учётной записи — в течение срока её существования и 3 лет после последней активности пользователя;
• сведения о заказах и платежах — в течение срока, установленного законодательством о бухгалтерском и налоговом учёте (не менее 5 лет);
• данные фискальных чеков — в сроки, установленные законодательством Российской Федерации;
• обращения в поддержку — в течение 3 лет с момента их рассмотрения;
• cookie — в сроки, указанные в Политике использования cookie.

10.2. По достижении целей обработки либо по истечении сроков хранения персональные данные подлежат удалению или обезличиванию, если иное не предусмотрено законом.

10.3. Данные, хранение которых обязательно в силу закона (документы, подтверждающие оплату и фискализацию), сохраняются в течение установленного законом срока даже после отзыва согласия.

11. Права субъекта персональных данных

11.1. Субъект персональных данных вправе:

• получать информацию об обработке своих персональных данных, предусмотренную законом;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не нужны для целей обработки;
• отозвать согласие на обработку персональных данных;
• возражать против обработки данных в целях продвижения услуг;
• обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд;
• защищать свои права и законные интересы иными способами, предусмотренными законом.

11.2. Для реализации своих прав субъект направляет обращение на адрес [EMAIL] или почтовый адрес [ПОЧТОВЫЙ АДРЕС].

12. Отзыв согласия и порядок обращения

12.1. Согласие на обработку персональных данных может быть отозвано в любой момент путём направления письменного обращения Оператору по адресу [EMAIL] либо [ПОЧТОВЫЙ АДРЕС].

12.2. Обращение должно содержать сведения, позволяющие идентифицировать субъекта: имя, контактные данные, существо требования.

12.3. Оператор рассматривает обращения в течение 30 календарных дней с момента получения, если иной срок не установлен законом, и уведомляет субъекта о результатах.

12.4. Отзыв согласия влечёт прекращение обработки данных, за исключением данных, обработка которых необходима для исполнения требований закона, а также для исполнения незавершённых обязательств по оплаченным заказам. После отзыва согласия пользователь утрачивает возможность пользоваться сервисами, требующими обработки данных.

13. Меры по обеспечению безопасности персональных данных

13.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения:

• назначение ответственных за организацию обработки персональных данных;
• ограничение доступа сотрудников и подрядчиков к данным по принципу минимальной необходимости;
• использование шифрования канала связи (HTTPS) и хеширования паролей;
• резервное копирование данных и контроль восстановления;
• журналирование доступа к данным и регулярный анализ инцидентов;
• обучение сотрудников и ознакомление их с настоящей Политикой.

13.2. В случае выявления неправомерной обработки персональных данных Оператор принимает меры по её прекращению и уведомляет уполномоченный орган в сроки, установленные законом.

14. Изменение Политики

14.1. Оператор вправе вносить изменения в настоящую Политику, публикуя новую редакцию на Платформе с указанием версии и даты.

14.2. Новая редакция вступает в силу с момента публикации, если в ней не указан более поздний срок. Действующая редакция всегда доступна по адресу https://yfg.su.

15. Контакты Оператора

По любым вопросам, связанным с обработкой персональных данных, обращайтесь по указанным ниже реквизитам.