1.1. Оператор поручает, а Обработчик обязуется осуществлять обработку персональных данных игроков (пользователей) Оператора в целях и объёме, необходимых для функционирования платформы «ПокерСистема» (регистрация на турниры, учёт посещаемости, рейтинги, уведомления и пр.).
1.2. Оператор является оператором указанных персональных данных и самостоятельно определяет цели и состав обработки. Обработчик действует исключительно по поручению Оператора.
2.1. Категории субъектов: игроки (пользователи) клуба Оператора.
2.2. Состав ПДн: игровой ник, имя/фамилия, контакты (email, Telegram), фотография (при наличии согласия), сведения об участии в турнирах, отметки согласий, IP-адрес и иные технические данные.
2.3. Действия: сбор, запись, систематизация, хранение, уточнение, использование, передача (предоставление доступа уполномоченным лицам Оператора), блокирование, удаление, уничтожение — с использованием средств автоматизации.
3.1. Обрабатывать ПДн только по документированному поручению Оператора и в указанных целях.
3.2. Соблюдать конфиденциальность и обеспечивать безопасность ПДн (ст. 18.1, 19 152-ФЗ): разграничение доступа; хранение паролей в необратимом виде; журналирование событий; защищённое соединение (HTTPS/TLS); хранение ПДн в базах данных на территории РФ (ч. 5 ст. 18).
3.2.1. Служебные журналы и сводные показатели работы клуба. В рамках настоящего поручения Обработчик ведёт журналы событий аутентификации и доступа. Это мера защиты по ст. 19 152-ФЗ (п. 3.2), обязательная для информационных систем персональных данных.
3.2.1.1. Отдельно от поручения Обработчик формирует сводные показатели работы клуба на платформе: количество проведённых мероприятий, сводные суммы организационных взносов, число учётных записей с административным доступом, а также дату и время входа владельца (представителя) клуба в кабинет и в административную панель. Эти сведения нужны Обработчику для обеспечения работоспособности сервиса, сопровождения подключения и оценки качества собственных услуг, то есть обрабатываются в его собственных целях. В этой части Обработчик выступает самостоятельным оператором, а основанием служит договор об оказании услуг платформы, стороной которого является владелец (п. 5 ч. 1 ст. 6 152-ФЗ). Состав таких сведений раскрыт в Политике Обработчика по адресу https://pokersystem.ru/privacy.php.
3.2.1.2. Персональные данные игроков Оператора, а равно сведения о входах иных работников и представителей Оператора в собственных целях Обработчика не используются, за пределы поручения не выносятся и третьим лицам не передаются. Показатели по п. 3.2.1.1, относящиеся к деятельности клуба, носят сводный характер и к конкретному игроку не относятся.
3.3. Не передавать ПДн третьим лицам без согласия Оператора, кроме случаев, предусмотренных законом, и случаев привлечения иных лиц к обработке в порядке п. 3.8.
3.4. По указанию Оператора уточнять, блокировать, удалять ПДн, содействовать в ответах на обращения субъектов и запросы Роскомнадзора.
3.5. По прекращении поручения — вернуть и/или уничтожить ПДн по выбору Оператора и предоставить подтверждение.
3.6. Уведомлять Оператора об инцидентах (утечках, неправомерном доступе) незамедлительно, но не позднее 12 (двенадцати) часов с момента выявления инцидента. Срок установлен так, чтобы Оператор успел исполнить собственную обязанность уведомить Роскомнадзор в течение 24 часов (ч. 3.1 ст. 21 152-ФЗ). В уведомлении Обработчик сообщает: что произошло, предполагаемые причины, какие данные и каких субъектов затронуты, принятые меры.
3.7. Межклубный рейтинг. Оператор поручает Обработчику включать игроков Оператора в межклубный рейтинг платформы. В рамках этого поручения Обработчик раскрывает пользователям приложений других клубов, подключённых к платформе, исключительно следующие данные игрока: игровой псевдоним (ник), город клуба, занятое место в рейтинге, количество набранных очков, число сыгранных турниров, время за столом, число нокаутов.
3.7.1. Не раскрываются и за пределы клуба не передаются: фамилия, имя, отчество, номер телефона, адрес электронной почты, идентификатор Telegram, наименование клуба, сведения о платежах, а также детализация посещений — даты и наименования конкретных турниров, время прихода и ухода, история регистраций. За пределы клуба уходят только сводные показатели за период, перечисленные в п. 3.7 (сколько турниров, сколько часов, сколько очков и нокаутов), без привязки к конкретным датам и турнирам.
3.7.1.1. Изображение профиля (аватар) в перечень п. 3.7 не входит и раскрывается только при наличии отдельного согласия игрока, которое даётся переключателем в приложении и по умолчанию не выдано: для ведения зачёта аватар не требуется, поэтому основание п. 3.7.3 на него не распространяется. Отзыв согласия — тем же переключателем, исполняется в срок по п. 3.7.3.1.
3.7.2. Раскрытие осуществляется только пользователям, прошедшим авторизацию в приложениях клубов — участников платформы, и является предоставлением персональных данных определённому кругу лиц (п. 6 ст. 3 152-ФЗ). В открытом доступе рейтинг не публикуется; на сайтах платформы и клубов допускаются только обезличенные сводные показатели.
3.7.3. Правовые основания обработки для целей межклубного рейтинга — исполнение договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ) и осуществление прав и законных интересов Оператора и третьих лиц (п. 7 ч. 1 ст. 6 152-ФЗ), при условии, что права и свободы субъекта не нарушаются (минимальный состав данных по п. 3.7 и 3.7.1, закрытый доступ по п. 3.7.2, отказ по п. 3.7.3.1): ведение игрового рейтинга, включая межклубный зачёт, предусмотрено пользовательским соглашением Оператора, которое игрок принимает при регистрации в приложении. Оператор обеспечивает наличие в своём пользовательском соглашении условия о межклубном зачёте в объёме, соответствующем п. 3.7 и 3.7.1; типовая редакция предоставляется Обработчиком в составе платформы и применяется автоматически.
3.7.3.1. Игрок вправе в любой момент отказаться от показа в межклубном рейтинге в приложении, без объяснения причин и без последствий для участия в мероприятиях Оператора. Отказ исполняется не позднее трёх рабочих дней и действует во всех клубах — участниках платформы одновременно. Игроки, ранее давшие отдельное согласие, остаются в рейтинге на прежнем основании.
3.7.3.2. О факте участия в межклубном зачёте и о составе раскрываемых данных игрок уведомляется в приложении при первом открытии соответствующего раздела.
3.7.4. Настоящий пункт является согласием Оператора в смысле п. 3.3 Договора. Оператор вправе в любой момент отключить участие клуба в межклубном рейтинге в личном кабинете владельца; отключение прекращает раскрытие данных всех игроков Оператора.
3.8. Привлечение иных лиц к обработке. Оператор даёт Обработчику согласие привлекать к обработке персональных данных лиц, перечисленных в п. 3.8.1, в объёме, необходимом для размещения, хранения, резервного копирования данных, технической доставки сообщений и подтверждения владения номером телефона при входе субъекта в приложение (ч. 3 ст. 6 152-ФЗ). Привлечение оформляется договором, возлагающим на привлечённое лицо обязанности по соблюдению конфиденциальности и безопасности не менее строгие, чем предусмотренные настоящим поручением и ст. 19 152-ФЗ. Перед Оператором за действия привлечённых лиц Обработчик отвечает как за свои собственные (ч. 5 ст. 6 152-ФЗ).
3.8.1. Перечень лиц, привлечённых на дату настоящей редакции:
3.8.2. Привлечённые лица обрабатывают данные исключительно в интересах Оператора, в собственных целях их не используют и не получают доступа к содержанию данных сверх технически необходимого для оказания услуг размещения, хранения и доставки. Все привлечённые лица находятся и обрабатывают данные на территории Российской Федерации: требование ч. 5 ст. 18 152-ФЗ соблюдается, трансграничная передача не осуществляется. Обмен данными между площадками ведётся по защищённому каналу.
3.8.3. Обработчик вправе заменить привлечённое лицо или привлечь дополнительное лицо того же назначения (размещение, хранение, резервное копирование, техническая доставка сообщений, подтверждение владения номером телефона), уведомив Оператора в Личном кабинете и по адресу электронной почты не позднее чем за 10 (десять) календарных дней до начала обработки. Оператор вправе в течение этого срока заявить возражение; в этом случае Обработчик не привлекает такое лицо к данным Оператора либо Оператор вправе отказаться от договора без применения к нему санкций и с возвратом оплаченной, но неиспользованной части вознаграждения. Привлечение лица для действий, выходящих за назначение по настоящему пункту, допускается только в порядке п. 5А.2.
3.8.4. Актуальный перечень привлечённых лиц публикуется в составе настоящего поручения по адресу https://pokersystem.ru/poruchenie.php и доступен в Личном кабинете. По запросу Оператора Обработчик подтверждает наличие условий поручения в договорах с привлечёнными лицами.
4.1. Получить от субъектов (игроков) необходимые согласия и обеспечить правовые основания обработки.
4.2. Зарегистрироваться в реестре операторов Роскомнадзора и указать Обработчика в качестве лица, осуществляющего обработку по поручению.
4.2.1. В уведомлении, направляемом в Роскомнадзор, Оператор указывает места нахождения баз данных в соответствии с п. 3.8.1: основная площадка — г. Москва, резервная — г. Санкт-Петербург. При изменении перечня по п. 3.8.3 Оператору может потребоваться направить изменение сведений в срок по ч. 7 ст. 22 152-ФЗ; Обработчик сообщает о таких изменениях заблаговременно и предоставляет реквизиты для внесения в уведомление.
4.3. Давать Обработчику правомерные и документированные поручения.
4.4. Оператор и лицо, принимающее настоящее поручение от его имени, гарантируют, что обладают необходимыми полномочиями на его заключение, а указанные реквизиты Оператора (наименование/ФИО, ИНН, ОГРН/ОГРНИП, адрес) достоверны и актуальны. Принятие поручения в Личном кабинете подтверждает эту гарантию.
5.1. Перед субъектами ПДн ответственность несёт Оператор. Обработчик несёт ответственность перед Оператором за нарушение настоящего поручения (ч. 5 ст. 6 152-ФЗ).
5.2. За достоверность реквизитов Оператора и наличие полномочий у лица, принявшего поручение, отвечает Оператор. При недостоверности этих сведений или отсутствии полномочий поручение считается незаключённым по вине Оператора; Обработчик вправе приостановить обработку, расторгнуть договор в одностороннем порядке и взыскать причинённые убытки. Обработчик не несёт ответственности за последствия предоставления Оператором недостоверных или неполных сведений.
5А.1. Обработчик вправе изменять настоящее поручение, публикуя новую редакцию в Личном кабинете Оператора. Новая редакция вступает в силу по истечении 10 (десяти) календарных дней с даты публикации, о чём Оператор уведомляется в Личном кабинете и (или) по адресу электронной почты. Продолжение использования Платформы после вступления новой редакции в силу означает согласие Оператора с изменениями.
5А.2. Правило п. 5А.1 не применяется к изменениям, которые расширяют перечень обрабатываемых персональных данных, добавляют цели или действия обработки, расширяют круг лиц, которым данные раскрываются, расширяют круг субъектов, чьи данные раскрываются, либо вводят привлечение Обработчиком иных лиц к обработке. Такие изменения вступают в силу для Оператора только после явного принятия новой редакции в Личном кабинете; до принятия в соответствующей части действует ранее принятая редакция.
5А.3. Изменения, сужающие объём обрабатываемых или раскрываемых данных, а равно редакционные уточнения, вступают в силу в порядке п. 5А.1 и отдельного принятия не требуют.
6.1. Поручение действует в течение срока действия основного договора и прекращается одновременно с ним.