Политика обработки персональных данных

1. Общие положения

1.1. Политика определяет, как ИП Тестовый Оператор (тестовые реквизиты) (ИНН 000000000000, ОГРНИП 000000000000000, адрес: Тестовый адрес (заменить реальным); далее — Оператор) обрабатывает персональные данные и какими мерами их защищает. Политика составлена по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и относится ко всем персональным данным, которые обрабатывает Оператор, в том числе полученным через сайт 161-104-46-5.sslip.io (далее — Сайт).

1.2. Политика опубликована на Сайте в открытом доступе. Действует редакция от 08.10.2026; новая редакция действует с момента публикации на Сайте.

1.3. Вопросы и запросы о персональных данных принимаются по электронной почте privacy@igraika.example и почтой по адресу: Тестовый адрес (заменить реальным).

2. Цели, данные, основания и сроки обработки

2.1. Ответ на заявку с Сайта и подготовка договора об организации праздника.
Субъекты: посетители Сайта, отправившие заявку, — родители и иные законные представители детей, другие заявители.
Данные: имя; номер телефона; удобный способ связи; выбранные программа и дополнительные опции; желаемые дата и время праздника; возраст именинника и количество детей; комментарий; адрес страницы, с которой отправлена заявка; номер, дата и время отправки; текст согласия, действовавший при отправке; применённая скидка по акции.
Основания: согласие субъекта (п. 1 ч. 1 ст. 6 Закона) и заключение договора по инициативе субъекта (п. 5 ч. 1 ст. 6 Закона).
Действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) работникам Оператора и лицам, указанным в разделе 3, блокирование, удаление, уничтожение. Обработка смешанная — с использованием средств автоматизации и без них, с передачей по сети Интернет.
Сроки: до достижения цели. Данные уничтожаются через 30 дней после завершения работы по заявке (праздник согласован и проведён либо от него отказались); заявка, по которой не было никаких действий 180 дней, считается завершённой и уничтожается. Обработка прекращается и раньше — при отзыве согласия (раздел 4).

2.2. Заключение и исполнение договора об организации праздника.
Субъекты: заказчики праздника.
Данные: фамилия, имя, отчество; номер телефона; дата, время и состав праздника; стоимость и сведения об оплате.
Основания: договор, стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона); обязанности по бухгалтерскому и налоговому учёту (п. 2 ч. 1 ст. 6 Закона).
Сроки: срок действия договора, затем 5 лет после окончания года, в котором договор исполнен, — срок хранения учётных документов (ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»).

2.3. Публикация фото- и видеоотчётов о праздниках на Сайте.
Субъекты: участники праздников, в том числе несовершеннолетние, и их законные представители.
Данные: изображения (фото и видео) без указания имён; возраст именинника, количество детей, дата и тема праздника.
Основание: отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения (ст. 10.1 Закона); за несовершеннолетнего его даёт законный представитель. Оператор получает такое согласие до публикации.
Действия: сбор, запись, хранение, использование, распространение (опубликование на Сайте), удаление, уничтожение.
Сроки: срок, указанный в согласии. По требованию субъекта или законного представителя прекратить распространение материалы снимаются с Сайта в течение трёх рабочих дней с момента получения требования.

2.4. Публикация отзывов о праздниках на Сайте.
Субъекты: авторы отзывов — заказчики и гости праздников; люди, в том числе дети, на фотографиях к отзывам.
Данные: текст отзыва; оценка; месяц и программа праздника; имя или имя и первая буква фамилии автора и фотографии людей — только если на их публикацию получено согласие; источник отзыва, его текст в том виде, в каком он получен, и дата получения — хранятся у Оператора и на Сайте не публикуются.
Основания: для публикации имени автора и фотографий людей — отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения (ст. 10.1 Закона); за несовершеннолетнего его даёт законный представитель. Без такого согласия отзыв публикуется без имени и без фотографий людей. Полученный текст отзыва Оператор хранит, чтобы подтвердить подлинность отзыва (законный интерес Оператора, п. 7 ч. 1 ст. 6 Закона).
Действия: сбор, запись, хранение, использование, распространение (опубликование на Сайте) — только с согласием, удаление, уничтожение.
Сроки: пока отзыв опубликован; после снятия отзыва с Сайта Оператор удаляет его вместе с полученным текстом и фотографиями в течение 30 дней. По требованию прекратить распространение имя и фотографии снимаются с Сайта в течение трёх рабочих дней с момента получения требования.

2.5. Работа Сайта и его защита, уведомление о cookie.
Субъекты: посетители Сайта.
Данные: IP-адрес; сведения о браузере; адреса запрошенных страниц; дата и время запросов; отметка в cookie о том, что посетитель ознакомился с уведомлением о cookie.
Основания: законный интерес Оператора в работоспособности и защите Сайта от злоупотреблений (п. 7 ч. 1 ст. 6 Закона); для встроенной карты Яндекса — согласие посетителя, которое он выражает, оставаясь на Сайте после уведомления о cookie (п. 1 ч. 1 ст. 6 Закона).
Сроки: в технических журналах сервера IP-адрес хранится усечённым (без последней части); журналы ограничены объёмом — не более 30 МБ на каждый сервис Сайта, более ранние записи удаляются автоматически. Для ограничения частоты заявок IP-адрес хранится в виде необратимого хеша не дольше суток. Отметка об уведомлении хранится в браузере посетителя один год.

2.6. Учётные записи работников в системе управления Сайтом и уведомления о заявках.
Субъекты: работники и исполнители Оператора.
Данные: ФИО; адрес электронной почты; роль; адрес почты, на который приходят письма о заявках, — у тех, кому они приходят; Telegram ID и имя пользователя Telegram — у тех, кто подключил уведомления в Telegram; ID пользователя ВКонтакте и имя получателя — у тех, кто подключил уведомления ВКонтакте; IP-адрес и сведения о браузере при входе; история действий с заявками и материалами Сайта.
Основания: трудовой договор или договор с исполнителем (п. 5 ч. 1 ст. 6 Закона).
Сроки: на время работы с Оператором; журнал попыток входа — 30 дней.

3. Получатели персональных данных

3.1. Работники Оператора — в объёме, нужном для их работы, по личным учётным записям с разграничением прав.

3.2. АО «Селектел» (ИНН 7810962785, ОГРН 1247800067790) — хостинг-провайдер: на его серверах в России ([ЗАПОЛНИТЬ: город центра обработки данных Selectel — Москва или Санкт-Петербург]) размещены Сайт, базы данных и резервные копии; через его почтовый сервис Сайт отправляет работникам письма о новых заявках. Он обрабатывает данные по поручению Оператора (ч. 3 ст. 6 Закона).

3.3. Письма о новых заявках с именем, телефоном и комментарием клиента приходят только на адреса работников у российских почтовых сервисов — ООО «Яндекс» (ИНН 7736207543) и ООО «ВК» (ИНН 7743001840). Работники удаляют такие письма в сроки, указанные в п. 2.1.

3.4. ООО «Яндекс» (ИНН 7736207543) получает IP-адрес и технические сведения о браузере посетителя при просмотре страниц со встроенной картой Яндекса (главная, «Как добраться»); дальше Яндекс обрабатывает их по своей политике конфиденциальности.

3.5. Государственные органы — в случаях и порядке, установленных законом.

3.6. Ответственность перед субъектом за действия лица, обрабатывающего данные по поручению Оператора, несёт Оператор (ч. 5 ст. 6 Закона).

3.7. Трансграничная передача персональных данных клиентов и посетителей Сайта не осуществляется: базы данных, резервные копии и письма о заявках находятся в России. Работникам, которые подключили уведомления в мессенджере Telegram (иностранный сервис), приходит только номер новой заявки и ссылка на неё — без сведений о клиенте. Для этого Telegram получает Telegram ID работника; уведомления в Telegram подключаются только с письменного согласия работника.

3.8. Работникам, которые подключили уведомления ВКонтакте, сообщество Оператора отправляет только номер новой заявки и ссылку на неё в системе управления Сайтом. Имя, телефон, комментарий и другие сведения о клиенте в этих уведомлениях не передаются. Сервис «ВКонтакте» получает ID пользователя — получателя сообщения; Сайт хранит этот ID и имя получателя для настройки доставки. Получателей выбирает владелец системы управления Сайтом.

4. Права субъектов и порядок обращений

4.1. Субъект вправе получить сведения об обработке своих персональных данных; требовать их уточнения, блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели; отозвать согласие; обжаловать действия Оператора в Роскомнадзоре или в суде.

4.2. Запрос направляется на privacy@igraika.example или по адресу: Тестовый адрес (заменить реальным). В запросе указываются номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате его выдачи и выдавшем органе, сведения, подтверждающие отношения с Оператором (например, дата заявки и указанный в ней номер телефона), и подпись. Запрос в электронной форме подписывается электронной подписью (ч. 3 ст. 14 Закона).

4.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.

4.4. Неточные данные Оператор уточняет в течение 7 рабочих дней после получения подтверждающих сведений. Неправомерную обработку прекращает в течение 3 рабочих дней, а если правомерность обеспечить нельзя — уничтожает данные в течение 10 рабочих дней. После отзыва согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней с даты получения отзыва, если закон не разрешает продолжить обработку без согласия.

5. Меры защиты

5.1. Назначен ответственный за организацию обработки персональных данных; утверждены локальные акты по обработке и защите данных; работники с ними ознакомлены.

5.2. Определены уровень защищённости персональных данных и актуальные угрозы, оценён возможный вред субъектам.

5.3. Доступ к данным — только по личным учётным записям с ролями. Пароли не короче 12 символов хранятся в виде стойкого хеша; после нескольких неудачных попыток вход временно блокируется.

5.4. Соединение с Сайтом защищено (HTTPS); сервер закрыт межсетевым экраном, администраторы входят на него по ключам.

5.5. Базы данных и резервные копии хранятся на серверах в России. Резервные копии зашифрованы и хранятся не дольше 14 дней.

5.6. В журналах работы Сайта номера телефонов и адреса электронной почты маскируются, IP-адреса усекаются.

5.7. Уничтожение персональных данных подтверждается актом и выгрузкой из журнала событий; акты хранятся три года.

5.8. Оператор проводит внутренний контроль соответствия обработки Закону и локальным актам.

6. Инциденты

При неправомерной или случайной передаче (утечке) персональных данных Оператор уведомляет Роскомнадзор: в течение 24 часов — о произошедшем инциденте, в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона). О компьютерных инцидентах, повлёкших неправомерную передачу персональных данных, Оператор информирует ФСБ России через государственную систему ГосСОПКА (ч. 12 ст. 19 Закона).

7. Cookie и внешние сервисы

При первом посещении Сайт сообщает о cookie и встроенной карте Яндекса: оставаясь на Сайте, посетитель соглашается с этим. Сайт сохраняет один необходимый cookie с отметкой, что посетитель ознакомился с уведомлением, на один год; сведения о посетителе в нём не хранятся. Аналитические и рекламные счётчики Сайт не использует. Встроенная карта Яндекса загружается вместе со страницей: ООО «Яндекс» получает IP-адрес и сведения о браузере и может установить собственные cookie. Посетитель, не согласный с этим, может не пользоваться Сайтом или запретить cookie в настройках браузера. Подробности — на странице «Политика cookie»: 161-104-46-5.sslip.io/cookies.

8. Данные детей

Оператор не запрашивает фамилию, имя и отчество ребёнка и сведения о его здоровье; возраст именинника сообщает его законный представитель или заявитель с его согласия. Просим не указывать в комментарии к заявке ФИО ребёнка и сведения о здоровье. Если сведения о здоровье нужны (например, об аллергии для меню праздника), Оператор получает их отдельно, с письменного согласия законного представителя (ст. 10 Закона).

9. Заключительные положения

Оператор вправе изменять Политику. Новая редакция публикуется на Сайте и действует с момента публикации.