Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет цели, правовые основания, состав, способы и сроки обработки персональных данных, порядок их защиты, прекращения обработки и уничтожения, а также порядок реализации прав субъектов персональных данных индивидуальным предпринимателем Павловым Степаном Евгеньевичем (далее — Оператор).

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также иными применимыми нормативными правовыми актами Российской Федерации.

1.3. Политика применяется к обработке персональных данных при использовании информационной системы Doom Media Records, включая следующие домены и их страницы:

• doommediarecords.ru и www.doommediarecords.ru;
• releases.doommediarecords.ru;
• backstage.doommediarecords.ru;
• public.doommediarecords.ru — в той части, в которой на данном поддомене осуществляется сбор или иная обработка персональных данных;
• иные поддомены doommediarecords.ru, на которых размещены сервисы Оператора и ссылка на настоящую Политику.

1.4. Основная часть информационной системы является закрытой корпоративной системой. Самостоятельная публичная регистрация пользователей не осуществляется. Учетные записи создаются уполномоченными лицами Оператора и предоставляются артистам, правообладателям, представителям, сотрудникам и иным лицам, которым Оператор предоставил доступ.

1.5. Политика распространяется на обработку с использованием средств автоматизации, без использования таких средств и на смешанную обработку.

1.6. Политика не является согласием субъекта на обработку персональных данных и не заменяет такое согласие в случаях, когда оно требуется законом. Согласие запрашивается отдельно от иных документов и подтверждаемых пользователем условий.

1.7. Использование сайта само по себе не признается согласием на обработку персональных данных, для которой закон требует отдельного волеизъявления.

2. Сведения об Операторе

2.1. Doom Media Records является коммерческим обозначением, используемым Оператором, и само по себе не является отдельным оператором персональных данных.

2.2. Оператор определяет цели обработки персональных данных, состав обрабатываемых данных и действия, совершаемые с ними, и несет обязанности оператора, установленные законодательством Российской Федерации.

2.3. Правообладатель программного обеспечения, технический администратор и иные лица, обеспечивающие работу системы, могут осуществлять обработку персональных данных исключительно по документированному поручению Оператора и в пределах предоставленных им полномочий.

2.4. Само по себе обладание исключительным правом на программное обеспечение, доменным именем или серверным доступом не означает определения целей обработки. Если техническое лицо начинает самостоятельно определять цели или существенные условия отдельной обработки, его статус в отношении такой обработки подлежит отдельной правовой оценке, а Политика и иные документы Оператора — актуализации.

3. Основные понятия

3.1. В Политике используются понятия «персональные данные», «обработка персональных данных», «оператор», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание», «информационная система персональных данных» и иные понятия в значении, установленном Законом № 152-ФЗ.

3.2. Пользователь — физическое лицо, использующее сайт или получившее учетную запись в закрытой системе.

3.3. Релиз — музыкальное произведение, исполнение, фонограмма, видеоматериал, изображение, метаданные, сопроводительные документы и иные материалы, переданные для проверки, выпуска, продвижения, учета или исполнения договора.

3.4. Технический исполнитель — лицо, обрабатывающее персональные данные по поручению Оператора для разработки, размещения, эксплуатации, защиты, резервного копирования и технической поддержки системы.

4. Принципы обработки персональных данных

4.1. Оператор обрабатывает персональные данные на законной и справедливой основе.

4.2. Обработка ограничивается заранее определенными, конкретными и законными целями. Не допускается обработка, несовместимая с целями сбора.

4.3. Состав и объем данных должны соответствовать заявленным целям и не быть избыточными.

4.4. Оператор принимает разумные меры для поддержания точности и актуальности данных.

4.5. Данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, договор или закон.

4.6. По достижении цели, утрате необходимости в обработке либо наступлении иного законного основания обработка прекращается, а данные уничтожаются или обезличиваются, если их дальнейшее хранение не требуется по закону или договору.

4.7. Доступ к персональным данным предоставляется только лицам, которым он необходим для исполнения обязанностей и которым установлен соответствующий уровень доступа.

5. Категории субъектов и состав персональных данных

5.1. Оператор может обрабатывать персональные данные следующих категорий субъектов:

• посетителей сайта;
• пользователей закрытой системы: артистов, авторов, исполнителей, правообладателей и их представителей;
• администраторов, менеджеров, модераторов, разработчиков и иных лиц, которым предоставлен служебный доступ;
• участников релизов, авторов, исполнителей, продюсеров, представителей и иных физических лиц, сведения о которых включены пользователем в материалы релиза;
• заявителей по обращениям, сообщениям об ошибках и вопросам технической поддержки;
• представителей контрагентов, дистрибьюторов, агрегаторов и иных деловых партнеров.

5.2. В отношении посетителей и пользователей сайта могут обрабатываться:

• IP-адрес;
• дата, время и адрес запроса;
• сведения о браузере, операционной системе и устройстве, включая User-Agent;
• идентификаторы сессии, необходимые и функциональные cookie;
• сведения о действиях на сайте, попытках входа, событиях безопасности и технических ошибках.

5.3. В отношении владельцев учетных записей могут обрабатываться:

• фамилия, имя, отчество либо указанное пользователем отображаемое имя;
• логин, идентификатор учетной записи, роль, статус и объем доступа;
• артистический псевдоним и связанные с аккаунтом творческие проекты;
• пароль исключительно в виде криптографического хэша;
• адрес электронной почты, используемый для двухфакторной аутентификации и выбранных служебных уведомлений;
• сведения о подключении двухфакторной аутентификации, времени подтверждения и проверке одноразовых кодов;
• Telegram-идентификатор чата, имя пользователя, имя и фамилия профиля Telegram, дата подключения бота — если пользователь добровольно подключил Telegram;
• аватар и материалы, направленные на модерацию изображения профиля;
• настройки уведомлений и интерфейса;
• даты создания, входа и последней активности;
• сведения об активных и завершенных сессиях;
• служебные отметки, относящиеся к доступу и сопровождению учетной записи.

5.4. При работе с релизами, архивом релизов и питчингом могут обрабатываться:

• ФИО, псевдонимы и отображаемые имена артистов, авторов, исполнителей, продюсеров, правообладателей и иных участников;
• связь участника с учетной записью или творческим проектом, роль в релизе, очередность отображения и сведения о распределении долей, если они указаны;
• название, тип, дата выпуска и жанр релиза;
• названия треков, язык, сведения о наличии ненормативной лексики или иных особенностях контента;
• тексты произведений;
• сведения о фокус-треке, предполагаемых промофрагментах и материалах питчинга;
• комментарии, переписка, запросы на изменения, история статусов и модерационные замечания;
• обложки, изображения, скриншоты, аудиофайлы, видеоссылки, имена файлов, технические метаданные и иные загруженные материалы;
• UPC, ISRC и иные идентификаторы релиза или трека;
• сведения, содержащиеся в лицензионных договорах, дополнительных соглашениях, отчетах, выписках и документах, связанных с подтверждением прав и выпуском релиза.

5.5. При направлении сообщения об ошибке или обращения в поддержку могут обрабатываться имя, логин, роль, Telegram, указанный способ связи, содержание обращения, шаги воспроизведения, адрес страницы, User-Agent, скриншоты и иные приложенные файлы.

5.6. В деловой переписке с контрагентами могут обрабатываться ФИО, должность, место работы, служебные контактные данные, содержание переписки и сведения о совершенных действиях.

5.7. Оператор не ставит целью обработку специальных категорий персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни. Пользователям запрещается включать такие сведения в свободные поля и вложения без отдельного законного основания и предварительного согласования с Оператором.

5.8. Фотографии и иные изображения не используются для установления личности по физиологическим или биологическим характеристикам и по общему правилу не обрабатываются Оператором как биометрические персональные данные. Если назначение обработки изменится, Оператор предварительно оформит требуемое законом основание и обновит документы.

5.9. Система не предназначена для самостоятельного использования малолетними. Предоставление доступа несовершеннолетнему и обработка данных, для которой требуется волеизъявление законного представителя, допускаются после проверки возраста, полномочий представителя и надлежащего правового основания.

6. Цели и правовые основания обработки

6.1. Применяемыми основаниями являются, в частности, пункты 1, 2, 5, 7 и иные применимые положения части 1 статьи 6 Закона № 152-ФЗ, договоры с субъектами, нормы гражданского, налогового, бухгалтерского и иного применимого законодательства.

6.2. Согласие не используется как формальное универсальное основание, если обработка объективно необходима для исполнения договора или обязанности, установленной законом.

6.3. Отзыв согласия прекращает обработку, основанную именно на согласии. Обработка может быть продолжена без согласия при наличии самостоятельного основания, предусмотренного законом, в необходимом для такого основания объеме.

7. Источники получения данных

7.1. Оператор получает персональные данные:

• непосредственно от субъекта через интерфейс сайта, документы, обращения и подключаемые сервисы;
• от уполномоченного представителя субъекта;
• от сотрудника или администратора, создающего учетную запись на основании договора, поручения, заявления субъекта или иного законного основания;
• от пользователя, который включает сведения об иных участниках в материалы релиза;
• от контрагентов, агрегаторов и дистрибьюторов в рамках исполнения договора;
• автоматически от браузера и серверной инфраструктуры при использовании сайта;
• из открытых источников — только в случаях и объеме, допускаемых законом.

7.2. Если данные получены не от самого субъекта, Оператор до начала обработки предоставляет субъекту предусмотренную законом информацию, кроме случаев, когда субъект уже уведомлен либо применяется установленное законом исключение.

7.3. Пользователь, передающий данные другого лица, обязан иметь законное основание для такой передачи и по запросу Оператора подтвердить его. Это условие не освобождает Оператора от его собственных обязанностей по проверке правомерности обработки.

8. Порядок, способы и действия с персональными данными

8.1. Оператор может совершать следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, сопоставление, предоставление, доступ, передачу в предусмотренных законом и договором случаях, обезличивание, блокирование, удаление и уничтожение.

8.2. Обработка осуществляется автоматизированным, неавтоматизированным и смешанным способами, с передачей по внутренней сети Оператора и через сеть Интернет при наличии правового основания и необходимых мер защиты.

8.3. Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки без участия уполномоченного лица, если иное прямо не допускается законом и не согласовано с субъектом в установленном порядке.

8.4. Доступ к данным внутри системы разграничивается с учетом роли пользователя и необходимости выполнения конкретной функции.

9. Согласие на обработку и распространение данных

9.1. Когда обработка требует согласия, оно должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным и оформляется отдельно от иных документов и условий, подтверждаемых субъектом.

9.2. Электронное согласие может фиксироваться с указанием учетной записи, даты и времени, версии текста согласия, результата выбора и технических сведений, необходимых для подтверждения факта его получения.

9.3. Поля согласия не должны быть заранее отмечены. Отказ от необязательной обработки не ограничивает функциональность, для которой соответствующие данные не нужны.

9.4. Согласие может быть отозвано по адресу электронной почты Оператора или иным указанным в интерфейсе способом. Отзыв должен позволять достоверно определить субъекта и соответствующее согласие.

9.5. Размещение ФИО, фотографии и иных персональных данных для доступа неограниченного круга лиц допускается только на основании отдельного согласия на обработку персональных данных, разрешенных субъектом для распространения, с возможностью установить запреты и условия распространения. Обычное согласие на обработку персональных данных такое согласие не заменяет.

9.6. Внутреннее отображение данных авторизованным пользователям с разграниченным доступом не считается автоматически распространением неограниченному кругу лиц, но должно соответствовать цели и полномочиям получателей.

10. Обязательные и необязательные данные

10.1. Данные, без которых невозможно создать защищенную учетную запись, исполнить договор, идентифицировать правообладателя или обработать релиз, являются обязательными для соответствующей функции.

10.2. Если предоставление данных или согласия обязательно по закону, Оператор разъясняет субъекту юридические последствия отказа.

10.3. Email для двухфакторной аутентификации, Telegram, аватар, дополнительные контактные сведения и функциональные настройки являются необязательными, если конкретный договор или требования безопасности для соответствующей роли прямо не устанавливают иное.

10.4. Отказ от функциональных cookie, Telegram или необязательных уведомлений не препятствует отправке релиза и использованию основной функциональности закрытой системы.

11. Передача и поручение обработки

11.1. Персональные данные могут предоставляться следующим категориям получателей в необходимом объеме:

• ООО «Бегет» — предоставление VPS, сетевой, почтовой и иной инфраструктуры;
• техническому исполнителю, правообладателю программного обеспечения и администраторам — размещение, разработка, сопровождение, защита и резервное копирование системы;
• поставщикам почтовой связи — отправка кодов и служебных уведомлений;
• поставщику сервиса Telegram — при добровольном подключении пользователем Telegram-бота;
• поставщику Gmail API и связанной инфраструктуры Google — если соответствующая интеграция фактически используется для обработки деловой переписки с агрегатором;
• музыкальным агрегаторам, дистрибьюторам, цифровым площадкам, подрядчикам по продвижению и иным контрагентам — в объеме, необходимом для исполнения договора и выпуска релиза;
• банкам, платежным, бухгалтерским, аудиторским и юридическим подрядчикам — если соответствующая обработка фактически осуществляется и необходима для договора или закона;
• государственным органам, судам и иным уполномоченным лицам — в случаях и порядке, предусмотренных законом.

11.2. Поручение обработки оформляется договором или иным надлежащим документом и определяет цели обработки, перечень персональных данных и операций, обязанности по конфиденциальности, локализации, защите данных, предоставлению подтверждающих документов, реагированию на инциденты, возврату или уничтожению данных и иные требования части 3 статьи 6 Закона № 152-ФЗ.

11.3. Лицо, действующее по поручению, не вправе использовать данные в собственных целях или выходить за пределы поручения.

11.4. Передача контрагенту не осуществляется только на основании того, что он упомянут в Политике. Для каждой передачи должно существовать конкретное законное основание.

11.5. Оператор не продает базы персональных данных и не предоставляет их третьим лицам для самостоятельной рекламы без отдельного законного основания.

12. Локализация и трансграничная передача

12.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием основной базы данных и файлового хранилища, расположенных на территории Российской Федерации.

12.2. Основной производственный сервер и файловое хранилище сайта размещаются на инфраструктуре Beget в Российской Федерации, г. Санкт-Петербург.

12.3. Использование Telegram, Gmail и иных иностранных либо распределенных информационных сервисов может повлечь трансграничную передачу отдельных персональных данных после их первичного сбора в Российской Федерации.

12.4. До начала конкретной трансграничной передачи Оператор выполняет требования статьи 12 Закона № 152-ФЗ, включая получение необходимых сведений от иностранного получателя, оценку условий обработки и направление отдельного уведомления в Роскомнадзор, если законом не предусмотрено исключение.

12.5. Если требуемые законом условия не выполнены, соответствующий внешний канал не должен использоваться для передачи персональных данных.

12.6. Подключение пользователем внешнего сервиса не отменяет обязанности Оператора выполнить требования о трансграничной передаче. Согласие пользователя само по себе не заменяет уведомление Роскомнадзора и иные обязательные процедуры.

12.7. После передачи данных внешнему сервису его поставщик может сохранять технические журналы и сообщения в соответствии со своими документами и применимым законодательством. Оператор учитывает это при выборе передаваемых сведений и при рассмотрении требований субъекта об удалении.

13. Cookie и браузерные хранилища

13.1. Сайт использует необходимые cookie для авторизации, защиты сессии, сохранения выбора пользователя и обеспечения работоспособности системы.

13.2. Функциональные cookie и браузерные хранилища используются только после соответствующего выбора пользователя и могут запоминать просмотренные обновления, громкость плеера и отдельные настройки интерфейса.

13.3. Аналитические и рекламные cookie не используются, пока Оператор прямо не сообщит об их внедрении, не обновит документы и не получит требуемое согласие.

13.4. Подробные сведения о cookie, сроках и способах изменения выбора содержатся в Политике использования файлов cookie по адресу https://doommediarecords.ru/cookie-policy.html.

14. Сроки обработки и хранения

14.1. Если для одной категории применимы разные сроки, используется срок, необходимый для конкретной цели и правового основания, но не произвольно неограниченный срок.

14.2. Истечение срока хранения влечет удаление, уничтожение либо необратимое обезличивание данных. Уничтожение оформляется способом, позволяющим подтвердить его в случаях, предусмотренных законом.

14.3. При невозможности немедленного уничтожения данные блокируются и уничтожаются в установленный законом срок.

15. Меры защиты

15.1. Оператор принимает необходимые правовые, организационные и технические меры, в том числе:

• определяет лиц, допущенных к обработке, и их полномочия;
• разграничивает доступ по ролям и принципу необходимого знания;
• использует защищенное соединение и безопасные параметры сессионных cookie;
• хранит пароли в виде криптографических хэшей;
• применяет двухфакторную аутентификацию для пользователей, подключивших ее, и вправе сделать ее обязательной для отдельных привилегированных ролей;
• журналирует входы и критичные действия;
• ограничивает число попыток входа и применяет средства противодействия автоматизированным атакам;
• выполняет резервное копирование и контролирует восстановление;
• обновляет программное обеспечение, устраняет уязвимости и контролирует конфигурацию серверов;
• проводит оценку угроз и вреда, внутренний контроль и периодический аудит;
• устанавливает порядок реагирования на инциденты и взаимодействия с Роскомнадзором;
• требует от технических исполнителей и подрядчиков подтверждения принятых мер защиты.

15.2. Сведения о конкретных конфигурациях, ключах, паролях, токенах, сетевых правилах и иных защитных механизмах не публикуются, если их раскрытие может снизить безопасность системы.

15.3. Ни один способ передачи или хранения не исключает риск полностью. Оператор не дает необоснованной гарантии абсолютной безопасности, но обязан обеспечить предусмотренный законом уровень защищенности и принимать меры, соразмерные актуальным угрозам.

16. Права субъектов

16.1. Субъект вправе:

• получить подтверждение факта обработки и сведения, предусмотренные статьей 14 Закона № 152-ФЗ;
• ознакомиться со своими персональными данными в доступной форме;
• потребовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или не нужных для заявленной цели данных;
• отозвать согласие;
• потребовать прекращения обработки, кроме случаев, когда Оператор вправе или обязан продолжать ее по закону;
• установить запреты и условия обработки данных, разрешенных для распространения;
• обжаловать действия или бездействие Оператора в Роскомнадзор или суд;
• использовать иные способы защиты, предусмотренные законом.

16.2. Для реализации прав субъект направляет обращение на doommediarecords@gmail.com либо по адресу Оператора.

16.3. Запрос должен позволять установить личность заявителя, его полномочия и факт отношений с Оператором. Оператор вправе запросить дополнительные сведения только в объеме, необходимом для предотвращения раскрытия данных постороннему лицу.

16.4. Ответ на запрос о доступе предоставляется в течение 10 рабочих дней. Срок может быть продлен не более чем на 5 рабочих дней при направлении мотивированного уведомления с указанием причин продления.

16.5. Оператор предоставляет ответ в форме, в которой поступил запрос, если субъект не указал иной допустимый способ.

17. Уточнение, прекращение обработки и уничтожение

17.1. На период проверки сообщения о неправомерной обработке или неточности соответствующие данные блокируются, если это не нарушает права и законные интересы субъекта или третьих лиц.

17.2. Подтвержденные неточные данные уточняются в течение 7 рабочих дней со дня представления необходимых сведений.

17.3. Неправомерная обработка прекращается не позднее 3 рабочих дней с даты ее выявления. Если обеспечить правомерность невозможно, данные уничтожаются не позднее 10 рабочих дней с даты выявления нарушения.

17.4. По достижении цели данные уничтожаются не позднее 30 календарных дней, если договором или законом не предусмотрено иное основание для обработки.

17.5. После отзыва согласия данные, для которых отсутствует иное основание, уничтожаются не позднее 30 календарных дней.

17.6. Требование субъекта о прекращении обработки исполняется не позднее 10 рабочих дней; срок может быть продлен не более чем на 5 рабочих дней с мотивированным уведомлением. Обработка продолжается в случаях, прямо предусмотренных законом.

17.7. Если уничтожение в указанные сроки невозможно, данные блокируются и уничтожаются не позднее 6 месяцев, если федеральным законом не установлен иной срок.

18. Инциденты безопасности

18.1. При выявлении неправомерной или случайной передачи, предоставления, распространения или доступа, повлекших нарушение прав субъектов, Оператор принимает меры по локализации инцидента, сохранению доказательств, устранению последствий и предотвращению повторения.

18.2. Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента и предоставляет результаты внутреннего расследования в течение 72 часов в объеме, установленном законом.

18.3. Технический исполнитель обязан незамедлительно сообщить Оператору об инциденте и предоставить сведения, необходимые для соблюдения сроков уведомления.

18.4. Субъекты уведомляются об инциденте в случаях, объеме и способом, предусмотренными законом либо определенными Оператором исходя из риска причинения вреда.

19. Публичное размещение и внешние ресурсы

19.1. Данные закрытой системы не становятся общедоступными только вследствие их загрузки в личный кабинет.

19.2. Публичное размещение профиля, имени, фотографии, сведений о релизе или участниках осуществляется при наличии договорного и иного законного основания, а когда сведения становятся доступными неограниченному кругу лиц — с учетом требований статьи 10.1 Закона № 152-ФЗ.

19.3. Переход пользователя на внешний сайт регулируется документами владельца соответствующего ресурса. Оператор не включает внешние средства аналитики, рекламы или авторизации без предварительной правовой и технической оценки.

20. Заключительные положения

20.1. Политика размещается в свободном доступе на страницах сайта, посредством которых осуществляется сбор персональных данных, и доступна без авторизации.

20.2. Оператор вправе изменять Политику при изменении законодательства, состава обработки или архитектуры системы. Новая редакция применяется с даты ее размещения, если в ней не установлен более поздний срок.

20.3. Изменение Политики не создает задним числом согласие на новые цели или категории обработки. Если для новой обработки необходимо согласие, оно запрашивается отдельно до ее начала.

20.4. Дата последнего обновления указывается в начале документа. Архивные редакции сохраняются Оператором для подтверждения условий, действовавших в соответствующий период.

20.5. Вопросы о Политике и обработке персональных данных направляются по адресу doommediarecords@gmail.com.