Политика в отношении обработки персональных данных

1. Термины и определения

1.1. В настоящей Политике используются следующие термины:

• Оператор — лицо, организующее и (или) осуществляющее обработку персональных данных под брендом «ANTI ACADEMY», реквизиты которого приведены в разделах 2 и 16 настоящей Политики.
• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Субъект персональных данных — физическое лицо, к которому относятся персональные данные.
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без таковых, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Сервис — комплекс программно-аппаратных средств, эксплуатируемых Оператором: сайт antiacademy.gg, Telegram-бот, Telegram Mini-приложение, серверная инфраструктура, закрытое сообщество в мессенджере Discord.
• Пользователь — любое физическое лицо, использующее Сервис.
• Cookie — фрагмент данных, отправляемый сервером Сервиса и сохраняемый в браузере Пользователя.
• Договор — публичный договор-оферта об оказании информационно-консультационных услуг, размещённый по адресу /oferta.html.

2. Оператор и контактная информация

2.1. Оператором персональных данных является:

2.2. Контактное лицо Оператора, ответственное за организацию обработки персональных данных, и канал связи указаны в разделе 16. После завершения государственной регистрации юридического лица настоящий раздел будет обновлён.

3. Принципы и правовые основания обработки

3.1. Обработка персональных данных Оператором осуществляется на основе следующих принципов (ч. 1 ст. 5 152-ФЗ):

• законности и справедливости;
• ограничения обработки конкретными, заранее определёнными и законными целями;
• недопустимости объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• обработки только тех ПДн, которые отвечают целям обработки;
• точности и достаточности ПДн по отношению к целям обработки, а в необходимых случаях — актуальности;
• хранения ПДн в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.

3.2. Правовыми основаниями обработки персональных данных являются:

• согласие субъекта ПДн на обработку его персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ);
• необходимость исполнения договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 152-ФЗ), — в части обработки данных, требующейся для оказания Услуг по Договору-оферте;
• осуществление прав и законных интересов Оператора или третьих лиц, либо достижение общественно значимых целей, при условии, что при этом не нарушаются права и свободы субъекта ПДн (п. 7 ч. 1 ст. 6 152-ФЗ), — в частности, при обеспечении информационной безопасности и противодействии мошенничеству;
• исполнение требований законодательства Российской Федерации, в том числе налогового и о бухгалтерском учёте, Федерального закона № 54-ФЗ «О применении контрольно-кассовой техники».

3.3. Обработка специальных категорий персональных данных (раса, политические взгляды, состояние здоровья и т. п.), а также биометрических персональных данных Оператором не осуществляется.

4. Категории субъектов персональных данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пользователи Сервиса (посетители Сайта, пользователи Telegram-бота и Telegram Mini-приложения, участники закрытого сообщества Discord);
• Заказчики Услуг по Договору-оферте;
• лица, обращающиеся в службу поддержки Оператора;
• законные представители Пользователей в возрасте от 14 до 18 лет (в случае обращения).

5. Состав обрабатываемых персональных данных

5.1. Оператор обрабатывает следующие персональные данные (исчерпывающий перечень):

5.2. Реквизиты банковских карт, токены платёжных систем и иные данные, относящиеся к платёжным средствам, Оператором не сохраняются и не обрабатываются. Указанные данные обрабатываются Платёжным агентом в соответствии с применимыми требованиями к безопасности платёжных данных (в частности, PCI DSS).

5.3. Оператор стремится к минимизации состава обрабатываемых ПДн в соответствии с п. 5 ч. 1 ст. 5 152-ФЗ. На текущей стадии тестирования Сервиса часть данных, перечисленных в п. 5.1, может не запрашиваться у Пользователя.

6. Цели обработки персональных данных

6.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

• идентификация и аутентификация Пользователя в Сервисе;
• заключение, исполнение и прекращение Договора-оферты, включая предоставление доступа к Услугам выбранного Тарифа;
• оформление и направление кассовых чеков в соответствии с Федеральным законом № 54-ФЗ;
• оказание индивидуальных и групповых консультаций, разбор матчей, ведение учёта прогресса Пользователя;
• обеспечение работы закрытого сообщества Discord, выдача и отзыв ролей;
• направление сервисных и транзакционных уведомлений (об оплате, продлении подписки, изменении условий, технических работах);
• рассмотрение обращений в службу поддержки и ведение претензионной работы;
• обеспечение информационной безопасности Сервиса, противодействие мошенничеству, выявление и предотвращение злоупотреблений (в том числе rate limiting);
• ведение журнала действий пользователей (audit-log) для подтверждения фактов согласия с офертой и Политикой, а также для расследования инцидентов;
• исполнение требований законодательства Российской Федерации, включая налоговое и о бухгалтерском учёте, а также требований уполномоченных государственных органов.

6.2. Маркетинговая коммуникация (рассылка новостей о новых Тарифах, акциях и иных предложениях) осуществляется только при наличии отдельного согласия Пользователя. Согласие может быть отозвано в любой момент через Telegram-бот или письмом на адрес support@antiacademy.gg.

7. Способы и сроки обработки

7.1. Обработка персональных данных осуществляется как с использованием средств автоматизации (информационных систем Оператора), так и без таковых.

7.2. Сроки обработки персональных данных определяются целями обработки и применимым законодательством:

• идентификаторы Telegram, Discord, Steam, e-mail — в течение срока действия учётной записи Пользователя в Сервисе и в течение 3 (трёх) лет после прекращения её действия для целей возможного предъявления требований;
• сведения о платежах — в течение сроков, установленных законодательством о бухгалтерском учёте и налогах (по общему правилу — не менее 5 лет);
• технические данные (журналы серверов, IP-адреса) — не более 12 месяцев с момента события, за исключением случаев расследования инцидентов информационной безопасности;
• обращения в службу поддержки — не более 3 (трёх) лет с момента закрытия обращения;
• записи аудио- и видеоконсультаций — не более 12 месяцев с момента проведения, если иное прямо не согласовано с Пользователем для целей последующего разбора.

7.3. По истечении сроков обработки персональные данные подлежат уничтожению или обезличиванию.

8. Согласие субъекта на обработку

8.1. Согласие субъекта персональных данных на обработку выражается в форме совершения активных действий, однозначно подтверждающих согласие:

• при первом запуске Telegram-бота Оператора — путём нажатия кнопки «Принимаю» в ответ на запрос ознакомления с офертой и настоящей Политикой;
• при оформлении подписки — путём нажатия кнопки «Оформить подписку» и подтверждения платежа; над кнопкой размещается ссылка на настоящую Политику и оферту;
• при предоставлении дополнительных данных (e-mail, Discord, Steam) — путём добровольного ввода соответствующих сведений в формы Сервиса.

8.2. Факт получения согласия фиксируется Оператором в журнале действий пользователей (audit-log) с указанием идентификатора субъекта, версии настоящей Политики, версии оферты и точной даты-времени. Указанная запись является надлежащим подтверждением согласия в смысле ч. 1 ст. 9 152-ФЗ.

8.3. При изменении редакции настоящей Политики Оператор запрашивает у Пользователя повторное подтверждение согласия в Telegram-боте или Telegram Mini-приложении.

8.4. Субъект персональных данных вправе отозвать согласие на обработку в любой момент в порядке, предусмотренном разделом 14 настоящей Политики.

9. Передача персональных данных третьим лицам

9.1. Оператор передаёт персональные данные третьим лицам только в объёме, необходимом для достижения целей обработки, и при наличии одного из правовых оснований, предусмотренных ст. 6 152-ФЗ. Перечень категорий третьих лиц приведён ниже.

9.2. Передача данных Telegram, Discord и Stratz осуществляется на условиях соответствующих публичных оферт указанных сервисов. Использование Сервиса предполагает согласие Пользователя с такими условиями.

9.3. Передача персональных данных в иные коммерческие организации в маркетинговых целях не осуществляется.

10. Трансграничная передача и локализация

10.1. В соответствии с ч. 5 ст. 18 152-ФЗ (в редакции Федерального закона № 242-ФЗ) запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации Оператором осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

10.2. Оператор использует инфраструктуру хостинг-провайдера Timeweb Cloud, серверы которого расположены на территории Российской Федерации.

10.3. Трансграничная передача персональных данных в страны, обеспечивающие адекватную защиту прав субъектов ПДн, может осуществляться в части передачи данных в адрес Telegram Messenger Inc., Discord Inc. и Stratz исключительно в объёме, необходимом для работы соответствующих платформ. Передача в иностранные государства, не обеспечивающие адекватную защиту, осуществляется только с письменного согласия субъекта или в иных случаях, предусмотренных ч. 4 ст. 12 152-ФЗ.

11. Меры защиты персональных данных

11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ст. 19 152-ФЗ). В частности:

• передача данных между Пользователем и серверами Оператора осуществляется по защищённым каналам связи с использованием протокола HTTPS (TLS) и автоматических сертификатов Let's Encrypt;
• аутентификация Пользователя в Telegram Mini-приложении осуществляется через подписанный initData Telegram с проверкой HMAC-SHA256;
• сессионные токены подписываются алгоритмом RS256, имеют ограниченный срок действия (15 минут) и обновляются через refresh-токен;
• чувствительные данные (e-mail, идентификаторы Discord, Steam) хранятся в зашифрованном виде с использованием алгоритма Fernet;
• в журналах серверов чувствительные данные маскируются процессором mask_sensitive_data;
• в интерфейсе Сервиса чувствительные данные отображаются в маскированном виде; полное значение раскрывается только по явному запросу Пользователя с фиксацией события в журнале;
• применяется ограничение частоты запросов (rate limiting) на критичных эндпоинтах;
• доступ работников и привлечённых специалистов Оператора к персональным данным предоставляется по принципу минимально необходимых прав; с указанных лиц берутся обязательства о неразглашении;
• ведётся журнал действий пользователей (audit-log) с фиксацией событий, существенных для информационной безопасности и compliance.

12. Файлы cookie и аналитика

12.1. Сайт использует только технически необходимые файлы cookie, обеспечивающие работоспособность Сайта (сохранение настроек интерфейса, предотвращение повторной выдачи preloader-анимации). Маркетинговые и трекинговые cookie третьих лиц на Сайте не размещаются.

12.2. На текущий момент Оператор не использует на Сайте сторонние системы веб-аналитики (Яндекс.Метрика, Google Analytics и т. п.). При подключении таких систем в будущем настоящая Политика будет дополнена соответствующим разделом и инструментами управления согласием.

12.3. Пользователь может в любой момент отключить cookie в настройках своего браузера. Это может частично ограничить функциональность Сайта.

13. Права субъектов персональных данных

13.1. Субъект персональных данных имеет права, предусмотренные главой 3 152-ФЗ, в том числе:

• получать от Оператора подтверждение факта обработки своих ПДн, информацию о составе обрабатываемых данных, целях, способах, сроках обработки и о лицах, имеющих доступ к ним (ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения своих персональных данных в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являющимися необходимыми для заявленных целей обработки (ч. 1 ст. 14, ст. 21 152-ФЗ);
• отзывать своё согласие на обработку персональных данных (ч. 2 ст. 9 152-ФЗ);
• требовать прекращения обработки своих персональных данных, в том числе для целей продвижения товаров, работ, услуг на рынке (ч. 3 ст. 15 152-ФЗ);
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в судебном порядке.

13.2. Для реализации прав, указанных в п. 13.1, субъект ПДн может направить запрос на адрес support@antiacademy.gg. Запрос должен содержать сведения, позволяющие однозначно идентифицировать субъекта (в частности, идентификатор Telegram или e-mail, указанный при оформлении подписки), и существо обращения.

13.3. Срок рассмотрения запроса — 30 (тридцать) календарных дней с момента получения. При необходимости проверки сведений или получения дополнительной информации указанный срок может быть продлён, о чём заявитель уведомляется.

14. Удаление аккаунта и отзыв согласия

14.1. Пользователь вправе в любой момент инициировать удаление своей учётной записи в Сервисе и отзыв согласия на обработку персональных данных. Для этого Пользователь:

• может использовать функцию «Удалить аккаунт» в Telegram Mini-приложении (после её введения в эксплуатацию);
• и/или направить письменное обращение на адрес support@antiacademy.gg.

14.2. При удалении аккаунта Оператор:

• в течение 30 (тридцати) календарных дней удаляет или обезличивает персональные данные Пользователя, обработка которых не обусловлена иными правовыми основаниями (например, требованиями налогового и бухгалтерского законодательства);
• прекращает оказание Услуг по Договору-оферте и снимает доступ Пользователя к закрытому сообществу Discord и иным компонентам Сервиса;
• сохраняет минимально необходимый объём данных (сведения о платежах, факт удаления и его дата) в течение сроков, установленных законодательством Российской Федерации.

14.3. Удаление аккаунта не освобождает Пользователя от ранее возникших денежных обязательств и не является основанием для возврата уплаченных средств за пределами условий, предусмотренных разделом 8 оферты.

15. Изменение Политики

15.1. Оператор вправе в одностороннем порядке вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её публикации по адресу https://antiacademy.gg/privacy.html, если иной срок не указан в самой редакции.

15.2. При существенном изменении состава обрабатываемых ПДн, целей обработки или круга лиц, которым передаются ПДн, Оператор запрашивает повторное согласие Пользователя в Telegram-боте или Telegram Mini-приложении.

15.3. Действующая редакция Политики, дата её публикации и номер версии указаны в начале настоящего документа.

16. Контактная информация Оператора

16.1. Все запросы, обращения и претензии субъектов ПДн направляются в адрес Оператора одним из следующих способов:

• по адресу электронной почты support@antiacademy.gg (предпочтительный канал);
• через Telegram-бот Оператора @aa_bot в режиме обращения в поддержку;
• по почтовому адресу Оператора — после государственной регистрации юридического лица; до этого момента почтовая корреспонденция направляется по адресу электронной почты, указанному выше.

16.2. Уполномоченный орган по защите прав субъектов персональных данных в Российской Федерации — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Сайт: https://rkn.gov.ru/.