Политика обработки персональных данных

1. Общие положения

Политика разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ) и определяет цели, состав, основания и порядок обработки персональных данных пользователей сайта https://shmelidron.ru и веб-тренажёра «ШМЕЛИ».
Оператор – Индивидуальный предприниматель Береснева Виктория Александровна, ИНН 502758996800, ОГРНИП 325508100580196, адрес: 140030, Россия, Московская область, г. Люберцы, пгт Малаховка, ул. 1-я Первомайская, д. 2Б, e-mail: info@shmelidron.ru, телефон: +7 910 407-72-51. Оператор лично отвечает за организацию обработки персональных данных.
Политика – общедоступный документ, размещён по адресу https://shmelidron.ru/privacy. Согласие на обработку персональных данных оформлено отдельным документом: для пользователей от 14 лет и для законных представителей детей младше 14 лет.

2. Чьи данные обрабатываются

зарегистрированные пользователи (пилоты, тренеры) и их законные представители;
покупатели тарифов;
представители школ, клубов и организаций, оставившие заявку на подключение;
участники соревнований, зарегистрировавшиеся через страницы соревнований;
посетители сайта – в объёме технических данных (IP-адрес, время запроса).

3. Какие данные обрабатываются и зачем

Цель	Данные	Основание
Регистрация, вход, ведение Аккаунта	e-mail, имя и фамилия, логин (позывной), хеш пароля (сам пароль не хранится), учебная группа, отметка о возрасте (14+ или регистрация законным представителем), дата и версия данных согласий	согласие (п. 1 ч. 1 ст. 6); Пользовательское соглашение (п. 5 ч. 1 ст. 6)
Работа тренажёра и обучения	результаты и журналы полётов (время, траектория, метрики), настройки пульта, прогресс уроков, участие в лобби и соревнованиях	согласие; исполнение договора
Оплата и кассовые чеки (54-ФЗ)	e-mail для чека, тариф, сумма, номер и статус платежа. Данные банковской карты обрабатывает только банк	исполнение договора (оферта); исполнение обязанностей по закону (п. 2 ч. 1 ст. 6)
Ответы на заявки и обращения	имя, телефон или имя в мессенджере, e-mail, организация, город, текст обращения	согласие
Проведение соревнований	ФИО, учебная группа, курс, e-mail, контакт, опыт полётов, результаты	согласие; положение о соревновании
Безопасность, защита от злоупотреблений	IP-адрес, время запросов, технические данные браузера, служебные cookie сессии	законный интерес оператора (п. 7 ч. 1 ст. 6); согласие

Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и др.) и биометрические персональные данные, не принимает решений, порождающих юридические последствия, исключительно на основе автоматизированной обработки. Автоматическая проверка результатов полётов на достоверность влияет только на учёт результата в рейтингах и может быть пересмотрена вручную.

Рекламные и информационные рассылки не ведутся. Письма отправляются только по делу: подтверждение e-mail, восстановление пароля, чеки и уведомления об оплате, ответы на обращения. Если рассылки появятся, они будут отправляться только с отдельного согласия (ст. 18 Федерального закона «О рекламе»).

4. Дети

Пользователь от 14 лет даёт согласие сам. Аккаунт ребёнка младше 14 лет регистрирует родитель или иной законный представитель, он даёт согласие на обработку данных ребёнка.
Для учеников, подключённых школой или клубом, согласия законных представителей получает и хранит организация; Оператор обрабатывает их данные по поручению организации (ч. 3 ст. 6 152-ФЗ).
В открытых рейтингах и таблицах показываются только логин (позывной) и результат. Фамилия и имя видны тренеру группы и Оператору.

5. Действия с данными и сроки

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) в случаях из раздела 6, обезличивание, блокирование, удаление и уничтожение персональных данных, с использованием средств автоматизации (смешанная обработка).
Данные Аккаунта и результаты полётов хранятся, пока существует Аккаунт, и уничтожаются в течение 30 дней после удаления Аккаунта или отзыва согласия (ч. 5 ст. 21 152-ФЗ), если иное не требует закон.
Данные о платежах хранятся столько, сколько требуют налоговое законодательство и законодательство о бухгалтерском учёте (не менее 5 лет).
Записи о данных согласиях хранятся 3 года после отзыва согласия или удаления Аккаунта – для подтверждения законности обработки (ч. 3 ст. 9 152-ФЗ; срок – по исковой давности, ст. 196 ГК РФ).
Технические журналы (IP-адреса, время запросов) хранятся не более 12 месяцев.
Заявки, обращения и регистрации на соревнования хранятся до достижения цели обработки, но не более 3 лет.
Уничтожение подтверждается актом об уничтожении и выгрузкой из журнала регистрации событий по требованиям приказа Роскомнадзора от 28.10.2022 № 179; акт и выгрузка хранятся 3 года.

6. Передача данных третьим лицам и локализация

Оператор не продаёт персональные данные и не передаёт их для рекламы. Данные передаются только в объёме, необходимом для цели:

АО «ТБанк» (ИНН 7710140679) – самостоятельный оператор: приём оплаты и формирование кассового чека; чек передаётся оператору фискальных данных и в ФНС России;
АО «Селектел» (ИНН 7810962785) – хостинг по поручению Оператора: серверы и база данных размещены в дата-центре на территории Российской Федерации;
ООО «Яндекс.Облако» (ИНН 7704458262), сервис Yandex Cloud Postbox – по поручению Оператора, отправка служебных писем (подтверждение e-mail, восстановление пароля);
тренеру группы и образовательной организации, подключившей ученика, – результаты и прогресс ученика;
государственным органам – по законному запросу.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся в базах данных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Трансграничная передача персональных данных не осуществляется: базы данных, почтовый сервис и вспомогательный сервер соединения находятся в России.

Функция «Телефон как пульт», только когда пользователь сам её включает, соединяет телефон с компьютером напрямую. Для этого браузер обращается к собственному STUN-серверу Оператора на том же сервере, что и сайт (Российская Федерация). Сервер видит только IP-адрес устройства и ничего не хранит, кроме служебного журнала.

7. Cookie и данные в браузере

Сайт использует только служебную cookie сессии для входа в Аккаунт и хранилище браузера (localStorage) для настроек пульта, графики и интерфейса. Рекламные и сторонние аналитические cookie, счётчики посещаемости не используются. Подробно – в Политике использования cookie.

8. Права субъекта персональных данных

получить сведения об обработке своих данных (ст. 14 152-ФЗ), потребовать их уточнения, блокирования или уничтожения, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для цели;
отозвать согласие, направив заявление на info@shmelidron.ru с e-mail Аккаунта или письмом по адресу Оператора; после отзыва Оператор прекращает обработку в течение 10 рабочих дней (ч. 5.1 ст. 21 152-ФЗ) и уничтожает данные в течение 30 дней с даты получения отзыва (ч. 5 ст. 21 152-ФЗ), кроме данных, хранение которых требует закон;
удалить Аккаунт, написав на info@shmelidron.ru;
обжаловать действия Оператора в Роскомнадзоре или в суде.

Запросы рассматриваются в течение 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ст. 14, ч. 3 ст. 20, ч. 5 и 5.1 ст. 21 152-ФЗ). Запрос должен позволять идентифицировать субъекта: e-mail Аккаунта или иные сведения, подтверждающие участие в отношениях с Оператором.

9. Защита данных

Оператор применяет правовые, организационные и технические меры (ст. 18.1 и 19 152-ФЗ): шифрование соединения (HTTPS), хранение паролей только в виде хешей, разграничение доступа к базе данных, доступ к серверу только по ключам, резервное копирование, журналирование входа, ограничение числа попыток входа и отправки форм.
При выявлении неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования – в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

10. Изменение политики

Оператор вправе обновлять Политику. Новая редакция действует с момента размещения на Сайте, дата редакции указана вверху страницы. Вопросы по обработке данных – на info@shmelidron.ru.