Политика в отношении обработки персональных данных

1. Общие положения

Настоящая Политика разработана в соответствии со статьей 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет позицию ООО «Нексус Технологии» (далее — «Оператор») в области обработки и защиты персональных данных.

2. Сведения об Операторе

ООО «Нексус Технологии», ОГРН: 1265000018051, ИНН: 5029298734, адрес: 141000, Московская область, городской округ Мытищи, тер. Туристический Пансионат Клязьминское Водохранилище, стр. 3 «А»

Контактный email по вопросам обработки ПДн: info.lunka@yandex.ru.

Ответственный за организацию обработки персональных данных: Фролов Андрей Дмитриевич, генеральный директор.

3. Правовые основания обработки

Согласие субъекта (ст. 6 ч. 1 п. 1, ст. 9, ст. 10.1 152-ФЗ); исполнение договора, стороной которого является субъект (ст. 6 ч. 1 п. 5); исполнение обязанностей по закону (ст. 6 ч. 1 п. 2); законный интерес оператора при условии ненарушения прав субъекта (ст. 6 ч. 1 п. 7).

4. Категории субъектов

Оператор обрабатывает персональные данные следующих категорий субъектов:

• а) Пользователи мобильного приложения «Лунка» (Lunka) — физические лица;
• б) Тренеры / Гольф про — Пользователи с подтвержденным статусом тренера;
• в) Уполномоченные лица гольф-клубов (администраторы, модераторы);
• г) Посетители веб-сайта Оператора.

5. Категории и объем данных

5.1 Обязательные данные Пользователей: номер мобильного телефона, пароль (в хэшированном виде), фамилия, имя, отчество.

5.2 Дополнительные данные (по усмотрению Пользователя): email, дата рождения, фотография, марка и номер автомобиля, ПИН-код, номер лицензии АГР, описание опыта и документы (для тренеров), текст отзывов, реквизиты для возврата. Данные из АГР (при привязке): ФИО, дата рождения, гандикап, домашний клуб, история игр.

5.3 Автоматически генерируемые данные: история бронирований, платежей, участие в турнирах, статусы членства, статистика игр, список друзей, данные сессий, идентификатор устройства, события аналитики, данные cookies (веб-страница).

5.4 Данные посетителей сайта (форма обратной связи): имя, название клуба, номер телефона, комментарий.

6. Цели обработки

Исполнение Лицензионного договора; идентификация и аутентификация; бронирование услуг; управление членством; обработка платежей; направление уведомлений; ведение аналитики; обеспечение безопасности; обработка заявок через сайт; исполнение обязанностей по законодательству РФ.

7. Порядок и условия обработки

Обработка осуществляется с использованием средств автоматизации (автоматическое применение скидок и привилегий на основании типа членства, автоматический пересчет рейтингов и гандикапа) и без использования таких средств. Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Персональные данные хранятся на серверах на территории Российской Федерации (часть 5 статьи 18 152-ФЗ).

8. Передача третьим лицам

8.1. Оператор вправе передавать персональные данные субъектов третьим лицам исключительно в целях, указанных в разделе 6 настоящей Политики, и при наличии правового основания.

8.2. Перечень категорий получателей, состав передаваемых данных и основания передачи:

а) Гольф-клубы (администраторы и модераторы клубов через Админ-панель Сервиса). Данные: ФИО, номер телефона, email, дата рождения, марка и номер автомобиля, данные АГР (гандикап, до 20 последних игр), статус членства, история бронирований, история платежей, статус тренера (при наличии). Цель: администрирование клуба, управление членством и бронированиями, формирование пропусков, аналитические отчеты клуба. Основание: согласие субъекта (ст. 6 ч. 1 п. 1), исполнение договора (ст. 6 ч. 1 п. 5). Юрисдикция: Российская Федерация.

б) CRM-система клуба. Данные: ФИО, номер телефона, email, номер лицензии АГР, гандикап, тип членства, марка и номер автомобиля, данные о бронированиях и членствах. Цель: ведение клиентской базы гольф-клуба. Основание: поручение оператора на обработку (ст. 6 ч. 3 152-ФЗ). Юрисдикция: Российская Федерация.

в) АГР (Ассоциация гольфа России, API гольф.ру). Данные передаваемые: номер лицензии АГР. Данные получаемые: ФИО, дата рождения, гандикап, история игр. Цель: верификация игрока, импорт данных профиля. Основание: согласие субъекта на привязку АГР. Юрисдикция: Российская Федерация.

г) Платежный шлюз (ЮKassa / ООО «ЮМани»). Данные: сумма платежа, email (для отправки чека), идентификатор заказа. Данные банковских карт вводятся на стороне ЮKassa — Оператор не получает и не хранит данные карт. Цель: обработка платежей, формирование электронных чеков (54-ФЗ). Основание: исполнение договора (ст. 6 ч. 1 п. 5), 54-ФЗ. Юрисдикция: Российская Федерация.

д) КПП / колл-центр клуба. Данные: ФИО пользователя и гостей, дата рождения, марка и номер автомобиля, дата и время посещения, тип бронирования. Цель: формирование пропуска для въезда на территорию клуба. Основание: исполнение договора бронирования (ст. 6 ч. 1 п. 5). Юрисдикция: Российская Федерация.

е) Провайдер email-рассылок (SendPulse). Данные: email, имя пользователя. Цель: транзакционные и маркетинговые email-уведомления. Основание: исполнение договора (транзакционные), согласие (маркетинговые — ст. 18 ФЗ «О рекламе»). Юрисдикция: Российская Федерация.

ж) Провайдер СМС-рассылок. Данные: номер телефона. Цель: отправка СМС-кодов подтверждения, критичных напоминаний. Основание: исполнение договора (ст. 6 ч. 1 п. 5). Юрисдикция: Российская Федерация.

з) Яндекс.Карты (API). Данные: координаты устройства (при использовании геофункций). Цель: геокодирование, построение маршрутов. Основание: согласие субъекта на использование геолокации. Юрисдикция: Российская Федерация.

и) Сервисы веб-аналитики (Яндекс.Метрика). Данные: обезличенные данные через cookies (усеченный IP, тип браузера, действия на веб-странице). Применяется только к веб-странице Сервиса, мобильное приложение cookies не использует. Цель: анализ посещаемости, улучшение Сервиса. Основание: согласие (через принятие cookies). Юрисдикция: Российская Федерация.

8.3. Оператор не передает персональные данные третьим лицам для целей, не перечисленных в настоящем разделе, без отдельного согласия субъекта, за исключением случаев, предусмотренных законодательством Российской Федерации.

8.4. Доступ к персональным данным через Админ-панель Сервиса разграничен по ролям: администратор клуба имеет доступ в пределах своего клуба; модератор — ограниченный доступ (данные заявок); суперадмин (Оператор) — полный доступ ко всем клубам. Все действия журналируются. Изоляция данных между клубами обеспечена на уровне системы.

9. Права субъектов

Субъект вправе: получать информацию об обработке (ст. 14); требовать уточнения, блокирования, уничтожения; отозвать согласие (ст. 9); отозвать согласие на распространение (ст. 10.1); требовать прекращения обработки для маркетинга (ст. 15); обжаловать в Роскомнадзор или суд (ст. 17).

Для реализации прав субъект может обратиться: через функции Приложения, по email info.lunka@yandex.ru или письменно по адресу Оператора. Срок рассмотрения — 10 рабочих дней.

10. Обязанности Оператора

Обрабатывать ПДн по 152-ФЗ; предоставлять информацию субъекту; прекращать обработку при достижении целей / отзыве; уведомить Роскомнадзор (ст. 22); назначить ответственного (ст. 22.1); принимать меры безопасности; информировать Роскомнадзор об инцидентах; опубликовать настоящую Политику.

11. Меры безопасности

Организационные: назначение ответственного, внутренние акты, ознакомление работников, внутренний контроль, оценка вреда, модель угроз.

Технические: шифрование каналов связи, хэширование паролей, аутентификация с использованием токенов, шифрование данных при хранении, маскирование ПДн в журналах, изоляция данных между обслуживаемыми организациями, ограничение частоты запросов, резервное копирование, журналирование действий уполномоченных лиц, ролевой контроль доступа.

12. Сроки обработки

Прекращение при: достижении целей; отзыве согласия (если нет иного основания); выявлении неправомерности (10 рабочих дней); удалении Аккаунта (30 дней). Данные, обязательное хранение которых предусмотрено законодательством (например, финансовые документы), продолжают обрабатываться в объёме и в течение сроков, установленных соответствующим законодательством.

13. Реагирование на инциденты

При выявлении инцидента, связанного с неправомерным или случайным доступом к персональным данным, их уничтожением, изменением, блокированием, копированием, предоставлением или распространением, а также иными неправомерными действиями в отношении персональных данных, Оператор:

• направляет уведомление в Роскомнадзор в течение 24 (двадцати четырех) часов с момента выявления инцидента;
• направляет результаты внутреннего расследования в Роскомнадзор в течение 72 (семидесяти двух) часов с момента выявления инцидента;
• принимает меры по минимизации последствий инцидента;
• уведомляет субъектов персональных данных в случаях, предусмотренных законодательством Российской Федерации.

Утверждено:

Генеральный директор ООО «Нексус Технологии»

Фролов Андрей Дмитриевич