Политика конфиденциальности
и обработки персональных данных

1.1 Настоящая Политика обработки персональных данных (далее — Политика) составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором.

1.2 Оператор ставит своей важнейшей целью и условием осуществления деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3 Настоящая Политика применяется ко всей информации, которую Оператор и его уполномоченные обработчики могут получить о посетителях веб-ресурсов экосистемы RURECORD, включая все поддомены, мобильные приложения, API и интегрированные сервисы.

1.4 Действие Политики распространяется на отношения, возникшие до её публикации, в части, не ухудшающей положение субъектов персональных данных.

В настоящей Политике используются следующие понятия, определённые Стандартом 001 и Федеральным законом № 152-ФЗ:

• Оператор RURECORD (Национальный исследовательский институт достижений человека), самостоятельно или совместно с другими лицами организующий обработку персональных данных.
• Пользователь любой посетитель ресурсов экосистемы RURECORD.
• Заявитель лицо, подавшее заявку на регистрацию достижения.
• Рекордсмен (Субъект достижения) физическое лицо, группа лиц или организация, чьё достижение зарегистрировано в Регистре. Заявитель и Рекордсмен могут не совпадать.
• Digital Record Passport (DRP) уникальный цифровой документ зарегистрированного достижения, формируемый согласно Стандарту 005.
• Регистр Национальный реестр достижений RURECORD (Стандарт 010).
• Пантеон зал славы выдающихся рекордсменов RURECORD.
• Blockchain Records Global (BRG) международная система регистрации достижений, интегрированная с RURECORD.
• Персональные данные (ПДн) любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
• Биометрические ПДн сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (фото- и видеоизображения лица).
• Обработка ПДн любое действие (операция) или совокупность действий с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Автоматизированная обработка обработка ПДн с помощью средств вычислительной техники.
• Распространение ПДн действия, направленные на раскрытие ПДн неопределённому кругу лиц, в том числе публикация в открытых реестрах.
• Трансграничная передача передача ПДн на территорию иностранного государства.

• получать от субъекта ПДн достоверные информацию и документы, содержащие ПДн;
• в случае отзыва согласия продолжить обработку ПДн при наличии оснований, указанных в ФЗ-152;
• самостоятельно определять состав и перечень мер защиты ПДн, необходимых для выполнения обязанностей по закону;
• привлекать к обработке ПДн уполномоченных обработчиков на основании договоров, соответствующих требованиям ст. 6 ФЗ-152;
• публиковать сведения о зарегистрированных достижениях в объёме, предусмотренном согласованием с субъектом ПДн.

• предоставлять субъекту ПДн по его просьбе информацию об обработке его ПДн;
• организовывать обработку ПДн в порядке, установленном действующим законодательством РФ;
• отвечать на обращения субъектов ПДн и их представителей в срок, не превышающий 30 календарных дней;
• сообщать в Роскомнадзор по запросу необходимую информацию в течение 10 дней;
• публиковать настоящую Политику и обеспечивать неограниченный доступ к ней;
• принимать правовые, организационные и технические меры защиты ПДн;
• прекращать обработку и уничтожать ПДн в случаях, предусмотренных законом;
• уведомлять субъекта ПДн о факте нарушения безопасности его данных в течение 24 часов с момента обнаружения;
• исполнять иные обязанности, предусмотренные ФЗ-152 и принятыми в его развитие актами.

• получать информацию об обработке его ПДн в объёме, предусмотренном ФЗ-152;
• требовать уточнения, блокирования или уничтожения ПДн в случае их неполноты, устаревания, неточности или незаконного получения;
• отзывать согласие на обработку ПДн, за исключением случаев, предусмотренных п. 2-11 ч. 1 ст. 6 ФЗ-152;
• обжаловать действия Оператора в Роскомнадзор или в суд;
• требовать уведомления третьих лиц, которым были переданы ПДн, об их уточнении, блокировании или уничтожении;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда;
• осуществлять иные права, предусмотренные законодательством РФ.

• предоставлять Оператору достоверные данные о себе;
• сообщать Оператору об уточнении (обновлении, изменении) своих ПДн;
• получать согласие третьих лиц при предоставлении их ПДн Оператору.

4.3. Лица, передавшие Оператору недостоверные сведения о себе либо сведения о другом субъекте ПДн без его согласия, несут ответственность в соответствии с законодательством Российской Федерации.

Обработка ПДн в экосистеме RURECORD основывается на следующих принципах:

• законность и справедливость;
• ограничение конкретными, заранее определёнными целями;
• несовместимость баз данных с различными целями обработки;
• соответствие содержания и объёма заявленным целям (неизбыточность);
• точность, достаточность и актуальность;
• хранение не дольше, чем требуют цели обработки (если иное не установлено законом);
• конфиденциальность и безопасность.

Оператор обрабатывает ПДн следующих категорий субъектов:

• посетителей ресурсов экосистемы (без регистрации);
• зарегистрированных Пользователей (заявителей);
• Рекордсменов (субъектов достижений);
• представителей Рекордсменов (законных представителей, агентов);
• контрагентов и партнёров Оператора.

Обработка ПДн осуществляется в следующих целях:

• регистрация достижений и формирование DRP;
• идентификация Пользователя, Рекордсмена, Заявителя;
• проведение экспертизы и верификации достижений;
• публикация сведений в Регистре и Пантеоне RURECORD;
• направление уведомлений, связанных с услугами Оператора;
• обеспечение работы сервисов и информационной безопасности;
• аналитика и улучшение качества сервисов (на обезличенной основе);
• исполнение требований законодательства РФ;
• передача данных в систему BRG для международного признания;
• связь с Пользователем, включая ответы на обращения;
• продвижение услуг Оператора (только с согласия субъекта).

Обработка ПДн осуществляется на следующих правовых основаниях:

• согласие субъекта ПДн (ст. 6 ч. 1 п. 1 ФЗ-152);
• исполнение договора, стороной которого является субъект ПДн (ст. 6 ч. 1 п. 5 ФЗ-152);
• исполнение обязанностей, предусмотренных законодательством РФ (ст. 6 ч. 1 п. 2 ФЗ-152);
• осуществление прав и законных интересов Оператора (ст. 6 ч. 1 п. 7 ФЗ-152);
• публикация общедоступных ПДн (ст. 8 ФЗ-152);
• согласие на распространение ПДн (ст. 10.1 ФЗ-152);
• письменное согласие на обработку биометрических ПДн (ст. 11 ч. 1 ФЗ-152);
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• часть четвёртая Гражданского кодекса РФ (в части объектов интеллектуальной собственности);
• Стандарты RURECORD 001–004.

Публикация сведений о достижении в открытом Регистре и Пантеоне RURECORD предполагает раскрытие ПДн неопределённому кругу лиц. Для такой обработки Оператор получает отдельное согласие на распространение ПДн в порядке, предусмотренном статьёй 10.1 ФЗ-152.

Согласие на распространение ПДн:

• оформляется отдельно от общего согласия на обработку;
• содержит перечень ПДн, разрешённых к распространению;
• может содержать условия и запреты на обработку (ст. 10.1 ч. 5 ФЗ-152);
• может быть отозвано в любой момент;
• не распространяется на обработку в государственных, общественных и иных публичных интересах.

Фото- и видеоизображения лица Рекордсмена, используемые для идентификации и формирования DRP, относятся к биометрическим ПДн в смысле статьи 11 ФЗ-152.

Обработка биометрических ПДн осуществляется:

• только при наличии письменного согласия субъекта ПДн (ст. 11 ч. 1 ФЗ-152);
• исключительно в целях регистрации, верификации и публикации достижения;
• с обеспечением повышенного уровня защиты;
• с правом субъекта на отзыв согласия.

11.1 Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение ПДн.

11.2 Обработка ПДн осуществляется как с использованием средств автоматизации, так и без таковых.

11.3 ПДн хранятся на серверах, расположенных на территории Российской Федерации (требование ст. 18 ч. 5 ФЗ-152 о локализации).

11.4 Пользователь может в любой момент актуализировать свои ПДн, направив уведомление на dpo@rurecord.ru с пометкой «Актуализация персональных данных».

11.5 Оператор обеспечивает конфиденциальность ПДн. Сотрудники и обработчики, получившие доступ к ПДн, обязаны не раскрывать их третьим лицам без согласия субъекта, если иное не предусмотрено федеральным законом.

В соответствии со Стандартами RURECORD 004, 005 и 010, каждая запись о достижении сопровождается:

• формированием Digital Record Passport (DRP) — официального цифрового документа;
• криптографической фиксацией хэш-сумм материалов в распределённом реестре;
• долговременным архивным хранением с резервным копированием.

Субъект ПДн, предоставляя материалы достижения для регистрации, осознаёт и прямо соглашается с этой технической особенностью блокчейн-инфраструктуры.

Регистрация достижения в международной системе Blockchain Records Global (BRG) предполагает передачу ПДн Рекордсмена на территорию иностранного государства.

Трансграничная передача осуществляется:

• только при наличии отдельного явно выраженного согласия субъекта ПДн;
• после уведомления Роскомнадзора в порядке ст. 12 ФЗ-152;
• только в страны, обеспечивающие адекватную защиту ПДн, либо при наличии гарантий принимающей стороны;
• в объёме, минимально необходимом для целей международной регистрации.

Отзыв согласия на трансграничную передачу не влечёт удаления уже опубликованных в BRG записей, если это технически невозможно в публичной распределённой инфраструктуре. Оператор прекращает дальнейшую передачу и уведомляет операторов BRG о требовании субъекта ПДн.

ПДн не передаются третьим лицам, за исключением случаев:

• наличия согласия субъекта ПДн;
• требований законодательства РФ (запросы правоохранительных органов, судов);
• необходимости исполнения договора с участием субъекта ПДн;
• передачи уполномоченным обработчикам на основании договоров, соответствующих ст. 6 ч. 3 ФЗ-152;
• для защиты прав и законных интересов Оператора или третьих лиц в случаях, предусмотренных законом.

Оператор вправе привлекать следующих обработчиков:

• хостинг-провайдеров (резидентные серверы в РФ);
• платёжные системы и банки;
• сервисы электронной почты и рассылок;
• провайдеров блокчейн-инфраструктуры;
• сервисы облачного хранения материалов;
• экспертные организации в рамках верификации достижений.

Все обработчики обязаны соблюдать конфиденциальность ПДн и обеспечивать их безопасность в соответствии с условиями договоров.

Ресурсы экосистемы RURECORD используют файлы cookie и аналогичные технологии для:

• обеспечения функционирования сервисов (технические cookie);
• сохранения настроек и предпочтений Пользователя;
• аналитики посещаемости (обезличенные данные);
• сохранения согласия на обработку ПДн.

Пользователь может:

• принять или отклонить необязательные cookie через интерфейс cookie-баннера;
• в любой момент изменить настройки cookie в своём браузере;
• удалить ранее сохранённые cookie через функции браузера.

Отключение технических cookie может привести к неработоспособности отдельных функций сервисов.

Оператор применяет следующие правовые, организационные и технические меры защиты ПДн:

• назначение ответственного за организацию обработки ПДн (DPO);
• издание внутренних актов по вопросам обработки ПДн;
• применение сертифицированных средств криптографической защиты;
• использование хэш-функций и электронных подписей для контроля целостности;
• ограничение доступа к ПДн на основе ролевой модели;
• регистрация и учёт всех действий с ПДн в журналах аудита;
• обнаружение фактов несанкционированного доступа и предотвращение инцидентов;
• восстановление ПДн из резервных копий;
• установление правил доступа и разграничение полномочий;
• контроль за принимаемыми мерами через внутренний аудит;
• оценка вреда, который может быть причинён субъектам ПДн.

Субъект ПДн может реализовать свои права, направив Оператору запрос:

• по электронной почте: dpo@rurecord.ru;
• через форму обратной связи на сайте;
• почтовым отправлением по юридическому адресу Оператора.

Запрос должен содержать:

• номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
• сведения, подтверждающие участие субъекта в отношениях с Оператором;
• подпись (для электронного запроса — усиленная квалифицированная электронная подпись или подтверждение через верифицированный электронный адрес).

Ответ предоставляется в срок, не превышающий 30 календарных дней с момента получения запроса. При наличии уважительных причин срок может быть продлён, но не более чем на 15 дней, с уведомлением субъекта ПДн.

Обработка ПДн лиц, не достигших 18 лет, осуществляется только при наличии письменного согласия законного представителя (родителя, усыновителя, опекуна), за исключением случаев, предусмотренных законодательством РФ (в частности, эмансипация, вступление в брак).

При регистрации достижения несовершеннолетнего Рекордсмена:

• заявку подаёт законный представитель;
• законный представитель даёт согласие на обработку ПДн несовершеннолетнего;
• законный представитель осуществляет все права субъекта ПДн до достижения несовершеннолетним 18 лет;
• публикация данных несовершеннолетнего в открытых реестрах осуществляется с учётом требований к защите детства.

Материалы достижения (фото-, видео-, аудиозаписи, текстовые описания) могут являться объектами авторского права и смежных прав.

Предоставляя такие материалы Оператору, субъект ПДн:

• гарантирует наличие у него необходимых прав на использование и передачу материалов;
• предоставляет Оператору неисключительную лицензию на использование материалов в целях регистрации, верификации, публикации и архивирования достижения;
• соглашается с тем, что отзыв согласия на обработку ПДн не прекращает действие уже выданной лицензии в отношении опубликованных материалов, за исключением случаев, когда удаление материала технически возможно и не противоречит принципам Стандарта 010.

Рекордсмен сохраняет за собой авторские и иные исключительные права на принадлежащие ему объекты интеллектуальной собственности, если иное не предусмотрено отдельным соглашением.

Субъект ПДн вправе в любой момент отозвать согласие на обработку ПДн, направив Оператору уведомление:

• по электронной почте: dpo@rurecord.ru с пометкой «Отзыв согласия на обработку персональных данных»;
• почтовым отправлением по юридическому адресу Оператора.

Последствия отзыва согласия:

• Оператор прекращает обработку ПДн в течение 30 дней с момента получения уведомления;
• ПДн уничтожаются, если сохранение не требуется в силу закона или договора;
• обработка продолжается в случаях, предусмотренных п. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 ФЗ-152 (в том числе — в публичных интересах, для исполнения судебных актов, в архивных, научных, статистических целях);
• для зарегистрированных достижений запись переводится в архивный статус с ограничением публичного доступа к персональным данным;
• криптографические хэш-суммы в блокчейне не удаляются в силу технической природы распределённых реестров.

Любой субъект ПДн вправе:

• обратиться к Оператору с запросом, жалобой или требованием по вопросам обработки ПДн;
• подать жалобу в Роскомнадзор — уполномоченный орган по защите прав субъектов ПДн;
• обратиться в суд с иском о защите нарушенных прав.

Оператор обязуется рассматривать все обращения добросовестно и в разумные сроки, не допуская необоснованных отказов и затягивания.

Отношения, связанные с обработкой ПДн, регулируются законодательством Российской Федерации.

Все споры, возникающие из настоящей Политики или в связи с ней, подлежат разрешению путём переговоров. При недостижении согласия — в суде по месту нахождения Оператора, если иное не предусмотрено императивными нормами законодательства РФ.

Для субъектов ПДн — граждан Европейского Союза дополнительно применяются гарантии, предусмотренные Регламентом ЕС 2016/679 (GDPR), в части, не противоречащей императивным нормам российского права.

24.1. Настоящая Политика действует бессрочно до замены её новой версией.

24.2. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её публикации на настоящем ресурсе, если иное не предусмотрено новой редакцией.

24.3. О существенных изменениях (расширение перечня обрабатываемых ПДн, новые цели обработки, новые трансграничные направления) Пользователи уведомляются посредством уведомления на сайте и/или по электронной почте.

24.4. Актуальная версия Политики в свободном доступе расположена по адресу: https://rurecord.ru/privacy.php.

24.5. Предыдущие редакции Политики хранятся в архиве и предоставляются по запросу субъекта ПДн.

По всем вопросам, связанным с обработкой персональных данных, включая запросы на реализацию прав, отзыв согласий, актуализацию данных и разъяснения настоящей Политики, следует обращаться: