Редакция 1.1 от 23 августа 2026 г.
1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором.
1.2. Оператор персональных данных (далее — «Оператор»):
1.2.1. Обязанность назначить лицо, ответственное за организацию обработки персональных данных, установлена ч. 1 ст. 22.1 и п. 1 ч. 1 ст. 18.1 152-ФЗ для операторов, являющихся юридическими лицами. Оператор юридическим лицом не является и работников не имеет: функции по организации обработки персональных данных и по обеспечению их безопасности он исполняет лично.
1.3. Оператор ставит своей важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.4. Настоящая Политика применяется к обработке персональных данных пользователей программной платформы для проведения хакатонов, олимпиад и иных соревновательных мероприятий «Кузница» (далее — «Платформа»), размещённой Оператором на инстансах, находящихся под его управлением. Настоящая Политика публикуется по адресу https://legal.davg-team.ru/kuznitsa/privacy-policy; ссылка на неё доступна на каждом таком инстансе.
1.5. Разграничение ролей. Платформа поставляется в двух моделях:
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
2.2. Инстанс — отдельное развёртывание Платформы. Один инстанс может обслуживать несколько мероприятий.
2.3. Мероприятие — хакатон, олимпиада, конкурс или иное соревнование, проводимое на Платформе; является единицей изоляции данных.
2.4. Организатор — пользователь, наделённый правами по созданию и проведению мероприятия.
2.5. Пользователь — любое лицо, использующее Платформу: участник мероприятия, эксперт, организатор, администратор инстанса.
2.6. Оператор, субъект персональных данных, обработка, автоматизированная обработка, распространение, предоставление, блокирование, уничтожение, обезличивание персональных данных — используются в значениях, установленных ст. 3 152-ФЗ.
Платформа не запрашивает у Пользователей паспортные данные, номер телефона, дату рождения, сведения о месте работы или учёбы, платёжные реквизиты. Обрабатываются следующие категории данных.
3.1. Данные учётной записи. Адрес электронной почты — основной идентификатор учётной записи; фамилия, имя, отчество либо отображаемое имя; роль в инстансе и в каждом мероприятии; дата создания учётной записи. Пароли Оператором не устанавливаются и не хранятся: вход выполняется по одноразовому коду, направляемому на адрес электронной почты, либо по коду (ссылке) быстрого входа, выдаваемому организатором на очном мероприятии.
3.1.1. Для гостевых учётных записей, создаваемых организатором для участника или эксперта, не проходящего обычную регистрацию, адрес электронной почты может отсутствовать и заменяться техническим идентификатором. Такая учётная запись всё равно содержит персональные данные (отображаемое имя, сведения об участии) и защищается наравне с остальными.
3.2. Изображение профиля. Загружается Пользователем добровольно (форматы PNG, JPEG, WEBP, до 2 МБ), хранится в объектном хранилище на территории Российской Федерации. Изображение не используется Оператором для установления личности и в силу этого не относится к биометрическим персональным данным (ст. 11 152-ФЗ).
3.3. Имя учётной записи в сервисе GitHub. Указывается Пользователем добровольно и только при необходимости получить доступ к репозиторию команды. Порядок его передачи — п. 5.5 настоящей Политики.
3.4. Данные об участии в мероприятии. Наименование команды, состав команды, роль в команде, дата присоединения; сведения, самостоятельно размещённые Пользователем при представлении работы: описания, ссылки, сопроводительные материалы.
3.4.1. Размещаемые Пользователем материалы могут содержать персональные данные третьих лиц. Оператор такие данные целенаправленно не собирает; Пользователь самостоятельно отвечает за правомерность их размещения.
3.5. Данные об оценивании. Сведения о назначении эксперта, выставленные баллы, комментарии экспертов, вердикты, заметки экспертов о команде, итоговый результат.
3.5.1. Комментарии, вердикты и заметки экспертов представляют собой оценочные суждения о работе. В обычном режиме они доступны эксперту-автору и организатору мероприятия. Субъект персональных данных вправе получить относящиеся к нему сведения по письменному запросу — порядок в п. 6.5.
3.6. Данные о делегированном доступе. Сведения о лице, которому администратор инстанса выдал временный доступ технической поддержке, о сроке и объёме прав, о совершённых под таким доступом действиях и о фактах уничтожения данных. Записи журнала действий сохраняются после уничтожения описываемых ими данных: они подтверждают исполнение Оператором требований 152-ФЗ и уничтоженных сведений не содержат.
3.7. Данные представителей клиентов облачной модели. Наименование организации и рабочий адрес электронной почты, указанные при регистрации пробного доступа; при оформлении оплаты — сведения, необходимые для учёта.
3.8. Технические данные. IP-адрес, дата и время обращения, сведения о браузере и операционной системе, запрошенные ресурсы. Приложением Платформы такие данные не записываются; они фиксируются в технических журналах инфраструктуры поставщика облачных услуг для обеспечения работоспособности и безопасности и хранятся там в течение срока хранения журналов.
3.9. Файлы cookie. Платформа использует единственный технический файл cookie — маркер сессии Пользователя, устанавливаемый после успешного входа с атрибутами httpOnly, SameSite, Secure и ограниченным сроком действия. Средства веб-аналитики, рекламные и отслеживающие технологии на Платформе не применяются, иные файлы cookie не устанавливаются.
3.10. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, судимости) и биометрические персональные данные.
3.11. Оператор не осуществляет целенаправленную обработку персональных данных несовершеннолетних; возраст Пользователя Оператору неизвестен. Мероприятия с участием лиц, не достигших 18 лет, проводятся организатором, который обеспечивает получение согласия законных представителей до внесения данных в Платформу.
4.1. Оператор обрабатывает персональные данные на следующих правовых основаниях:
4.2. Цели обработки:
4.3. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора, а также объединение баз данных, обработка персональных данных в которых осуществляется в целях, несовместимых между собой. Данные разных мероприятий изолированы; база данных внутреннего реестра инстансов с базами данных инстансов не объединяется.
4.4. Оператор не осуществляет обработку персональных данных в целях продвижения товаров, работ и услуг на рынке путём осуществления прямых контактов с субъектом (ч. 1 ст. 15 152-ФЗ).
4.5. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных (ст. 16 152-ФЗ). Итоговый балл рассчитывается автоматически, однако основывается на оценках, выставленных экспертами — физическими лицами.
4.6. Оператор не осуществляет распространение персональных данных. Платформа не публикует сведения о Пользователях в открытом доступе и не предоставляет к ним доступ неограниченному кругу лиц: все страницы и программные интерфейсы Платформы, содержащие персональные данные, доступны только после входа в учётную запись, а итоги мероприятия Пользователь видит исключительно в отношении собственной команды. Обработка персональных данных, разрешённых субъектом для распространения (ст. 10.1 152-ФЗ), Оператором не осуществляется, и соответствующее согласие Оператором не запрашивается.
4.6.1. Публикация итогов мероприятия в открытом доступе — на сайте, в средствах массовой информации, в социальных сетях — осуществляется организатором мероприятия самостоятельно, на собственных информационных ресурсах и на основании согласия на распространение, которое организатор получает от субъекта сам. Оператор стороной таких отношений не является (п. 7.2 настоящей Политики).
5.1. Обработка осуществляется с использованием средств автоматизации; без использования средств автоматизации обрабатываются только обращения субъектов, поступившие почтовым отправлением. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения — в том числе: подтверждение владения адресом электронной почты одноразовым кодом с ограниченным сроком действия и ограниченным числом попыток ввода; хранение одноразовых кодов и маркеров доступа исключительно в виде необратимых хеш-значений; разграничение прав доступа по ролям на уровне инстанса и на уровне каждого мероприятия; передача данных по защищённому каналу (HTTPS); cookie с атрибутами httpOnly, SameSite, Secure; ведение журнала событий; резервное копирование.
5.2. Использование сторонних сервисов и передача данных обработчикам. Для работы Платформы Оператор привлекает следующие организации:
| Сервис | Организация | Назначение | Данные |
|---|---|---|---|
| Yandex Cloud (вычисления, база данных, объектное хранилище, шлюз) | ООО «Яндекс.Облако» | Размещение Платформы и файлов | Все данные инстанса, технические журналы |
| Yandex Postbox | ООО «Яндекс» | Доставка служебных сообщений | Адрес электронной почты получателя, содержание сообщения |
| GitHub | GitHub, Inc. (США) | Проверка имени учётной записи, создание репозитория команды и выдача доступа к нему | Имя учётной записи участника в сервисе GitHub. Является самостоятельным оператором, а не лицом, действующим по поручению. См. п. 5.5 |
Кроме того, к обработке персональных данных по поручению Оператора (ч. 3 ст. 6 152-ФЗ) привлечён Колядин Дмитрий Павлович (самозанятый, ИНН 560912862203) — в целях разработки, сопровождения информационных систем и устранения инцидентов, в объёме, необходимом для выполнения работ. Указанное лицо обязано соблюдать конфиденциальность и требования к защите персональных данных; ответственность перед субъектом персональных данных за его действия несёт Оператор.
5.3. Персональные данные Пользователя становятся доступны организатору мероприятия, в котором Пользователь участвует, и назначенным организатором экспертам — в объёме, необходимом для проведения мероприятия и оценивания. Дальнейшее использование этих сведений организатором, включая публикацию итогов за пределами Платформы, осуществляется им самостоятельно и под его ответственность (раздел 7).
5.4. Место нахождения базы данных. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ): инфраструктура Платформы размещена в центрах обработки данных ООО «Яндекс.Облако», регион ru-central1, Российская Федерация. Резервные копии размещаются на территории Российской Федерации.
5.5. Трансграничная передача. При использовании функции автоматического создания репозиториев команд Оператор передаёт в GitHub, Inc. (Соединённые Штаты Америки) имя учётной записи Пользователя в сервисе GitHub и сведения о включении этой учётной записи в число участников репозитория команды. Соединённые Штаты Америки не включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждаемый уполномоченным органом.
5.5.1. Моменты передачи. Передача происходит в трёх случаях:
| Что происходит | Что передаётся |
|---|---|
| Пользователь указывает имя своей учётной записи GitHub в профиле, и Платформа проверяет, что такая учётная запись существует | имя учётной записи |
| Для команды Пользователя создаётся репозиторий | техническое наименование репозитория |
| Пользователь добавляется в число участников репозитория команды | имя учётной записи и сведения о включении в репозиторий |
Проверка имени учётной записи выполняется только после предоставления Пользователем согласия на трансграничную передачу. До предоставления такого согласия Платформа к сервису GitHub не обращается.
5.5.2. Наименование репозитория. Вместе с указанными сведениями передаётся техническое наименование создаваемого репозитория. Оно формируется автоматически по правилу <слаг мероприятия>-<слаг названия команды>: каждая из двух частей транслитерируется в латиницу, приводится к нижнему регистру, все неалфавитно-цифровые символы заменяются дефисами; слаг мероприятия усекается до 40 символов, слаг названия команды — до 55. Например, команда «Байт-Хирурги» в мероприятии «CodeCamp 2026» получает репозиторий codecamp-2026-bayt-khirurgi. Ни наименование мероприятия, ни название команды персональными данными не являются: первое относится к мероприятию, второе — к группе лиц и выбирается участниками произвольно.
5.5.3. Условия передачи. Трансграничная передача осуществляется при одновременном соблюдении условий:
5.5.4. Добровольность. Указание имени учётной записи в сервисе GitHub является добровольным. Пользователь, не указавший его в своём профиле, под трансграничную передачу не подпадает; отказ от такого согласия не влияет на возможность участия в мероприятии и на оценивание работы. Иные персональные данные — адрес электронной почты, фамилия, имя, отчество, изображение профиля, оценки и результаты — за пределы Российской Федерации не передаются.
5.5.5. Отключение функции. На инстансе, где функция автоматического создания репозиториев не подключена, трансграничная передача не осуществляется вовсе: интеграция включается заданием отдельного параметра конфигурации, при его отсутствии Платформа к сервису GitHub не обращается.
5.5.6. Обращение браузера Пользователя к GitHub. При проверке указанного Пользователем имени учётной записи Платформа показывает ему изображение профиля этой учётной записи. Изображение загружается браузером Пользователя напрямую с серверов GitHub, Inc., минуя сервер Оператора; при таком обращении IP-адрес Пользователя становится известен GitHub, Inc. Оператор при этом никаких персональных данных не передаёт и никаких данных о Пользователе от GitHub, Inc. не получает.
5.5.7. Шрифты. Используемый Платформой шрифт загружается на этапе сборки приложения и раздаётся с собственных ресурсов Оператора. Браузер Пользователя к сторонним сервисам шрифтов, в том числе к сервисам Google, не обращается.
5.6. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных настоящей Политикой и законодательством Российской Федерации, не осуществляет их продажу и не предоставляет доступ к ним в рекламных целях. Обработка данных сторонними сервисами регулируется их собственными политиками конфиденциальности.
5.7. Телеметрия. Инстансы Платформы направляют Оператору технические сведения о работе: обезличенный идентификатор установки, версию, тип поставки, количество мероприятий и признаки подключения модулей. Персональные данные в составе телеметрии не передаются; их состав ограничен закрытым перечнем, закреплённым в исходном коде, и предъявляется заказчику по запросу. Направление телеметрии отключается администратором инстанса самостоятельно, без обращения к Оператору и без потери функциональности.
5.8. Сроки хранения. Персональные данные хранятся не дольше, чем этого требуют цели обработки:
| Данные | Срок |
|---|---|
| Учётная запись и профиль | до отзыва согласия либо до удаления учётной записи по требованию Пользователя, но не более 1 (одного) года с даты последнего входа |
| Данные об участии: команда, работы, оценки, результаты | 3 (три) года с даты завершения мероприятия |
| Одноразовые коды подтверждения входа | не более 24 (двадцати четырёх) часов |
| Журнал действий (аудит) | 3 (три) года |
| Сведения о выданных доступах технической поддержке | 3 (три) года с даты истечения срока действия доступа |
| Согласия субъектов и сведения об их отзыве | 3 (три) года с даты отзыва согласия |
| Данные пробного использования облачной модели без последующей оплаты | 14 (четырнадцать) дней после окончания пробного периода, после чего удаляются безвозвратно с предварительным предупреждением |
| Технические журналы инфраструктуры | срок, установленный настройками сервисов Yandex Cloud (по умолчанию не более 30 дней) |
По достижении целей обработки либо в случае утраты необходимости в их достижении персональные данные подлежат уничтожению или обезличиванию в сроки, установленные ст. 21 152-ФЗ.
6.1. Пользователь вправе:
6.2. Для реализации своих прав Пользователь направляет Оператору запрос по адресу электронной почты privacy@davg-team.ru либо почтовым отправлением по адресу, указанному в п. 1.2. Запрос должен содержать: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (адрес электронной почты учётной записи), либо иные сведения, подтверждающие факт обработки; подпись субъекта или его представителя. Запрос может быть направлен в форме электронного документа, подписанного электронной подписью.
6.2.1. Запрос, поступивший с адреса электронной почты, совпадающего с адресом учётной записи Пользователя на Платформе, считается подтверждённым в части принадлежности этой учётной записи. В таком случае для получения сведений, относящихся к данной учётной записи, представление сведений о документе, удостоверяющем личность, не требуется.
6.3. Оператор даёт ответ в течение 10 (десяти) рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя о причинах продления (ч. 2 ст. 20 152-ФЗ).
6.4. Отзыв согласия. Пользователь может в любой момент отозвать согласие, направив уведомление на адрес электронной почты Оператора. Отзыв согласия влечёт прекращение обработки и уничтожение персональных данных в срок, не превышающий 30 дней, за исключением сведений, хранение которых необходимо в силу закона, и записей журнала действий, подтверждающих исполнение Оператором требований законодательства. Отзыв согласия делает невозможным дальнейшее использование Платформы и участие в мероприятиях и может повлечь исключение работы из оценивания, если отзыв произведён до завершения мероприятия.
Согласие на трансграничную передачу отзывается направлением обращения на адрес электронной почты Оператора либо удалением имени учётной записи GitHub из профиля на Платформе.
6.5. Сведения об оценивании. По запросу Пользователя Оператор предоставляет ему сведения о выставленных в отношении его работы оценках и о содержании комментариев и заметок экспертов, за исключением сведений, предоставление которых нарушает права и законные интересы третьих лиц. Данные, позволяющие соотнести конкретную оценку с конкретным экспертом, до момента публикации итогов мероприятия не раскрываются.
6.6. Пользователь вправе направить Оператору требование об уточнении, блокировании или уничтожении персональных данных; при подтверждении факта неточности данные уточняются в течение 7 рабочих дней, при подтверждении факта неправомерной обработки — обработка прекращается в срок, не превышающий 3 рабочих дней (ст. 21 152-ФЗ).
7.1. Значительная часть персональных данных попадает в Платформу не от самого субъекта, а от организатора мероприятия: при загрузке списка приглашённых, добавлении участников и экспертов, создании гостевых учётных записей.
7.2. Организатор обязан: получить согласия субъектов до внесения их данных в Платформу; обеспечить получение согласия законных представителей при участии лиц, не достигших 18 лет; уведомить субъектов, чьи данные получены не от них самих, в объёме, установленном ч. 3 ст. 18 152-ФЗ; получить согласие на обработку персональных данных, разрешённых субъектом для распространения (ст. 10.1 152-ФЗ), если организатор публикует итоги мероприятия в открытом доступе с указанием сведений о лицах — такое согласие оформляется на самого организатора и на его информационные ресурсы, поскольку распространение осуществляет он, а не Оператор.
7.3. Обязанность, установленная п. 7.2, лежит на организаторе как на лице, получившем эти сведения. Оператор самостоятельного уведомления таких лиц не осуществляет, поскольку не располагает сведениями об источнике и обстоятельствах получения данных организатором.
7.4. Оператор вправе приостановить проведение мероприятия при поступлении обоснованной жалобы субъекта персональных данных на действия организатора.
8.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается по адресу https://legal.davg-team.ru/kuznitsa/privacy-policy; ранее действовавшие редакции остаются доступны по постоянным адресам вида https://legal.davg-team.ru/kuznitsa/privacy-policy/<номер редакции> и вступает в силу с момента её размещения, если иное не предусмотрено новой редакцией. Продолжение использования Платформы после размещения новой редакции означает согласие с ней; при несогласии Пользователь вправе отозвать согласие и потребовать удаления учётной записи.
8.1.1. Настоящий пункт не распространяется на согласия, предоставляемые Пользователем: выпуск новой редакции согласия на обработку персональных данных или согласия на трансграничную передачу требует получения согласия заново. Ранее выданное согласие продолжает действовать в той редакции, в которой оно было дано; редакция, дата и адрес принятого документа фиксируются Оператором.
8.2. По всем вопросам, связанным с обработкой персональных данных, Пользователь может обратиться к Оператору по адресу электронной почты privacy@davg-team.ru.