Положение об обработке персональных данных

Редакция от 4 августа 2026 г. · Публичный документ о процедурах обработки

Политика в отношении обработки персональных данных отвечает на вопрос что обрабатывается и на каком основании. Настоящее Положение отвечает на вопрос как: откуда данные попадают к Оператору, кто и каким образом получает к ним доступ, чем они защищены, что происходит после обращения субъекта и в какие сроки. Документ опубликован, чтобы эти процедуры можно было проверить, а не принимать на слово.

Оператор: Индивидуальный предприниматель Сергеев Дмитрий Александрович, ОГРНИП 323508100553637, ИНН 771597626272. Обращения: info@sportwire.ru, тема письма «Персональные данные».

1. Область применения

Положение применяется ко всем персональным данным, которые Оператор обрабатывает в связи с работой сайта sportwire.ru, его поддоменов, личного кабинета и API сервиса SportWire. Оно обязательно для самого Оператора и для лиц, привлекаемых им к обработке по поручению.

2. Какие данные и откуда они берутся

Ниже — исчерпывающий перечень каналов, по которым персональные данные попадают к Оператору. Других каналов сбора нет.

Специальные категории персональных данных и биометрические данные не обрабатываются ни по одному из каналов.

3. Кто имеет доступ

3.1. Оператор ведёт деятельность без наёмных работников. Доступ к системам, где хранятся персональные данные пользователей — журналу заявок, базе личного кабинета, платёжным записям, — имеет только сам Оператор.

3.2. Вход в системы, где размещены эти данные, выполняется по криптографическим ключам; вход по паролю на уровне операционной системы отключён.

3.3. Привлечённые лица (АО «ТБанк», ООО «Яндекс», сервис чат-поддержки Helpi) получают только тот минимум данных, который необходим для их функции, и только в рамках этой функции. Полный перечень с указанием, кто что обрабатывает, — в разделе 4 Политики.

3.4. Клиенты сервиса доступа к персональным данным других клиентов не имеют: API отдаёт спортивные данные, а не сведения о пользователях.

4. Как данные защищаются

• Канал связи. Весь сайт, кабинет и API работают по HTTPS; обращение по незащищённому протоколу переадресуется на защищённый.
• Пароли. Пароль личного кабинета не хранится и никуда не пересылается в открытом виде — сохраняется только его хэш (PBKDF2-HMAC-SHA256, 200 000 итераций, индивидуальная соль для каждой записи). Восстановить пароль из хэша нельзя; при утрате пароль задаётся заново.
• Сессия кабинета. Cookie sw_session помечена флагами HttpOnly (недоступна скриптам страницы) и Secure (передаётся только по HTTPS), срок жизни — 7 суток.
• Журнал заявок. Хранится в каталоге вне корня веб-сервера, права доступа ограничены — по HTTP этот файл получить нельзя.
• Формы. Защищены антибот-проверкой Yandex SmartCaptcha и скрытым полем-ловушкой: это отсекает автоматический мусор и, как следствие, уменьшает объём случайно собираемых данных.
• Личный кабинет. Закрыт от индексации поисковыми системами на уровне веб-сервера; счётчик веб-аналитики и запись действий на странице (Вебвизор) в кабинете не подключаются — иначе в записи попадали бы API-ключи.
• Резервное копирование. База данных копируется регулярно; срок хранения копий — 7 суток. Копии используются только для восстановления работоспособности.
• Журналы. События обращения к сайту фиксируются и автоматически удаляются ротацией через 14 суток.

5. Что происходит при обращении субъекта

Обращение направляется письмом на info@sportwire.ru с темой «Персональные данные». Процедура одинакова для запроса сведений, уточнения, блокирования, удаления и отзыва согласия.

1. Приём. Обращение регистрируется по дате получения письма — с этой даты считаются сроки.
2. Идентификация. Адрес отправителя сверяется с адресом, указанным в учётной записи или заявке. Если адреса не совпадают, Оператор запрашивает уточнение — срок ответа в этом случае считается с момента получения уточнения. Сведения не выдаются лицу, чью связь с данными установить не удалось.
3. Поиск. Данные ищутся во всех системах разом: журнал заявок, база личного кабинета, платёжные записи, журналы обращений.
4. Исполнение. В зависимости от требования: выдаётся состав обрабатываемых данных и сведения об их обработке; данные уточняются; обработка блокируется; данные удаляются.
5. Ответ. Направляется на тот же адрес электронной почты. Если требование не подлежит удовлетворению (например, документы бухгалтерского учёта, срок хранения которых установлен законом), Оператор даёт мотивированный отказ со ссылкой на норму, а не молчит.

Сроки

Удаление данных учётной записи означает прекращение доступа к Сервису: API-ключ перестаёт действовать.

6. Действия при инциденте

При установлении факта неправомерной или случайной передачи персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ). Параллельно принимаются меры по прекращению утечки и минимизации вреда: отзыв и перевыпуск скомпрометированных ключей и сессий, восстановление данных из резервной копии, устранение причины.

7. Чего Оператор не делает

• не обрабатывает специальные категории персональных данных и биометрию;
• не получает, не хранит и не видит реквизиты банковских карт;
• не продаёт персональные данные и не передаёт их в рекламные сети;
• не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки;
• не направляет рекламные рассылки без отдельного явно выраженного согласия;
• не собирает данные несовершеннолетних целенаправленно: сервис предназначен для организаций и разработчиков.

8. Актуализация документа

Положение пересматривается при изменении процедур обработки, состава привлечённых лиц или требований законодательства. Действующая редакция с датой публикуется на этой странице и применяется с момента размещения.

9. Реквизиты

Смежные документы: Политика в отношении обработки персональных данных · Согласие на обработку персональных данных · Условия использования · Публичная оферта.