Настоящая политика определяет порядок обработки персональных данных, которые получает Оператор — физическое лицо, управляющее площадкой kroog.pro, — через сайт kroog.pro (далее — Сайт).
Оператор не является юридическим лицом и не зарегистрирован в качестве индивидуального предпринимателя: kroog.pro — волонтёрский проект. Политика опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и действует в отношении всех персональных данных, которые Оператор получает через Сайт. Порядок использования Сайта описан в Лицензионном соглашении с пользователем сайта.
1. Цели обработки персональных данных
Обработка персональных данных осуществляется для следующих целей:
- регистрация на Сайте, вход в учётную запись и восстановление доступа;
- предоставление функций Сайта: ведение карточки клуба, публикация событий, размещение сайта-визитки;
- связь с Пользователем: подтверждение адреса электронной почты, смена адреса, ответы на обращения;
- обеспечение безопасности: ограничение частоты запросов, разбор сбоев, противодействие автоматизированным атакам;
- обезличенный учёт востребованности разделов Сайта.
Персональные данные не используются для продвижения товаров, работ и услуг (часть 1 статьи 15 152-ФЗ): реклама и рассылки на Сайте не ведутся.
2. Категории данных
Через Сайт могут обрабатываться следующие категории данных. Оператор придерживается принципа минимизации: обрабатывается только то, без чего заявленная функция не работает.
2.1. Зарегистрированные пользователи
- адрес электронной почты — обязателен, служит логином и каналом связи;
- пароль — в виде необратимого хеша, вычисленного алгоритмом PBKDF2; сам пароль не сохраняется и не может быть восстановлен;
- никнейм — публичное отображаемое имя, указывается по желанию. Это не настоящее имя и не фамилия: Оператор их не запрашивает;
- технические сведения учётной записи: дата регистрации, дата последнего входа, признак подтверждения почты, факт, дата и редакция текста согласия на обработку персональных данных, признак ограничения доступа.
2.2. Владельцы клубов
- сведения, которые владелец публикует сам: название и описание клуба, адрес его страницы на Сайте, теги, логотип;
- сведения о событиях: название, описание, изображение, дата и время;
- архив сайта-визитки, загруженный владельцем клуба;
- контакты клуба — свободный текст, содержание которого определяет сам владелец.
Публикуя сведения о других людях, владелец подтверждает, что получил их согласие. Оператор рекомендует указывать контакты клуба, а не личные данные частных лиц, и вправе удалить такие сведения по обращению заинтересованного лица. Сайт клуба и афиша событий публичны и доступны поисковым системам; скрытый клуб не индексируется.
2.3. Посетители Сайта
- IP-адрес — используется для ограничения частоты запросов к формам входа, регистрации и восстановления пароля; в базе данных Сайта IP-адрес не сохраняется и с учётной записью не связывается;
- журналы доступа веб-сервера и сервера приложений: IP-адрес, время запроса, адрес страницы, строка User-Agent;
- cookie сессии и защиты форм — их состав и сроки описаны в Политике cookie.
- номер телефона — только если посетитель сам записывается на событие кнопкой «Я приду». Номер нужен организатору, чтобы предупредить о переносе или отмене встречи; указывается добровольно вместе с отдельным согласием и передаётся владельцу того клуба, на событие которого сделана запись. Незарегистрированному посетителю учётная запись для этого не нужна;
2.4. Какие категории не обрабатываются
Специальные и биометрические категории персональных данных не обрабатываются. Оператор не собирает паспортные данные, сведения о здоровье, национальности, вероисповедании и политических взглядах, изображения для установления личности, а также не запрашивает адрес проживания и настоящие имя и фамилию. Телефон запрашивается только в форме записи на событие — и только для связи по этому событию; в остальных формах Сайта его нет. Сайт не предназначен для лиц младше 14 лет, их персональные данные Оператор сознательно не обрабатывает; если такие данные всё же попали к Оператору, он удаляет их по обращению законного представителя.
2.5. Обезличенная статистика
Для понимания востребованности Сайта ведётся статистика просмотров: в базе данных хранится агрегат — «клуб (сайт клуба) + дата + число просмотров». Записи не содержат IP-адреса, cookie, идентификатора браузера или иного признака, позволяющего определить посетителя, а средства автоматического подсчёта (боты, предзагрузки страниц) исключаются. Такие сведения не относятся к персональным данным, поскольку не позволяют определить субъекта.
3. Правовые основания и действия с данными
| Цель | Правовое основание |
|---|---|
| Регистрация, вход и восстановление доступа | согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) и исполнение Соглашения (п. 5 ч. 1 ст. 6 152-ФЗ) |
| Функции Сайта: сайт клуба, события | исполнение Соглашения (п. 5 ч. 1 ст. 6 152-ФЗ) |
| Связь с Пользователем и рассмотрение обращений | согласие субъекта и исполнение Соглашения (п. 1 и п. 5 ч. 1 ст. 6 152-ФЗ) |
| Защита Сайта: ограничение частоты запросов, разбор сбоев, противодействие атакам | осуществление законных интересов Оператора при условии ненарушения прав субъекта (п. 7 ч. 1 ст. 6 152-ФЗ) |
| Обезличенный учёт востребованности разделов | обрабатываются неперсонифицированные сведения |
| Исполнение обязанностей, возложенных законом | исполнение обязанностей оператора (п. 2 ч. 1 ст. 6 152-ФЗ) |
Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (в случаях, указанных в пункте 5), блокирование, удаление и уничтожение. Обработка ведётся смешанным способом — с использованием средств автоматизации и без них.
Место обработки: первичный сбор, запись, систематизация, накопление и хранение персональных данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации, как того требует часть 5 статьи 18 152-ФЗ. Серверы, на которых размещён Сайт, расположены в России.
Согласие оформляется отдельно от иных документов и не может быть «вшито» в Лицензионное соглашение, оферту или анкету: с 1 сентября 2025 года это прямое требование части 1 статьи 9 152-ФЗ. Отказ дать согласие не лишает доступа к публичным разделам Сайта — ограничивается только то, что без обработки технически невозможно.
4. Срок хранения и порядок отзыва согласия
| Данные | Срок обработки |
|---|---|
| Данные учётной записи: адрес электронной почты, хеш пароля, никнейм | до удаления учётной записи либо до отзыва согласия |
| Контент клуба, события и архив сайта-визитки | до удаления соответствующего объекта или учётной записи его владельца |
| Cookie сессии и защиты форм | сроки указаны в Политике cookie |
| Журналы доступа (IP-адрес, время, адрес страницы, User-Agent) | не дольше 90 дней с момента записи, после чего удаляются ротацией журналов |
| Записи журнала согласий: согласие дано или отозвано, дата, редакция текста согласия | до истечения срока, в течение которого Оператор обязан доказать законность обработки. После удаления учётной записи хранятся обезличенно: связь с ней обнуляется, остаётся необратимый идентификатор |
| Обращения субъектов персональных данных и переписка по ним | до истечения срока, в течение которого Оператор обязан подтвердить рассмотрение обращения |
| Номера телефонов, указанные при записи на событие | до окончания события, на которое сделана запись, и не дольше 90 дней после него; удаляются досрочно по обращению через страницу поддержки |
| Обезличенная статистика просмотров | без ограничения срока: сведения не позволяют определить субъекта |
Отзыв согласия. Согласие можно отозвать в любой момент — в профиле, на странице удаления учётной записи, или направив сообщение через страницу поддержки. Отзыв означает прекращение обработки, для которой согласие было основанием, и приводит к удалению учётной записи: без обработки адреса почты и хеша пароля вход технически невозможен. Отзыв не влияет на обработку, у которой есть иное законное основание, и не отменяет действий, совершённых до его получения.
Прекращение обработки и уничтожение данных производятся:
- при выявлении неправомерной обработки — в течение 3 рабочих дней с даты выявления;
- при достижении цели обработки либо отзыве согласия — в течение 30 дней, если иной срок не установлен законом;
- при уничтожении составляется акт, а факт уничтожения подтверждается в порядке, установленном Роскомнадзором.
Уничтожение данных, содержащихся в резервных копиях, происходит по мере планового обновления копий, но не позднее 90 дней с момента уничтожения основной записи.
5. Меры защиты и работа с третьими лицами
Оператор принимает правовые, организационные и технические меры, требуемые статьями 18.1 и 19 152-ФЗ, постановлением Правительства РФ от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21:
- ограничение состава данных: обрабатывается только необходимое для заявленных целей;
- хранение паролей исключительно в виде необратимого хеша PBKDF2;
- передача данных по защищённому соединению HTTPS; cookie сессии и защиты форм передаются только по HTTPS и недоступны скриптам страницы;
- доступ к серверам и базе данных есть только у Оператора и предоставляется по ключу, а не по паролю;
- сервер приложений не имеет прав администратора системы;
- регулярное обновление используемого программного обеспечения;
- резервное копирование базы данных и файлов с хранением копий на территории Российской Федерации;
- журналирование событий безопасности и периодическая проверка журналов;
- оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения 152-ФЗ, в порядке, установленном Роскомнадзором;
- ознакомление лиц, имеющих доступ к данным, с требованиями законодательства о персональных данных.
Оператор оценивает эффективность принятых мер не реже одного раза в три года, а также после существенного изменения состава обрабатываемых данных или используемых технологий.
Работа с третьими лицами. Оператор не продаёт персональные данные, не передаёт их в рекламных целях и не раскрывает третьим лицам, кроме случаев, описанных ниже. Обработка может поручаться третьим лицам на основании части 3 статьи 6 152-ФЗ — в объёме, необходимом для работы Сайта, и при условии соблюдения ими конфиденциальности:
- Хостинг-провайдер — предоставляет серверы и инфраструктуру для размещения Сайта и его базы данных; серверы находятся в Российской Федерации;
- почтовый сервис — доставляет письма Сайта: подтверждение адреса, смена почты, восстановление пароля; провайдеру передаются адрес получателя и текст письма.
Трансграничная передача персональных данных не осуществляется: все данные обрабатываются на серверах в России. Персональные данные могут быть предоставлены государственным органам — суду, органам дознания и следствия, Роскомнадзору — по мотивированному запросу в случаях и в порядке, установленных законом; Оператор сообщает субъекту о таких фактах, если это не запрещено законом.
Инциденты. При обнаружении инцидента — неправомерной или случайной передачи данных, повлёкшей их уничтожение, изменение, блокирование, копирование или распространение, — Оператор уведомляет Роскомнадзор в течение 24 часов с момента обнаружения и направляет результаты внутреннего расследования в течение 72 часов, как требует статья 21 152-ФЗ. Об инциденте, повлёкшем нарушение прав субъектов, Оператор сообщает и самим субъектам, если это возможно.
Обработка ведётся в соответствии с 152-ФЗ, включая обязанность уведомить уполномоченный орган о намерении осуществлять обработку персональных данных (статья 22 152-ФЗ).
6. Права субъекта персональных данных
Субъект персональных данных вправе:
- получать сведения об обработке своих персональных данных, предусмотренные частью 7 статьи 14 152-ФЗ, и знакомиться с ними;
- требовать уточнения данных, их блокирования или уничтожения, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели;
- отозвать согласие на обработку персональных данных;
- возражать против обработки, если она ведётся на основании законного интереса Оператора;
- обжаловать действия Оператора в Роскомнадзор или в суд.
Оператор рассматривает обращение и сообщает о результате в течение 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления. Права лиц младше 18 лет осуществляются с учётом статьи 26 Гражданского кодекса РФ: с 14 лет несовершеннолетний распоряжается этими правами сам, за лиц младше 14 лет действует законный представитель.
Заявление в Роскомнадзор можно подать через его официальный портал. Оператор указывает этот способ не для того, чтобы направить жалобу мимо себя: как правило, вопрос решается быстрее, если сначала написать Оператору.
7. Изменение Политики
Оператор вправе изменять Политику. Действующая редакция всегда опубликована по адресу /privacy/; дата редакции указана в начале страницы. Новая редакция вступает в силу с момента публикации, если в ней не указан более поздний срок. Если изменения затрагивают состав обрабатываемых данных, цели обработки или права субъектов, Оператор сообщает об этом заранее — на Сайте или письмом на адрес учётной записи.
8. Согласие на обработку персональных данных
Согласие оформляется отдельным документом и не является частью Лицензионного соглашения. Отметка о согласии проставляется пользователем при регистрации, не предустановлена и обязательна: без неё учётная запись не создаётся.
По вопросам обработки персональных данных пользователь может обратиться через страницу поддержки. Контроль за обработкой персональных данных осуществляет Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных.