个人数据处理政策 — 中文译文

本文件为俄文原文《个人数据处理政策》的中文译文，仅供参考。 如中文译文与俄文原文存在任何差异或歧义，以俄文文本为准。俄文原文：https://winrace.ru/politika-konfidencialnosti/

2026年10月1日第2.0版

1. 总则

1.1. 本个人数据处理政策（以下简称“本政策”）规定有限责任公司“WINRACE”（Общество с ограниченной ответственностью «ВИНРЭЙС»）（ОГРН 1227700158070，ИНН 7735194274，地址：124498, г. Москва, вн. тер. г. муниципальный округ Матушкино, г. Зеленоград, к. 457；以下简称“运营者”）处理个人数据的目的、法律依据、程序和条件，所处理个人数据的范围和类别，个人数据主体的类别，保障个人数据安全的措施，以及个人数据主体的权利及其行使程序。

1.2. 本政策系为执行2006年7月27日第152-ФЗ号俄罗斯联邦法律《个人数据法》（以下简称“《个人数据法》”）第18.1条第2款而制定，并参考了俄罗斯联邦通信、信息技术和大众传媒监督局（Роскомнадзор）关于编制确定运营者个人数据处理政策之文件的建议。

1.3. 运营者已列入个人数据处理运营者登记簿，登记号为№ 77-25-521546。

1.4. 本政策适用于运营者在使用网站 https://winrace.ru/ 和 https://business.winrace.ru/ （以下简称“网站”）、WinRace移动应用程序、WinRace Telegram机器人时，在电子邮件往来中，以及在与买家和卖家订立和履行合同时处理的全部个人数据（以下合称“服务”）。

1.5. 本政策为公开文件，发布于信息通信网络“互联网”，网址为 https://winrace.ru/politika-konfidencialnosti/。

1.6. 服务不面向未满18周岁的人士。如运营者获悉其在未经未成年人法定代理人同意的情况下取得了该未成年人的个人数据，运营者将销毁此类数据。

2. 基本概念

2.1. 本政策使用以下概念：

2.1.1. 个人数据——直接或间接涉及已识别或可识别自然人（个人数据主体）的任何信息；

2.1.2. 个人数据主体允许传播的个人数据——个人数据主体按照《个人数据法》规定的程序作出同意，从而允许不特定范围的人员访问的个人数据；

2.1.3. 运营者——单独或与他人共同组织和（或）进行个人数据处理，并确定处理目的、个人数据构成以及对个人数据实施的行为（操作）的人；

2.1.4. 个人数据处理——借助或不借助自动化手段对个人数据实施的任何行为（操作）或行为（操作）的总和，包括收集、记录、系统化、积累、存储、更正（更新、变更）、提取、使用、传输（传播、提供、访问）、去标识化、封存、删除、销毁；

2.1.5. 个人数据自动化处理——借助计算机技术手段对个人数据进行的处理；

2.1.6. 个人数据的传播——旨在向不特定范围的人员披露个人数据的行为；

2.1.7. 个人数据的提供——旨在向特定人员或特定范围的人员披露个人数据的行为；

2.1.8. 个人数据的封存——暂时停止个人数据处理（为更正个人数据而需要进行处理的情形除外）；

2.1.9. 个人数据的销毁——导致个人数据信息系统中的个人数据内容无法恢复和（或）导致个人数据的物质载体被销毁的行为；

2.1.10. 个人数据的去标识化——导致在不使用附加信息的情况下无法确定个人数据归属于特定主体的行为；

2.1.11. 个人数据的跨境传输——将个人数据传输至外国境内的外国国家机关、外国自然人或外国法人；

2.1.12. Cookie——网站保存在用户浏览器中、用于网站运行和访问统计的小型数据片段；

2.1.13. 个人中心——用户注册并登录后可使用的网站栏目；

2.1.14. 买家、卖家、国际订单、境外卖家——按照《公开要约》（https://winrace.ru/oferta/）和《卖家要约》（https://winrace.ru/oferta-prodavcu/）所规定含义使用的概念。

3. 运营者的基本权利和义务

3.1. 运营者有权：

3.1.1. 从个人数据主体处获取真实的信息以及含有个人数据的文件；

3.1.2. 在个人数据主体撤回个人数据处理同意的情况下，如存在《个人数据法》规定的依据，在未经同意的情况下继续处理；

3.1.3. 经个人数据主体同意（联邦法律另有规定的除外），根据与他人订立的合同，委托该人处理个人数据；

3.1.4. 自行确定为履行《个人数据法》及据其通过的规范性法律文件所规定义务而必要且充分的措施的构成和清单。

3.2. 运营者有义务：

3.2.1. 按照《个人数据法》的要求组织个人数据处理；

3.2.2. 未经个人数据主体同意，不向第三方披露、不传播个人数据，联邦法律另有规定的除外；

3.2.3. 按照《个人数据法》的要求答复个人数据主体及其法定代理人的来函和请求（本政策第9节）；

3.2.4. 应个人数据主体权利保护授权机关（Роскомнадзор）的请求，在收到请求之日起10（十）个工作日内向该机关报送必要信息；

3.2.5. 采取法律、组织和技术措施，保护个人数据免遭非法或意外的访问、销毁、变更、封存、复制、提供、传播以及其他非法行为；

3.2.6. 如确认发生导致个人数据主体权利受到侵犯的个人数据非法或意外传输（提供、传播、访问）事实，在24（二十四）小时内将所发生的事件通知Роскомнадзор（监管机构），并在72（七十二）小时内通知内部调查结果；

3.2.7. 在《个人数据法》规定的情形和期限内停止处理并销毁个人数据（本政策第9节）；

3.2.8. 公布本政策并确保对其不受限制的访问。

4. 个人数据主体的基本权利

4.1. 个人数据主体有权：

4.1.1. 获取有关其个人数据处理的信息，包括：处理事实的确认；处理的法律依据和目的；运营者采用的处理方式；运营者的名称和所在地，有权访问个人数据或可能被披露个人数据的人员的信息；所处理的个人数据及其获取来源；处理期限，包括存储期限；个人数据主体权利的行使程序；已实施或拟实施的跨境传输的信息；受运营者委托进行处理的人的名称（如处理已委托给该人）；《个人数据法》规定的其他信息；

4.1.2. 如个人数据不完整、已过时、不准确、系非法取得或对所声明的处理目的并非必要，要求运营者更正、封存或销毁其个人数据；

4.1.3. 撤回个人数据处理同意；

4.1.4. 要求停止以与其直接联系的方式为在市场上推广商品、工作、服务之目的而进行的个人数据处理；

4.1.5. 不受仅基于个人数据自动化处理作出的、产生法律后果或以其他方式影响其权利和合法利益的决定的约束；

4.1.6. 就运营者的作为或不作为向Роскомнадзор（监管机构）投诉或通过司法程序提出申诉；

4.1.7. 保护其权利和合法利益，包括通过司法程序要求赔偿损失和（或）精神损害。

4.2. 个人数据主体有义务向运营者提供真实的个人数据，并告知其变更情况。

5. 个人数据处理的目的

5.1. 运营者为以下目的处理个人数据：

5.1.1. 用户注册及保障买家个人中心的运行；

5.1.2. 订立和履行通过网站订立的商品买卖合同：下单、付款、配送、取消订单及商品退货；

5.1.3. 办理国际订单的海关手续；

5.1.4. 进行结算、生成收银小票（电子收据）、进行会计和税务核算；

5.1.5. 保障买家与卖家之间的通信并防范欺诈；

5.1.6. 处理来函和索赔（书面要求），开展客服工作；

5.1.7. 发布商品评价；

5.1.8. 发送订单通知和服务消息；

5.1.9. 卖家入驻网站，与卖家订立和履行代理合同；

5.1.10. 保障网站的正常运行和安全，包括为计算配送费用而确定用户所在城市；

5.1.11. 分析访问量并改进网站；

5.1.12. 分析卖家中心的运行情况并加以改进；

5.1.13. 发送有关商品和促销活动的信息和广告消息——须取得个人数据主体的单独同意。

5.2. 个人数据处理仅限于实现具体的、事先确定的合法目的。不得进行与收集目的不相符的个人数据处理，亦不得合并含有为相互不相符的目的而处理的个人数据的数据库。所处理个人数据的内容和范围与所声明的处理目的相符。

6. 个人数据处理的法律依据

6.1. 个人数据处理的法律依据为：

6.1.1. 《俄罗斯联邦民法典》；1992年2月7日第2300-1号俄罗斯联邦法律《消费者权益保护法》；2003年5月22日第54-ФЗ号联邦法律《关于在俄罗斯联邦结算中使用收银机的法律》；2011年12月6日第402-ФЗ号联邦法律《会计法》；《俄罗斯联邦税法典》；《欧亚经济联盟海关法典》；2018年8月3日第289-ФЗ号联邦法律《俄罗斯联邦海关监管法》；2006年3月13日第38-ФЗ号联邦法律《广告法》；调整运营者活动的其他规范性法律文件；

6.1.2. 运营者与个人数据主体之间或为个人数据主体利益而订立的合同：《公开要约》、《用户协议》、《卖家要约》（代理合同）；

6.1.3. 个人数据主体的个人数据处理同意书（https://winrace.ru/soglasie-na-obrabotku-personalnyh-dannyh/）、对允许传播的个人数据的处理同意、使用分析类Cookie的同意以及接收广告消息的同意——在基于同意进行处理的情形下。

6.2. 每一目的的法律依据均在本政策第7节中列明，并援引《个人数据法》第6条第1款的相应项：

• 第1项——经个人数据主体同意的处理；
• 第2项——为履行法律赋予运营者的职能、权限和义务所必需的处理；
• 第5项——为履行个人数据主体作为一方当事人、受益人或保证人的合同所必需的处理，以及为应个人数据主体的提议订立合同所必需的处理；
• 第7项——为行使运营者或第三方的权利和合法利益所必需的处理，但以不侵犯个人数据主体的权利和自由为条件。

7. 所处理个人数据的范围和类别，个人数据主体的类别

7.1. 运营者处理以下类别主体的个人数据：

7.1.1. 买家——网站访问者、已注册用户、订单收件人；

7.1.2. 卖家代表——在网站上销售商品的个体企业家、组织的负责人和员工，包括卖家为交接订单而指定的员工；

7.1.3. 向运营者提出来函的人——向客服提交来函、留下评价或申请的人；

7.1.4. 未注册的网站访问者。

7.2. 按各目的列明的个人数据清单、法律依据和处理期限：

7.3. 运营者不处理涉及种族、民族、政治观点、宗教或哲学信仰、健康状况、私密生活、犯罪记录信息的特殊类别个人数据，亦不处理生物识别个人数据。评价中发布的照片不用于识别身份。

7.4. 银行卡信息在收单银行的安全页面上输入；运营者不获取也不存储此类信息。

8. 个人数据处理的程序和条件

8.1. 运营者对个人数据进行混合处理（借助和不借助自动化手段），并通过信息通信网络传输所获取的信息。对个人数据实施的行为清单：收集、记录、系统化、积累、存储、更正（更新、变更）、提取、使用、传输（提供、访问）、去标识化、封存、删除、销毁。个人数据的传播仅在第8.5条规定的情形下进行。

8.2. 在收集俄罗斯联邦公民的个人数据时，其记录、系统化、积累、存储、更正和提取均使用位于俄罗斯联邦境内的数据库进行。

8.3. 运营者仅在实现处理目的所必需的范围内向第三方提供个人数据：

8.4. 第8.3条所列接收方在与运营者或与个人数据主体订立的合同范围内，作为独立运营者处理所获取的个人数据；报关代理人依据其要约式合同处理个人数据，买家在下国际订单时接受该要约（《公开要约》第15.2条）。卖家仅为履行订单和商品退货而处理买家的个人数据；代理合同禁止将此类数据用于广告以及在网站之外与买家联系。托管服务商（Beget有限责任公司（ООО «Бегет»）、REG.RU有限责任公司（ООО «РЕГ.РУ»））在俄罗斯联邦境内向运营者提供计算资源；在其上进行个人数据处理的是运营者，托管服务商无权访问个人数据。如委托他人处理个人数据，运营者与其订立符合《个人数据法》第6条第3款要求的合同。

8.5. 商品评价作者的名字与评价一同在网站上发布。此类个人数据的传播仅基于个人数据主体对允许传播的个人数据的处理所作出的单独同意（《个人数据法》第10.1条）进行，该同意在评价表单中作出。如个人数据主体选择不署名发布评价，则不发布其名字。

8.6. 个人数据的跨境传输。 运营者在以下情形下进行个人数据的跨境传输：

8.6.1. 向中华人民共和国——针对国际订单：收件人的拉丁字母拼写的姓和名、电话号码、收货地址、订单明细及金额——传输给境外卖家及其委托的出口承运人和报关行，用于出口报关并将订单发运至俄罗斯联邦。护照数据不传输至俄罗斯联邦境外；

8.6.2. 向Telegram即时通讯软件的运营者——在个人数据主体连接WinRace Telegram机器人或通过机器人提出来函时：ID、用户名、通知和来函的文本。

8.6.3. 跨境传输系为履行个人数据主体作为一方当事人的合同而进行，在第8.6.2项规定的情形下系应个人数据主体的提议而进行。运营者在按照《个人数据法》第12条规定的程序通知Роскомнадзор（监管机构）后进行跨境传输。

8.7. Cookie。 网站使用：

8.7.1. 必要Cookie，没有此类Cookie将无法登录个人中心、使用购物车、选择城市以及保存用户对Cookie的选择：sid_customer_*（会话，不超过14天）、location_geo（城市，30天）、ab__device、ab__ab_ib（设备类型，1小时）、wr_buyer_visual、wr_vendor_visual（界面设置，180天）、klaro（对Cookie的选择，120天）；

8.7.2. Yandex.Metrica（Яндекс.Метрика）服务的分析类Cookie，包括Webvisor（Вебвизор）工具（记录页面上的操作，不含输入字段内容）——仅在访问者同意的情况下使用。访问者在首次访问网站时在Cookie通知中作出或不作出同意，并可随时通过网站页面底部的«Cookie设置»（«Настройки cookies»）链接予以更改；

8.7.3. 在卖家中心中，Yandex.Metrica（Яндекс.Метрика）服务（包括Webvisor（Вебвизор）工具）基于代理合同用于第7.2条表格第12行所列目的，卖家代表在注册和接受合同条款时会被告知这一点。

8.7.4. 用户有权在浏览器设置中删除Cookie或禁止保存Cookie。禁止必要Cookie时，网站的部分功能将无法使用。

8.8. 运营者不会仅基于个人数据自动化处理作出对个人数据主体产生法律后果或以其他方式影响其权利和合法利益的决定。在通信中自动隐藏联系方式系为防范欺诈而进行，不限制个人数据主体的权利。

8.9. 保障个人数据安全的措施。 运营者采取必要的法律、组织和技术措施，包括：指定负责组织个人数据处理的人员；发布有关个人数据处理问题的内部规章；将个人数据的访问权限限于为履行其职能而需要此类访问的员工和承包方；对传输的数据进行加密（HTTPS协议）并以哈希值形式存储密码；在信息系统中划分访问权限；进行备份；对个人数据处理是否符合《个人数据法》和本政策的要求进行内部监督。

8.10. 在处理目的达成、处理期限届满、个人数据主体撤回同意（如不存在其他处理依据）、发现非法处理以及运营者清算时，停止个人数据处理。

9. 个人数据的更新、更正、删除和销毁，对个人数据主体请求的答复

9.1. 个人数据主体或其代理人可通过个人中心（«客服»（«Поддержка»）栏目）、发送电子邮件至 info@winrace.ru 或寄往第1.1条所示运营者的邮寄地址提交请求（来函、要求、撤回同意）。请求应包含可识别个人数据主体身份并证明其参与了与运营者之间关系的信息（订单编号、注册时提供的电子邮箱地址或电话号码），以及个人数据主体或其代理人的签名（对于电子形式的请求——电子签名或从注册时提供的电子邮箱地址发送）。

9.2. 运营者在收到请求之日起10（十）个工作日内提供本政策第4.1.1项所列信息。该期限可延长不超过5（五）个工作日，但须向个人数据主体发送说明延期理由的通知。

9.3. 如个人数据不准确的事实得到确认，运营者在提交证明不准确的信息之日起7（七）个工作日内对其进行更正，并解除对个人数据的封存。

9.4. 如发现个人数据的非法处理，运营者在发现之日起不超过3（三）个工作日的期限内停止此类处理；如无法确保处理的合法性，则在发现之日起不超过10（十）个工作日的期限内销毁个人数据，并就此通知个人数据主体。

9.5. 在个人数据处理目的达成时，以及在个人数据主体撤回其处理同意的情况下，如与个人数据主体订立的合同或联邦法律未另行规定，且不存在继续处理的其他法律依据，运营者在不超过30（三十）日的期限内停止处理并销毁个人数据。为履行与个人数据主体订立的合同或法律要求所必需的处理，在第7.2条规定的期限内继续进行。

9.6. 个人数据主体关于停止个人数据处理的要求，在收到要求之日起不超过10（十）个工作日的期限内执行，《个人数据法》规定的情形除外。该期限可延长不超过5（五）个工作日，但须向个人数据主体发送说明理由的通知。

9.7. 删除账户。 买家有权通过个人中心中的«删除账户»（«Удалить аккаунт»）功能或向客服发送请求删除账户。运营者在10（十）个工作日内执行该请求。删除账户时，账户、姓、名、联系方式、地址、护照数据和ИНН、个人中心中的操作历史、订阅、与卖家和客服的通信将被不可恢复地销毁；评价将被删除或去标识化。法律规定须保存的订单信息（收银小票（电子收据）、会计和税务核算文件）在与已删除的个人中心无关联的情况下保存5（五）年，其中的个人数据予以去标识化，但法律要求以原始形式保存的除外。在已付款订单及其退货完成之前，不得删除账户。

9.8. 个人数据的销毁以排除其内容恢复可能性的方式进行：从运营者信息系统的数据库和备份中删除记录，销毁物质载体。销毁按照Роскомнадзор（监管机构）2022年10月28日第179号令批准的《个人数据销毁确认要求》规定的程序予以确认。

10. 最后条款

10.1. 运营者有权修改本政策。本政策新版本自其在第1.5条所示网址发布之日起生效，新版本另有规定的除外。本政策以前的版本由运营者保存，并可应发送至电子邮箱 info@winrace.ru 的请求提供。

10.2. 有关个人数据处理问题的来函，请发送至电子邮箱 info@winrace.ru 或寄往第1.1条所示运营者的邮寄地址。

10.3. 本政策未调整的问题，按照俄罗斯联邦个人数据领域的法律解决。