Политика в отношении обработки персональных данных
1. Общие положения
Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Шуляновым Кириллом Андреевичем (далее — «Оператор»), в целях исполнения требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»).
Политика разработана в соответствии со ст. 18.1 152-ФЗ и распространяется на обработку персональных данных пользователей и посетителей веб-версии сервиса «Идём!» — афиши мероприятий Москвы (далее — «Сервис»), расположенной на сайте msk-events.cyfro-tech.ru. Обработка данных в мобильных приложениях «Идём!» и в мини-приложениях в Telegram и MAX регулируется отдельным документом — Политикой конфиденциальности приложений «Идём!».
Настоящая Политика информирует пользователя о порядке обработки его персональных данных Оператором. Согласие на обработку персональных данных оформляется отдельным документом — Согласием на обработку персональных данных, а согласие на трансграничную передачу для веб-уведомлений — отдельным Согласием на трансграничную передачу (ст. 9, ч. 1.1 ст. 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). Ознакомление с Политикой согласием на обработку персональных данных не является.
Политика опубликована в свободном доступе по адресу msk-events.cyfro-tech.ru/legal/privacy-policy.html (ч. 2 ст. 18.1 152-ФЗ).
2. Сведения об операторе
| Оператор | Шулянов Кирилл Андреевич, физическое лицо |
| ИНН | 463238729041 |
| Ответственный за организацию обработки персональных данных | Шулянов К. А. |
| Адрес для обращений субъектов персональных данных | noreplay@agatha-hub.ru |
| Сайт | msk-events.cyfro-tech.ru |
3. Термины и определения
В Политике используются термины в значениях, установленных 152-ФЗ, а также следующие:
- Персональные данные (ПД) — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту ПД).
- Обработка ПД — любое действие (операция) или совокупность действий с ПД, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
- Посетитель — лицо, просматривающее страницы Сервиса без входа в учётную запись.
- Пользователь — физическое лицо, выполнившее вход в Сервис через учётную запись mos.ru.
- Организатор — юридическое лицо, индивидуальный предприниматель, орган или учреждение, которые размещают в Сервисе мероприятие и проводят его. Представители Организатора работают в Сервисе под своими учётными записями Пользователей.
- mos.ru — единая система аутентификации Правительства Москвы (login.mos.ru), через которую Пользователь входит в Сервис.
- Cookies — небольшие фрагменты данных, которые сайт сохраняет в браузере; хранилище браузера — localStorage, sessionStorage и IndexedDB.
4. Категории субъектов и персональных данных
Оператор обрабатывает персональные данные следующих категорий субъектов:
- посетителей сайта, которые просматривают афишу и страницы мероприятий без входа;
- пользователей, выполнивших вход через mos.ru, в том числе представителей Организаторов.
4.1. Посетители без входа
- IP-адрес, сведения о браузере, операционной системе и устройстве, язык интерфейса, дата и время посещения, адреса просмотренных страниц и источник перехода;
- cookie-идентификаторы и данные о поведении на сайте, которые собирает Яндекс Метрика, включая запись сеанса (Вебвизор): перемещения курсора, прокрутку, нажатия (подробнее — раздел 11);
- значения настроек, сохранённые в хранилище браузера (тема оформления, отметки о закрытых подсказках, код приглашения при переходе по ссылке-приглашению).
4.2. Пользователи
Дополнительно к данным п. 4.1:
-
данные, передаваемые из учётной записи mos.ru при входе (запрашиваемые области доступа —
openid,profile,phone): фамилия, имя, отчество; номер мобильного телефона; адрес электронной почты, если он указан в учётной записи mos.ru; идентификатор пользователя mos.ru (SSO ID) и сведения о сессии входа (срок действия, признак активности); - данные профиля, которые Пользователь указывает или изменяет в Сервисе: отображаемое имя, адрес электронной почты, аватар (изображение), выбранные районы и округа Москвы, интересы (категории мероприятий);
- внутренний идентификатор Пользователя, дата создания учётной записи, канал входа, роли в организациях и права доступа (для представителей Организаторов);
- сведения об участии в мероприятиях: регистрации и их отмена, избранное, оценки мероприятий, причины отмены регистрации, отметки о посещении, выполнение активностей на мероприятии (сканирование QR-кодов, получение подарков), начисленные баллы, достижения, место в рейтинге;
- данные геолокации (широта и долгота) — только в момент подтверждения посещения или выполнения активности и только при разрешении доступа к геолокации в браузере;
- фотографии, которые Пользователь делает камерой или загружает для выполнения фото-активности на мероприятии; изображение с камеры при сканировании QR-кода обрабатывается только в браузере и Оператору не передаётся — передаётся лишь считанный код;
- персональный QR-код (подписанный токен) для отметки Пользователя на мероприятии;
- ответы на опросы обратной связи (как Пользователь узнал о Сервисе, впечатления о мероприятии), которые проводятся через встроенный виджет сервиса «аскио» (api.askyo.ru, тот же Оператор); вместе с ответом передаётся внутренний идентификатор Пользователя, чтобы учесть не более одного ответа;
- при включении веб-уведомлений — токен push-подписки браузера, идентификатор устройства, настройки уведомлений;
- содержание обращений в техническую поддержку и адрес электронной почты для ответа;
- для представителей Организаторов — сведения о созданных мероприятиях, загруженные изображения и файлы, списки номеров телефонов, по которым Организатор добавляет участников закрытых мероприятий.
4.3. Чего Оператор не обрабатывает
Оператор не обрабатывает специальные категории персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь — ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ). Фотографии, загружаемые для фото-активностей, не используются для установления личности. Оператор не получает пароль от учётной записи mos.ru: вход происходит на стороне mos.ru, Сервису передаётся только результат аутентификации и перечисленные выше данные.
Сервис предназначен для лиц, достигших 14 лет. Лица в возрасте от 14 до 18 лет пользуются Сервисом с ведома и согласия законного представителя.
5. Цели обработки
- предоставление доступа к Сервису, идентификация и аутентификация Пользователя через mos.ru, поддержание сессии;
- регистрация на мероприятия, подтверждение посещения, учёт активностей, начисление баллов и достижений, ведение рейтинга;
- передача Организатору сведений об участниках его мероприятия для проведения мероприятия;
- подбор мероприятий по районам и интересам, показ мероприятий на карте;
- направление уведомлений о мероприятиях, на которые зарегистрирован Пользователь, и изменениях в них (в Сервисе и, при включении, веб-уведомлениями);
- сбор обратной связи о Сервисе и мероприятиях;
- обработка обращений в техническую поддержку;
- статистика посещаемости и улучшение Сервиса (Яндекс Метрика);
- обеспечение безопасности Сервиса, предотвращение злоупотреблений (в том числе накрутки отметок о посещении), расследование инцидентов;
- исполнение требований законодательства Российской Федерации.
6. Правовые основания обработки
- согласие субъекта ПД (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ) — для обработки данных Пользователей, оформляемое отдельным документом при входе;
- согласие на трансграничную передачу (ст. 9, ст. 12 152-ФЗ) — для веб-уведомлений, которое пользователь даёт, включая уведомления;
- исполнение соглашения, стороной которого является субъект ПД (п. 5 ч. 1 ст. 6 152-ФЗ), — Пользовательского соглашения;
- осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъекта ПД (п. 7 ч. 1 ст. 6 152-ФЗ), — для технической статистики посещений и защиты Сервиса; субъект вправе отказаться от аналитики способами, указанными в разделе 11;
- исполнение обязанностей, возложенных на Оператора законодательством РФ (п. 2 ч. 1 ст. 6 152-ФЗ).
7. Перечень действий с персональными данными и способы обработки
Оператор осуществляет следующие действия с ПД: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
Обработка ведётся с использованием средств автоматизации. Решений, порождающих юридические последствия для Пользователя, исключительно на основании автоматизированной обработки Оператор не принимает (ст. 16 152-ФЗ).
8. Хранение и локализация. Сроки
В соответствии с ч. 5 ст. 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Серверы, базы данных и объектное хранилище файлов Сервиса размещены в России в облачной инфраструктуре Yandex Cloud.
Сроки обработки и хранения ПД:
- данные учётной записи и сведения об участии в мероприятиях — в течение срока существования учётной записи и до отзыва согласия; после удаления учётной записи или отзыва согласия данные уничтожаются или обезличиваются в срок не более 30 (тридцати) дней;
- данные геолокации — хранятся в составе отметки о посещении или активности и удаляются вместе с ней;
- токен веб-уведомлений — до отключения уведомлений, отзыва согласия на трансграничную передачу или признания токена недействительным;
- журналы доступа и технические логи — до 1 (одного) года;
- обращения в поддержку — до 1 (одного) года после ответа;
- cookies и записи хранилища браузера — в течение сроков, указанных в разделе 11.
По истечении сроков или по достижении целей обработки ПД уничтожаются либо обезличиваются, если иное не предусмотрено федеральным законом.
9. Передача персональных данных третьим лицам
Оператор передаёт ПД третьим лицам только в объёме, необходимом для указанных целей:
- Организатору мероприятия, на которое зарегистрировался Пользователь, — для проведения мероприятия: отображаемое имя, фамилия, имя, отчество, номер телефона и адрес электронной почты, сведения о регистрации и её отмене, отметки о посещении и выполненных активностях, фотографии фото-активностей, оценка мероприятия. Организатор конкретного мероприятия указан на странице мероприятия до регистрации. Организатор обрабатывает эти данные как самостоятельный оператор и отвечает за соблюдение 152-ФЗ. Передача осуществляется на основании согласия Пользователя.
- Другим Пользователям — в рейтинге участников показываются отображаемое имя, аватар, баллы и место в рейтинге. Отображаемое имя и аватар Пользователь может изменить в профиле, в том числе указать псевдоним.
- ООО «Яндекс» (Россия) — сервис Яндекс Метрика: IP-адрес, cookie-идентификаторы, сведения о браузере и устройстве, просмотренные страницы, данные о действиях на странице и запись сеанса (Вебвизор). Обработка на территории РФ.
- ООО «Яндекс» — API Яндекс Карт при показе мероприятий на карте: браузер посетителя загружает карту с серверов Яндекса, которые получают IP-адрес и технические данные запроса.
- ООО «Яндекс.Облако» (Россия) — предоставление облачной инфраструктуры (серверы, базы данных, объектное хранилище) на территории РФ на условиях конфиденциальности.
- Сервис «аскио» (api.askyo.ru) — оператор тот же (Шулянов К. А.); получает ответы на опросы и внутренний идентификатор Пользователя.
- Google LLC (США), сервис Firebase Cloud Messaging, — только если Пользователь включил веб-уведомления и тем самым дал согласие на трансграничную передачу (см. раздел 10).
- уполномоченным государственным органам — по их обоснованным запросам в порядке, установленном законом.
Правительство Москвы (Департамент информационных технологий города Москвы) как оператор системы mos.ru является источником данных, которые Пользователь поручает передать Сервису при входе; обработка данных самой системой mos.ru регулируется её собственными документами.
Сервис не продаёт персональные данные и не использует их для показа рекламы третьих лиц.
10. Трансграничная передача
Основная обработка ПД ведётся на территории РФ. Трансграничная передача осуществляется в одном случае — для доставки веб-уведомлений (push-уведомлений браузера).
- Получатель: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, США — сервис Firebase Cloud Messaging.
- Что передаётся: токен push-подписки браузера, технические сведения о браузере, необходимые для доставки, а также текст уведомления (название мероприятия, время, изменения).
- Когда: только после того, как Пользователь сам включил уведомления в Сервисе и разрешил их в браузере — этим он даёт Согласие на трансграничную передачу. Без этого данные в Google LLC не передаются.
- Как прекратить: отключить уведомления в профиле Сервиса или в настройках браузера либо отозвать согласие письмом на noreplay@agatha-hub.ru; токен удаляется.
США не относятся к государствам, обеспечивающим адекватную защиту прав субъектов персональных данных. Оператор уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу в порядке ст. 12 152-ФЗ до её начала.
12. Права субъекта персональных данных
В соответствии со ст. 14 152-ФЗ субъект ПД вправе:
- получать сведения об обработке своих ПД, включая цели, способы, сроки, перечень получателей;
- требовать уточнения, блокирования или уничтожения своих ПД, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку ПД и согласие на трансграничную передачу;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
- защищать свои права, в том числе требовать возмещения убытков и компенсации морального вреда в судебном порядке.
Запросы направляются на noreplay@agatha-hub.ru с адреса, указанного в профиле, либо с указанием сведений, позволяющих идентифицировать учётную запись (ФИО, номер телефона из mos.ru), и существа обращения. Оператор отвечает в течение 10 (десяти) рабочих дней с момента получения запроса (ч. 1 ст. 14, ч. 4 ст. 20 152-ФЗ). Срок может быть продлён не более чем на 5 (пять) рабочих дней при направлении субъекту мотивированного уведомления с указанием причин продления.
13. Меры защиты
В соответствии со ст. 18.1 и 19 152-ФЗ Оператор принимает следующие меры:
- ответственным за организацию обработки ПД назначен Оператор — Шулянов К. А.;
- приняты локальные акты по обработке и защите ПД и порядок реагирования на инциденты;
- разграничение прав доступа: представитель Организатора видит данные участников только своих мероприятий; административные функции доступны по отдельным правам;
- передача данных только по защищённому соединению (TLS); cookies сессии недоступны скриптам страницы (httpOnly); вход через mos.ru защищён одноразовым параметром state;
- журналирование доступа, резервное копирование, размещение инфраструктуры в РФ;
- применение средств защиты информации с учётом требований Постановления Правительства РФ от 01.11.2012 № 1119 и приказов ФСТЭК России;
- внутренний контроль соответствия обработки ПД требованиям 152-ФЗ.
При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, повлёкшей нарушение прав субъектов, Оператор в соответствии с ч. 3.1 ст. 21 152-ФЗ уведомляет Роскомнадзор: в течение 24 (двадцати четырёх) часов — о произошедшем инциденте, его предполагаемых причинах, вреде и принятых мерах, а в течение 72 (семидесяти двух) часов — о результатах внутреннего расследования и о лицах, действия которых стали его причиной (при их наличии).
14. Отзыв согласия и удаление данных
Согласие на обработку ПД и согласие на трансграничную передачу могут быть отозваны в любой момент заявлением на noreplay@agatha-hub.ru. Согласие на трансграничную передачу также прекращает действовать при отключении веб-уведомлений.
После получения отзыва Оператор прекращает обработку и уничтожает ПД в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено федеральным законом (ч. 5 ст. 21 152-ФЗ). Отзыв согласия на обработку ПД означает удаление учётной записи в Сервисе; просматривать афишу без входа можно и после этого.
15. Изменение Политики
Оператор вправе изменять Политику. Актуальная редакция всегда доступна по адресу msk-events.cyfro-tech.ru/legal/privacy-policy.html, дата редакции указана в начале документа. О существенных изменениях Пользователи уведомляются в Сервисе не менее чем за 7 (семь) календарных дней до их вступления в силу. Если изменения расширяют состав данных, цели или круг получателей, Оператор запрашивает новое согласие.
16. Контакты
Вопросы и запросы, связанные с обработкой персональных данных, направляйте на noreplay@agatha-hub.ru.