Политика обработки персональных данных клиентов и посетителей сайта/приложения

1. Общие положения

Настоящая политика (далее — «Политика») определяет, как и на каких основаниях общество с ограниченной ответственностью «БК «ИЗИ КЕШ», ОГРН 1029702119094(далее — «Общество», «Оператор») обрабатывает персональные данные (далее — «ПДн») клиентов и посетителей сайта и мобильного приложения (совместно — «Субъекты ПДн»). Документ устанавливает принципы, правила и применяемые меры защиты ПДн.

Политика разработана во исполнение требований Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» и иных нормативных актов РФ, регулирующих работу с ПДн и их защиту. Политика издана для выполнения обязанностей Оператора, предусмотренных статьёй 18.1 Закона № 152‑ФЗ.

2. Основные принципы обработки ПДн

Обработка ПДн Оператором строится на следующих принципах:

законность и добросовестность: данные обрабатываются только в рамках требований законодательства и исключительно для заранее определённых целей;

целенаправленность: обработка ограничена достижением конкретных, правомерных и заранее обозначенных задач;

соразмерность: Оператор обрабатывает только те ПДн, которые необходимы для заявленных целей, без избыточности;

точность и актуальность: Оператор принимает меры для поддержания ПДн в актуальном состоянии;

раздельность: запрещено объединять базы ПДн, обрабатываемые для несовместимых целей;

ограничение сроков хранения: ПДн хранятся не дольше, чем это требуется целями обработки или законами; по достижении целей ПДн уничтожаются или обезличиваются.

3. Правовые основания

Оператор обрабатывает ПДн на следующих правовых основаниях:

законодательство РФ, включая 152‑ФЗ «О персональных данных», 115‑ФЗ «О противодействии легализации доходов…», 244‑ФЗ «О государственном регулировании деятельности по организации и проведению азартных игр…», 493‑ФЗ «О публично‑правовой компании “Единый регулятор азартных игр”»;

уставные и локальные акты Общества;

договоры с субъектами ПДн и контрагентами;

согласия субъектов ПДн на обработку их данных.

4. Порядок и условия обработки

Обработка ПДн допускается, если:

получено согласие субъекта ПДн;

обработка необходима для исполнения закона, международного договора, исполнения полномочий и обязанностей Оператора;

обработка требуется для правосудия, исполнения судебных актов и актов органов власти;

обработка необходима для заключения и/или исполнения договора с субъектом ПДн;

обработка необходима для защиты жизни и иных жизненно важных интересов субъекта, когда согласие получить невозможно;

обработка необходима для законных интересов Оператора и/или третьих лиц, если при этом не нарушаются права субъектов ПДн.

Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение ПДн граждан РФ осуществляются с использованием баз данных, расположенных на территории РФ.

Договоры с субъектами ПДн не могут ограничивать их права или навязывать условия в виде бездействия субъекта.

Оператор не раскрывает и не распространяет ПДн третьим лицам без согласия субъекта, если иное не предусмотрено законом или договором.

Оператор вправе поручить обработку ПДн уполномоченному лицу на основании договора. Такое лицо обязано соблюдать настоящую Политику и требования 152‑ФЗ. За его действия перед субъектом ПДн отвечает Оператор, а перед Оператором — указанное лицо.

Обработка выполняется как с применением средств автоматизации, так и без них. Исключительно автоматизированные решения, порождающие юридические последствия для субъекта ПДн, Оператором не принимаются: значимые данные перед использованием проверяются уполномоченными сотрудниками.

5. Цели обработки, категории субъектов и данных, способы и сроки

5.1 Организация и проведение азартных игр (включая заключение основанных на риске соглашений о выигрыше)

Субъекты: клиенты.

Данные: ФИО; дата рождения и возраст; реквизиты документа, удостоверяющего личность; контактный телефон; адрес электронной почты; ИНН; СНИЛС; иные сведения из дополнительных полей; данные о действиях на сайте/в приложении; учитываемые клиентские данные.

Категория ПДн: иные.

Способы: с использованием и без использования средств автоматизации.

Сроки: 5 лет с момента последнего взаимодействия. Уничтожение — в течение 30 дней после достижения цели или отзыва согласия согласно внутренним актам.

5.2 Защита интересов при подозрении на недобросовестные действия

Субъекты: клиенты.

Данные: ФИО; данные документа; ИНН; СНИЛС; фото; видеоизображения; подтверждающие документы.

Категория ПДн: иные.

Способы: с использованием и без использования средств автоматизации.

Сроки: 5 лет с момента последнего взаимодействия. Уничтожение — в течение 30 дней после достижения цели или отзыва согласия.

5.3 Выполнение требований к организатору азартных игр

Субъекты: клиенты.

Данные: ФИО; дата рождения и возраст; данные документа; номер телефона; email; ИНН; СНИЛС; данные о действиях; сведения о транзакциях.

Категория ПДн: иные.

Способы: с использованием и без использования средств автоматизации.

5.4 Программы лояльности и маркетинговые проекты

Субъекты: клиенты.

Данные: ФИО; данные документа; адрес проживания; ИНН; номер телефона; банковские реквизиты; семейное положение; биографические сведения; email; фото; видео; запись голоса.

Категория ПДн: иные.

Способы: с использованием и без использования средств автоматизации.

Сроки: 3 года с даты прекращения участия. Уничтожение — в течение 30 дней после достижения цели или отзыва согласия.

5.5 Информирование о деятельности Общества

Субъекты: пользователи сайта и мобильного приложения.

Данные: дата первого визита; сведения о блокировщиках рекламы; поведенческие данные; число сеансов; идентификатор пользователя; cookie‑файлы.

Категория ПДн: иные.

Способы: с использованием средств автоматизации.

Сроки: до достижения целей обработки; зависят от типа cookie. Уничтожение — в течение 30 дней после достижения цели или отзыва согласия.

Дополнительно Оператор может обрабатывать:

данные о геолокации мобильного устройства клиента;

технические данные: информацию об аппаратном и программном обеспечении, имя устройства, публичные IP‑адреса, cookie, идентификатор браузера и т. п.

6. Права субъектов ПДн и порядок дачи/отзыва согласия

Субъект ПДн самостоятельно решает вопрос о предоставлении ПДн и выражает информированное, конкретное и однозначное согласие на их обработку в любой форме, позволяющей подтвердить факт его получения, если иное не установлено законом.

Обработка ПДн в целях прямого маркетинга допускается только при наличии предварительного согласия субъекта. По его письменному требованию Оператор незамедлительно прекращает обработку ПДн для указанных целей.

Субъект ПДн вправе направить письменный запрос и получить сведения об обработке своих ПДн (если это право не ограничено федеральными законами), а также требовать уточнения, блокирования или уничтожения ПДн, если они неполные, устаревшие, неточные, получены незаконно либо не нужны для заявленной цели обработки.

Согласие может быть отозвано субъектом ПДн; в этом случае ПДн подлежат уничтожению в течение 30 дней с момента получения отзыва (если отсутствуют иные законные основания для продолжения обработки). Отзыв может быть направлен в адрес Оператора по почте либо на электронную почту support@ezcash-bet.com.

Субъект ПДн также вправе потребовать прекращения обработки его ПДн — путём направления письменного требования по адресу Оператора или на support@ezcash-bet.com. Оператор прекращает обработку в сроки, установленные законом, за исключением случаев, прямо предусмотренных законодательством.

7. Обязанности Оператора

Оператор обязан:

предоставлять субъекту ПДн информацию об обработке по его письменному запросу либо законно мотивировать отказ;

по требованию субъекта уточнять, блокировать или удалять ПДн, в том числе если обработка осуществляется по поручению Оператора другим лицом;

по достижении целей обработки незамедлительно прекращать обработку и уничтожать/обезличивать ПДн в срок не более 30 дней (если иное не предусмотрено законами);

при отзыве согласия прекращать обработку и уничтожать ПДн в срок не более 30 дней, если отсутствуют иные законные основания для обработки;

по требованию о прекращении обработки — прекратить её в срок до 10 рабочих дней (за исключением случаев, предусмотренных 152‑ФЗ);

немедленно прекращать обработку ПДн для маркетинговых целей по требованию субъекта;

при сборе ПДн, в том числе через Интернет, обеспечить их хранение и обработку в базах данных на территории РФ;

уведомлять уполномоченный орган о нарушениях, повлекших неправомерную передачу ПДн и нарушение прав субъектов;

взаимодействовать с государственной системой обнаружения и предотвращения компьютерных атак, включая информирование о инцидентах, повлекших неправомерный доступ к ПДн.

8. Защита ПДн: реализуемые меры

Безопасность ПДн обеспечивается комплексом правовых, организационных и технических мер.

Правовые меры:

принятие локальных актов, закрепляющих требования законодательства, в том числе настоящей Политики;

отказ от способов обработки, не соответствующих заявленным целям и нормам закона.

Организационно‑технические меры:

назначение ответственных за организацию обработки ПДн и за безопасность ПДн в ИСПДн;

ограничение доступа и разрешительная система для работников;

обучение сотрудников и ознакомление их с локальными актами по ПДн;

регламентация процессов обработки и ведение учёта действий пользователей в ИСПДн;

моделирование угроз, проектирование и внедрение системы защиты в соответствии с установленными уровнями защищённости;

применение аттестованных средств защиты информации и оценка их эффективности до ввода ИСПДн в эксплуатацию;

разграничение прав доступа к информационным ресурсам и средствам обработки;

учёт и хранение носителей информации с ПДн;

размещение технических средств в охраняемых зонах и ограничение доступа посторонних в соответствующие помещения;

обнаружение, реагирование и расследование фактов НСД; восстановление ПДн, модифицированных или уничтоженных вследствие НСД;

оценка возможного вреда субъектам ПДн при нарушении требований безопасности;

постоянный контроль эффективности применяемых мер и уровня защищённости ИСПДн.

9. Заключительные положения

Права и обязанности Оператора как лица, самостоятельно или по поручению иных операторов организующего обработку ПДн, определяются законодательством РФ.

Должностные лица и работники, допустившие нарушения норм обработки и защиты ПДн, несут ответственность в соответствии с законодательством РФ (материальную, дисциплинарную, административную, гражданско‑правовую и уголовную).

Политика подлежит регулярному пересмотру. Обязательная актуализация проводится при существенных изменениях международного и российского законодательства в сфере ПДн. Инициатором внесения изменений выступает ответственный за организацию обработки ПДн. Он же обеспечивает контроль соблюдения требований и актуальность документа с учётом международных и национальных стандартов и законов РФ.

Термины, определения и сокращения

Деятельность по организации и проведению азартных игр — оказание услуг по заключению с участниками основанных на риске соглашений о выигрыше или организация заключения таких соглашений между участниками.

Единый регулятор азартных игр (ЕРАИ) — публично‑правовая компания, созданная для повышения эффективности государственного контроля (надзора) за организацией и проведением азартных игр и обеспечения внебюджетного финансирования спорта в РФ (ИНН 9703038188; адрес: 123112, г. Москва, вн. тер. г. муниципальный округ Пресненский, наб. Пресненская, д. 8, стр. 1, этаж 6, пом. IN, комн. 9а—9ж).

Единый центр учёта переводов ставок букмекерских контор и тотализаторов (Единый ЦУПИС) — кредитная организация (в т. ч. небанковская), принимающая от физических лиц денежные средства (включая электронные), учитывающая их и осуществляющая переводы в адрес Оператора по поручению такого лица. В рамках Политики под Единым ЦУПИС понимается ООО НКО «Мобильная карта» (191024, г. Санкт‑Петербург, 2‑я Советская ул., д. 27/2, лит. А, пом. 62‑Н; ИНН 7835905228; лицензия № 3522‑К от 24.12.2019, support@1cupis.ru), если не указано иное.

Информационная система персональных данных (ИСПДн) — совокупность баз ПДн и используемых для их обработки информационных технологий и технических средств.

Оператор, Общество — ООО «БК «ИЗИ КЕШ», самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку ПДн, определяющее цели обработки, состав ПДн и операции с ними.

Сайт — веб‑сайт Общества по адресу https://ezcash-bet.com/.

Мобильное приложение — официальные мобильные приложения Общества; ссылки доступны на странице https://ezcash-bet.com/apps/.

ПДн — персональные данные.

НСД — несанкционированный доступ.

РФ — Российская Федерация.

СЗИ — средство защиты информации.

ФЗ № 152 — Федеральный закон от 27.07.2006 № 152‑ФЗ «О персональных данных».