Поручение на обработку персональных данных

Приложение к договору аренды магазина. Редакция 1.4 от 22 августа 2026 г..

1. Стороны и их роли

Платформа (CWR Hub) — оператор персональных данных игроков. Она определяет цели обработки, состав обрабатываемых данных, сроки хранения, меры защиты и порядок удаления, и она же состоит на учёте в реестре операторов.

Арендатор — владелец магазина — является лицом, осуществляющим обработку персональных данных по поручению оператора в пределах и для целей, перечисленных ниже.

Почему роли распределены именно так

Закон называет оператором того, кто организует обработку и определяет её цели, состав данных и действия с ними. В архитектуре платформы всё перечисленное определяет платформа: состав данных зашит в продукт и арендатор не может ни добавить поле, ни собрать иные сведения; цель — ведение учётной записи игрока ради выдачи приобретённого на игровой сервер — задана продуктом; действия выполняет код платформы; сроки хранения, меры защиты и порядок удаления установлены платформой; игрок входит через её интеграцию, на её домене, принимая её политику.

Арендатор решает, чем торговать и на каких условиях, — но это коммерческие решения, а не решения об обработке данных.

2. Цели порученной обработки

Арендатор обрабатывает данные исключительно для:

ведения своего магазина: выдачи приобретённого, учёта заказов и инвентаря;
рассмотрения обращений игроков своего магазина в поддержку;
предотвращения злоупотреблений в своём магазине;
ведения боевого пропуска, заданий и реферальной программы своего магазина.

Обработка для любых иных целей запрещена. В частности запрещены рассылки вне интерфейса платформы, передача данных третьим лицам, выгрузка и хранение данных за пределами платформы, использование данных в других проектах.

3. Данные, доступные арендатору

Субъекты: игроки, вошедшие в магазин арендатора через Steam. Перечень закрытый и соответствует тому, что показывает админка магазина:

SteamID64, публичный никнейм и адрес изображения профиля из Steam;
дата создания учётной записи в магазине и дата последнего входа;
признак блокировки и её причина;
покупки, инвентарь, баланс внутриигровой валюты;
прогресс боевого пропуска и заданий;
реферальные связи между игроками;
обращения в поддержку и переписка по ним.

Платёжные реквизиты платформой не собираются. IP-адреса и время обращений в журналах безопасности арендатору не предоставляются: они обрабатываются платформой для защиты от злоупотреблений и в поручение не входят.

4. Действия, разрешённые арендатору

Просмотр, уточнение (изменение статуса заказа, блокировки), извлечение в пределах интерфейса платформы, использование для целей раздела 2. Хранение, резервирование, обезличивание и удаление осуществляет платформа; арендатор не создаёт собственных копий данных.

5. Обязанности арендатора

обрабатывать данные только по настоящему поручению и в пределах разделов 2–4;
соблюдать конфиденциальность: не раскрывать и не передавать данные третьим лицам;
не выносить данные за пределы платформы: не выгружать, не копировать в сторонние системы, не публиковать;
обеспечивать сохранность доступа: не передавать учётную запись администратора другим лицам, использовать отдельный пароль, немедленно сообщать о её компрометации;
отвечать за действия лиц, которым предоставлен доступ к админке магазина;
немедленно сообщать платформе о ставшем известном неправомерном доступе к данным игроков: платформа обязана уведомить Роскомнадзор в течение 24 часов, и срок начинает течь с момента обнаружения;
передавать платформе поступившие запросы игроков не позднее одного рабочего дня и не отвечать на них самостоятельно;
по прекращении договора прекратить обработку; отдельного удаления не требуется — данные хранятся у платформы.

6. Обязанности платформы

быть оператором: обеспечивать наличие основания, информировать субъектов, вести и публиковать политику обработки, состоять на учёте в реестре операторов;
рассматривать запросы субъектов и уведомлять Роскомнадзор об инцидентах;
обеспечивать безопасность обработки: разграничение доступа между магазинами, доступ администраторов по закрытому списку адресов, шифрование канала, журналирование действий в админке, резервное копирование;
предоставлять арендатору доступ только к данным его магазина;
обрабатывать данные на территории Российской Федерации, трансграничную передачу не осуществлять.

7. Контроль и приостановление

Платформа журналирует действия в админке магазина и вправе запросить объяснения. При нарушении настоящего поручения платформа вправе приостановить или прекратить доступ арендатора к данным — как оператор она обязана иметь такую возможность.

8. Чего арендатору делать не нужно

Прямо и во избежание разночтений, арендатору:

не нужно подавать уведомление в Роскомнадзор — его подаёт оператор, то есть платформа;
не нужно составлять собственную политику обработки;
не нужно собирать согласия игроков;
не нужно отвечать на запросы субъектов;
не нужно вести пакет документов по ст. 18.1: ответственный, локальные акты, модель угроз ведутся платформой.

Оговорка первая: платежи. Сказанное относится к данным игроков магазина. Если арендатор начнёт принимать оплату за реальные деньги через собственный платёжный сервис, он станет продавцом и оператором данных покупателя в части расчётов и фискальных чеков — в этой части обязанности оператора, включая уведомление, возникнут у него самостоятельно.

Оговорка вторая: игровой сервер. Игровой сервер арендатора — самостоятельная обработка, и настоящее поручение её не покрывает. Сейвы, журналы подключений, IP-адреса игроков, переписка в чате и записи о блокировках находятся на стороне арендатора; платформа их не получает и оператором в этой части не является. От игрового сервера к платформе приходят только идентификатор Steam, идентификатор сервера и сведения о покупке или задании — ничего из перечисленного выше. Обязанности в отношении данных, обрабатываемых на самом игровом сервере, арендатор несёт самостоятельно.

Обработка персональными данными исключительно для личных и семейных нужд под действие закона не подпадает (часть 2 статьи 1 Федерального закона № 152-ФЗ), и сервер, поднятый для круга знакомых, обычно относится именно к таким случаям. Однако продажа за реальные деньги выводит обработку из этого исключения. Оценить своё положение арендатор должен самостоятельно; платформа такой оценки за него не делает и не может её дать.

9. Ответственность

Арендатор отвечает перед платформой за нарушение настоящего поручения. Перед субъектом персональных данных ответственность несёт платформа как оператор, сохраняя право обратного требования к арендатору.

10. Срок и изменения

Поручение действует с момента принятия и до прекращения договора аренды магазина, а в части конфиденциальности — бессрочно. Платформа вправе изменять поручение, публикуя новую редакцию; если изменения расширяют цели или перечень данных, требуется отдельное принятие.

11. Как фиксируется принятие

Платформа записывает номер редакции, дату и время принятия и учётную запись владельца магазина, совершившего принятие. Запись доступна арендатору в его админке.

См. также политику обработки персональных данных и согласие на обработку.