Этот документ называется «Политика обработки персональных данных». Мы будем называть его «Политика». Он разъясняет как Общество с ограниченной ответственностью «Кудрявый фестиваль», которое является оператором персональных данных (далее — «Оператор») обрабатывает персональные данные пользователей, предоставивших персональные данные на сайте https://curlfest.ru/, включая разделы и поддомены, лендинги мероприятий и иные интернет-ресурсы, администрируемые ООО «КУДРЯВЫЙ ФЕСТИВАЛЬ» (далее мы называем сайт https://curlfest.ru/ — «Сайт»).

Политика разработана на основании требований законодательства и нормативных правовых актов России. Применимое законодательство перечислено здесь.

Политика устанавливает условия обработки персональных данных таких субъектов персональных данных как: физические лица — пользователи сети Интернет, посетившие и пользующиеся Сайтом. Мы будем называть таких лиц — «Пользователи».

Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Под персональными данными мы понимаем любую информацию, которая относится к Пользователю прямо или косвенно или позволяет определить такого Пользователя в качестве конкретного субъекта.

Под обработкой персональных данных мы понимаем любое действие или совокупность действий с персональными данными (включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных), совершаемых с использованием средств автоматизации или без использования таких средств.

Под Сайтом мы понимаем совокупность программного обеспечения, баз данных, графических, дизайнерских, информационных материалов и объектов интеллектуальных прав на сайте curlfest.ru, включая все его разделы, поддомены, лендинги мероприятий и иные интернет-ресурсы, формы регистрации, сервисы продажи билетов и иные цифровые ресурсы, используемые ООО «КУДРЯВЫЙ ФЕСТИВАЛЬ» для организации и проведения мероприятий, аффилированным с ним лицам или третьим лицам, согласовавших использование таких объектов.

Под Информационной системой персональных данных (ИСПДн) мы понимаем совокупность содержащихся в базах данных персональных данных, и обеспечивающих их обработку информационных технологий и технических средств.
Под Распространением персональных данных мы понимаем действия, направленные на раскрытие персональных данных неопределенному кругу лиц или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.
Под Трансграничной передачей персональных данных мы понимаем передачу персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

Действие Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передаче (предоставлению, распространению, доступу), обезличиванию, блокированию, удалению и уничтожению персональных данных, осуществляемые Оператором как с использованием средств автоматизации, так и без использования. Совершая на Сайте любое из следующих действий: 

• использование Сайта;
• указание персональных данных в специальных формах сбора таких данных;
• заполнение полей форм обратной связи;
• заполнение полей формы для оформления подписки на рассылку;
• нажатие кнопок на Сайте, таких как «Зарегистрироваться», «Подать заявку», «Купить билет», «Стать партнером», «Отправить заявку», «Подписаться», «Участвовать», или любых других активных кнопок или переход по гиперссылкам на Сайте;

Пользователь подтверждает, что действует свободно, своей волей и в своем интересе, а также своими действиями выражает и предоставляет свое согласие Оператору на обработку своих персональных данных, указанных в Политике, на условиях Политики, в том числе на передачу персональных данных третьим лицам в указанных целях.

В случае несогласия с каким-либо из положений Политики, Пользователь обязан немедленно прекратить использование Сайта.

В случае необходимости в Политику могут быть внесены изменения без какого-либо специального уведомления или предварительного согласия Пользователя. Новая редакция Политики вступает в силу с момента ее размещения на Сайте. Продолжая использовать Сайт, после внесения изменений в Политику, Пользователь подтверждает свое согласие с внесенными изменениями.

Актуальная редакции Политики доступна для ознакомления на Сайте в сети Интернет.

Мы не несем ответственность за веб-сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на Сайте. Переходя по таким ссылкам и оставляя персональные данные на веб-сайтах таких третьих лиц, Пользователь обязуется ознакомиться с политикой обработки персональных данных и иными документами на веб-сайте такого третьего лица.

Объем и содержание обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к указанным целям.

Оператор осуществляет обработку персональных данных Пользователей в следующих целях:

4.1. Обеспечение функционирования Сайта и предоставление информации о мероприятиях, организуемых ООО «КУДРЯВЫЙ ФЕСТИВАЛЬ», включая фестивали, образовательные программы, конкурсы, выступления, мастер-классы, партнерские проекты и иные мероприятия.

Категории персональных данных:

• имя;
• номер телефона;
• адрес электронной почты;
• город проживания;
• ссылки на социальные сети;
• IP-адрес;
• файлы cookie;
• технические данные устройства и браузера.

4.2. Регистрация Пользователей для участия в мероприятиях, организуемых Оператором.

Категории персональных данных:

• имя и фамилия;
• номер телефона;
• адрес электронной почты;
• город проживания;
• ссылки на социальные сети;
• иные сведения, добровольно предоставленные Пользователем при регистрации.

4.3. Оформление, приобретение и возврат билетов на мероприятия, проведение расчетов и исполнение обязательств по договору.

Категории персональных данных:

• имя и фамилия;
• номер телефона;
• адрес электронной почты;
• сведения о приобретенном билете;
• платежные данные в объеме, необходимом для проведения платежа через платежного партнера;
• иные сведения, предусмотренные законодательством Российской Федерации.

4.4. Рассмотрение обращений Пользователей, предоставление консультаций, обработка заявок и обратной связи.

Категории персональных данных:

• имя;
• номер телефона;
• адрес электронной почты;
• содержание обращения.

4.5. Направление информационных сообщений о мероприятиях, изменениях программы, специальных предложениях, новостях проекта, анонсах и иных сообщениях, связанных с деятельностью Оператора.

Категории персональных данных:

• имя;
• номер телефона;
• адрес электронной почты.

4.6. Проведение маркетинговых, статистических и аналитических исследований, улучшение качества работы Сайта и мероприятий.

Категории персональных данных:

• IP-адрес;
• файлы cookie;
• сведения о браузере и устройстве;
• информация о действиях Пользователя на Сайте;
• сведения о посещаемых страницах и времени посещения.

4.7. Рассмотрение заявок на сотрудничество, спонсорство, информационное партнерство и участие в организации мероприятий.

Категории персональных данных:

• имя и фамилия;
• номер телефона;
• адрес электронной почты;
• наименование организации;
• должность;
• ссылки на сайт и социальные сети;
• описание предложения о сотрудничестве.

4.8. Публикация отзывов, интервью, материалов о фестивале, фото- и видеоматериалов с участием Пользователей при наличии соответствующего согласия либо иных законных оснований.

Категории персональных данных:

• имя и фамилия;
• фотоизображение;
• видеоизображение;
• аудиозапись голоса;
• ссылки на социальные сети.

Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.

Основаниями обработки персональных данных являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники»;
• согласие субъекта персональных данных;
• договор, стороной которого является Пользователь;
• иные основания, предусмотренные законодательством Российской Федерации.

Обработка персональных данных осуществляется с помощью средств вычислительной техники (автоматизированная обработка), так и без таковой с согласия Пользователя, если иное не предусмотрено законодательством России. Сбор персональных данных происходит следующими способами:

• получение персональных данных в устной, письменной или электронной форме непосредственно от Пользователя;
• получение персональных данных от третьих лиц, которым Пользователь дал согласие на передачу данных Оператору;
• получение персональных данных от третьих лиц, которым Пользователь дал согласие на распространение персональных данных;
• предоставление Пользователем документов, содержащих персональные данные;
• получение персональных данных из общедоступных источников;
• получение данных об устройствах, программном обеспечении, протоколов передачи данных и т. д., используемых при подключении к сети интернет и работе с Сайтом;
• внесение персональных данных в информационные системы персональных данных (ИСПДн);
• использование иных средств и способов обработки персональных данных.

Оператор не обрабатывает специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрических персональных данных, за исключением случаев, предусмотренных законодательством России.

Оператор не проводит проверку возраста посетителей сайта и в связи с этим не обрабатывает персональные данные несовершеннолетних лиц. Если Пользователь является несовершеннолетним в возрасте до 14 лет, то, оставляя свои персональные данные на сайте, Пользователь подтверждает наличие письменного согласия родителя или иного законного представителя на обработку Оператором персональных данных такого Пользователя. Оператор вправе запросить у Пользователя такое согласие.

Если Пользователь является родителем или иным законным представителем несовершеннолетнего лица до 14 лет, то, оставляя данные несовершеннолетнего лица на сайте, Пользователь дает согласие на обработку своих персональных данных и персональных данных несовершеннолетнего лица. Оператор вправе запросить у Пользователя такое согласие дополнительно.

Оператор вправе передавать персональные данные третьим лицам исключительно в объеме, необходимом для достижения целей обработки персональных данных, указанных в настоящей Политике, а также поручать обработку персональных данных таким лицам в соответствии с требованиями законодательства Российской Федерации.
Передача персональных данных осуществляется на основании согласия Пользователя либо в иных случаях, предусмотренных законодательством Российской Федерации.

В зависимости от целей обработки персональные данные могут передаваться следующим категориям третьих лиц:

• операторам платежных сервисов и кредитным организациям — для обработки платежей и возвратов денежных средств;
• билетным платформам и сервисам регистрации участников — для оформления, оплаты и учета билетов, регистрации посетителей и управления списками участников;
• сервисам электронных, SMS- и иных информационных рассылок — для направления уведомлений, организационной информации, подтверждений регистрации и иных сообщений, связанных с проведением фестиваля;
• CRM-системам и сервисам автоматизации взаимодействия с посетителями — для учета заявок, обращений и коммуникаций;
• подрядчикам, обеспечивающим организацию и техническое сопровождение фестиваля (регистрация участников, контроль доступа, техническая поддержка, фото- и видеосъемка, обеспечение работы информационных систем);
• хостинг-провайдерам и поставщикам облачной инфраструктуры — для размещения и обеспечения функционирования сайта и информационных систем;
• поставщикам аналитических сервисов — для анализа посещаемости сайта, улучшения его работы и оценки эффективности информационных материалов;
• государственным органам, судам и иным уполномоченным организациям — в случаях и порядке, предусмотренных законодательством Российской Федерации.

При использовании Оператором конкретных сервисов обработка персональных данных может осуществляться следующими организациями (при наличии):

• Timepad — сервис продажи билетов и регистрации участников;
• Unisender — сервис электронных рассылок;
• ЮKassa (или иной используемый платежный сервис) — обработка платежей;
• Яндекс Метрика — веб-аналитика;
• VK Pixel — аналитика и оценка эффективности рекламных кампаний.
• Оператор обеспечивает, чтобы все лица, которым поручается обработка персональных данных, соблюдали требования законодательства Российской Федерации о персональных данных и принимали необходимые меры по обеспечению их конфиденциальности и безопасности.

Передача персональных данных в государственные органы осуществляется исключительно в случаях, предусмотренных законодательством Российской Федерации.

После достижения целей обработки, истечения сроков хранения персональных данных, отзыва согласия субъектом персональных данных либо выявления неправомерной обработки персональные данные подлежат уничтожению или обезличиванию, если иное не предусмотрено законодательством Российской Федерации.

Трансграничная передача персональных данных
Трансграничная передача персональных данных осуществляется Оператором только при соблюдении требований законодательства Российской Федерации.

До начала трансграничной передачи Оператор принимает меры по обеспечению надлежащей защиты прав субъектов персональных данных. Передача персональных данных в иностранные государства, не обеспечивающие адекватную защиту прав субъектов персональных данных, допускается только в случаях, предусмотренных законодательством Российской Федерации, в том числе при наличии отдельного согласия субъекта персональных данных либо при необходимости исполнения договора, стороной которого является субъект персональных данных.

Оператор обязан: 

• по письменному запросу Пользователя предоставить информацию, касающуюся обработки персональных данных, либо на законных основаниях отказать в предоставлении такой информации в срок, не превышающий 30 (тридцати) дней с момента получения соответствующего запроса;
• по письменному обращению Пользователя уточнять обрабатываемые персональные данные, блокировать или удалять их, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, в срок, не превышающий 30 (тридцати) дней с момента получения оператором соответствующего требования;
• в случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки персональных данных, если иное не предусмотрено законодательством России;
• в случае отзыва Пользователем согласия на обработку своих персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено внутренними документами оператора или законодательством России;
• вести журнал учета обращений Пользователей, в котором должны фиксироваться все обращения Пользователей, поступившие Оператору в надлежащей форме, а также действия, предпринятые Оператором по результатам рассмотрения соответствующих обращений;
• при обработке персональных данных принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• не раскрывать третьим лицам и не распространять персональные данные пользователя без его согласия, если иное не предусмотрено настоящей Политикой, договором, согласием на обработку персональных данных или законодательством России.

Пользователь вправе:

• узнавать информацию о том, как обрабатываются его персональные данные. Пользователь может запросить эти сведения, отправив сообщение на электронную почту;
• исправлять свои персональные данные и просить заблокировать или удалить их, если они неполные, старые, неточные, получены незаконно или не нужны для обработки. Такое требование нужно отправить на электронную почту;
• требовать остановить обработку своих персональных данных. Мы остановим или организуем остановку обработки в течение 10 рабочих дней после получения требования, кроме случаев, которые указаны в законодательстве России [1];
• запрашивать информацию об обработке своих персональных данных [2];
• отозвать свое согласие на обработку персональных данных. Для этого отправьте письменный отзыв, который соответствует требованиям законодательства России, на электронную почту: curlfest@yandex.ru. Отзыв должен быть отправлен с адреса электронной почты, который Пользователь указал в форме для сбора персональных данных на Сайте;
• защищать свои права и интересы по законодательству России;
• жаловаться на действия или бездействие Оператора, если он нарушает законы, в уполномоченные органы или в суд;
• пользоваться другими правами, которые предоставляет законодательство России.

Оператор обеспечивает безопасность персональных данных при их обработке в соответствии с законодательством России и применимыми требованиями государственных органов.

Оператор предпринимает необходимые организационные и технические меры для защиты персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий [3].

[1] пункты 2−11 части 1 статьи 6, часть 2 статьи 10 и часть 2 статьи 11 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных" 
[2] Как это указано в части 7 статьи 14 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных" 
[3] В соответствии со статьями 18, 18.1, 19 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных" 

Оператор реализует следующие меры защиты при обработке персональных данных:

• определение угроз безопасности персональных данных при их обработке в информационных системах;
• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;
• использование средств защиты, которые прошли процедуру оценки соответствия в установленном порядке;
• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы;
• выявление фактов несанкционированного доступа к персональным данным и принятие мер;
• восстановление персональных данных, измененных или уничтоженных вследствие несанкционированного доступа;
• установление правил доступа к персональным данным, обрабатываемым в информационной системе, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем;
• принятие локальных нормативных актов в области обработки и защиты персональных данных;
• назначение должностных лиц, ответственных за обеспечение безопасности персональных данных;
• организация обучения и проведение методической работы с работниками, осуществляющими обработку персональных данных;
• создание необходимых условий для работы с информационными системами, в которых обрабатываются персональные данные;
• учет информационных систем, в которых обрабатываются персональные данные;
• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем.

При передаче персональных данных третьим лицам Оператор обеспечивает обязательное выполнение требований законодательства России в области персональных данных.

В частности, Оператор получает письменное согласие Пользователя на передачу персональных данных третьему лицу и оформляет с таким лицом поручение на обработку персональных данных.

В поручении Оператор определяет:

• перечень персональных данных;
• список действий с персональными данными;
• цели их обработки;
• обязанность третьего лица соблюдать конфиденциальность персональных данных и требования, предусмотренные законодательством России в области персональных данных;
• обязательство по запросу Оператора в течение срока действия поручения предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных в поручении;
• ответственность за обеспечение безопасности персональных данных при их обработке.

За нарушение требований законодательства России в сфере обработки и защиты персональных данных предусмотрена ответственность в соответствии с российским законодательством.

Оператор хранит персональные данные Пользователя до тех пор, пока это необходимо для целей обработки персональных данных. Если срок хранения персональных данных не установлен законодательством России или договором для соответствующей цели обработки, то он определяется общими правилами законодательства России[4].

^[4] В соответствии с частью 7 статьи 5 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»

Сроки хранения персональных данных: начиная с даты получения согласия на обработку персональных данных на период действия указанной цели и 3 года после достижения указанной цели.

Обрабатываемые и хранимые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством России. В ходе сбора персональных данных, в том числе посредством сети интернет, Оператор совершает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан России с использованием баз данных, находящихся на территории России.

Оператор удаляет персональные данные Пользователей в следующих случаях:

• если достигнута цель обработки персональных данных или отпала необходимость в этой цели, кроме случаев, когда по закону нужно иначе;
• если обнаружена неправомерная обработка персональных данных;
• при отзыве согласия на обработку персональных данных, кроме случаев, предусмотренных законом.

Удалить персональные данные — значит совершить действия, после которых данные нельзя восстановить в информационной системе, а также уничтожить их материальные носители.

Если цель обработки достигнута, Оператор прекращает обработку и удаляет персональные данные в течение 30 дней после достижения цели. Это работает, если в договоре между Оператором и Пользователем не указано иное.

После получения отзыва согласия на обработку Оператор прекращает работу с данными и удаляет их в срок до 30 дней. Опять же, договор может предусматривать другие условия.Если удалить данные сразу не получается, то Оператор блокирует доступ к ним (или поручает другому лицу заблокировать) и удаляет данные в течение полугода. Но если законом установлен другой срок, Оператор следует ему.

Если персональные данные были записаны на физических носителях (например, на бумаге), Оператор физически уничтожает их. А если они хранились в информационных системах, Оператор удаляет файлы.

Общество с ограниченной ответственностью «КУДРЯВЫЙ ФЕСТИВАЛЬ»
Юридический адрес: 105 066, г. Москва, вн.тер.г. муниципальный округ Красносельский, ул. Нижняя Красносельская, д. 15−17, стр. 2, помещение 1П.
ОГРН: 1 247 700 270 113
ИНН: 7 708 434 270
Электронная почта: curlfest@yandex.ru
Генеральный директор: Шевелева Александра Игоревна

Настоящая Политика применяется ко всем персональным данным, которые ООО «КУДРЯВЫЙ ФЕСТИВАЛЬ» получает от пользователей сайта curlfest.ru, его поддоменов и сервисов.