Политика в отношении обработки персональных данных

1. Общие положения

1.1. Оператор персональных данных — ИП Агрызков Антон Сергеевич, ИНН 562101885524, ОГРНИП 314565809200165 (далее — Оператор, мы). Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, под номером 56-26-023204. Адрес места нахождения указан в ЕГРИП по ОГРНИП и сообщается по запросу на orenburg@hixl.ru.

1.2. Политика действует в отношении персональных данных, которые Оператор получает через сайты orenburg.pro и orenburg.site (одна установка с общим кабинетом), кабинет заказчика на этих сайтах, Telegram-бот студии и письма, отправляемые сайтами (далее вместе — Сайт).

1.3. Политика опубликована во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), доступна без регистрации и никем не «принимается»: это описание того, как мы обрабатываем данные.

1.4. Документ описывает обработку на Сайте. Полный перечень целей обработки Оператора по всей его деятельности приведён в реестре операторов Роскомнадзора.

2. Термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Обработка — любое действие с ними: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Распространение — раскрытие данных неопределённому кругу лиц. Обезличивание — действия, после которых данные нельзя отнести к конкретному лицу без дополнительной информации.

2.2. Кабинет — личный кабинет на Сайте (задачи, переписка, файлы, заметки, контакты, сметы, счета, ИИ-ассистент). Заказчик — лицо, заведшее Кабинет; Сотрудник Заказчика — лицо, приглашённое Заказчиком в его Кабинет. Cookie — небольшой файл, который сайт сохраняет в браузере.

3. Правовые основания

3.1. Обработка ведётся в соответствии с 152-ФЗ, Гражданским кодексом РФ, Законом РФ «О защите прав потребителей», Федеральным законом № 54-ФЗ «О применении контрольно-кассовой техники», Налоговым кодексом РФ, Федеральным законом № 402-ФЗ «О бухгалтерском учёте», Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

3.2. Основания обработки (ч. 1 ст. 6 152-ФЗ):

• заключение и исполнение договора, стороной которого является субъект, в том числе по его инициативе (п. 5), — основное основание: заявка, регистрация, Кабинет, работы, оплата. Отдельное согласие для этого не требуется;
• исполнение обязанностей Оператора по закону (п. 2) — кассовые чеки, налоговый и бухгалтерский учёт, ответы на законные запросы;
• законные интересы Оператора (п. 7) — защита Сайта от атак, доказательства заключения договора и согласований, статистика посещаемости — при условии, что не нарушаются права субъекта;
• согласие субъекта (п. 1) — только там, где иного основания нет; такое согласие даётся отдельно от иных документов;
• поручение другого оператора (ч. 3 ст. 6) — для данных, которые Заказчик передаёт нам в рамках работ (раздел 14).

3.3. Отметка у формы заявки и регистрации подтверждает принятие пользовательского соглашения и ознакомление с Политикой; факт отметки записывается в журнал (дата, редакция документов, IP-адрес, сведения о браузере).

4. Цели, состав данных и сроки

4.1. Для каждой цели ниже указаны субъекты, данные, основание и срок. Способ обработки для всех целей — автоматизированная и смешанная обработка с передачей по сети интернет. По истечении срока или при достижении цели данные уничтожаются (удаление из базы данных и файлового хранилища), а из резервных копий — по мере их ротации, не позднее 6 месяцев.

4.2. Заявка, регистрация и ведение Кабинета

• Субъекты: посетители, оставившие заявку или зарегистрировавшиеся; Заказчики; Сотрудники Заказчика.
• Данные: имя, адрес электронной почты, пароль (хранится только в виде необратимого хеша), телефон или имя в Telegram (если указаны), текст заявки, роль в Кабинете, дата последнего входа, отметка о блокировке.
• Основание: п. 5 ч. 1 ст. 6 152-ФЗ.
• Срок: пока существует Кабинет. Кабинет без задач, сообщений, заметок и контактов Оператор вправе удалить через 7 дней после регистрации.

4.3. Выполнение работ и переписка

• Субъекты: Заказчики, Сотрудники Заказчика, контактные лица, которых Заказчик указывает в Кабинете.
• Данные: названия проектов и задач, сообщения в Кабинете, вложения и файлы проекта (до 20 МБ каждый), заметки, имена и контакты контактных лиц, результаты согласований и приёмки (кто, когда, какие замечания).
• Основание: п. 5 ч. 1 ст. 6; для доказательств согласований — п. 7 ч. 1 ст. 6.
• Срок: пока существует Кабинет. После удаления Кабинета сведения о заключённых договорах, согласованиях и приёмке Оператор вправе хранить до 3 лет после исполнения договора — в пределах срока исковой давности.

4.4. Сметы, счета, оплата и кассовые чеки

• Субъекты: Заказчики и плательщики.
• Данные: наименование плательщика, состав и сумма сметы и счёта, адрес почты для кассового чека, идентификатор и статус платежа, сведения об ошибке оплаты, сведения о способе оплаты в объёме, который возвращает платёжный провайдер (например, тип и маскированный номер карты). Полные реквизиты банковской карты вводятся на странице провайдера, Оператору не передаются и не хранятся.
• Основание: п. 5 и п. 2 ч. 1 ст. 6.
• Срок: 5 лет после окончания года, в котором проведён расчёт (требования налогового и бухгалтерского учёта), в том числе после удаления Кабинета: сметы, счета, платежи и акты хранятся на обезличенной записи — без имени, почты, контакта заказчика (наименование плательщика в счёте сохраняется), затем уничтожаются.

4.5. Уведомления

• Субъекты: Заказчики и Сотрудники Заказчика.
• Данные: адрес почты, имя, идентификатор чата Telegram (если вы сами подключили бота в настройках), текст уведомления.
• Основание: п. 5 ч. 1 ст. 6. Уведомления связаны с исполнением договора и рекламой не являются.
• Срок: идентификатор Telegram — до отключения бота командой /stop или удаления Кабинета.

4.6. ИИ-ассистент

• Субъекты: Заказчики, которые пользуются ассистентом.
• Данные: сообщения, которые вы пишете ассистенту, его ответы и составленный документ (черновик технического задания).
• Основание: п. 5 ч. 1 ст. 6 — функция Кабинета по пользовательскому соглашению.
• Срок: пока существует Кабинет. У провайдера нейросети — на его условиях (раздел 7).
• Пожалуйста, не сообщайте ассистенту имена, телефоны и иные персональные данные — ни свои, ни чужие: для составления задания они не нужны.

4.7. Журнал согласий и акцептов

• Субъекты: лица, отметившие согласие с документами.
• Данные: аккаунт (после удаления аккаунта — адрес электронной почты), вид документа, редакция, дата и время, IP-адрес, сведения о браузере (User-Agent).
• Основание: п. 2 и п. 7 ч. 1 ст. 6 (обязанность доказать основание обработки).
• Срок: весь срок действия договора и 3 года после его прекращения (в том числе удаления аккаунта) или отзыва согласия; затем записи обезличиваются.

4.8. Безопасность и работа Сайта

• Субъекты: все посетители.
• Данные: IP-адрес, сведения о браузере (User-Agent), идентификатор сессии, дата и время запросов, технические журналы ошибок.
• Основание: п. 7 ч. 1 ст. 6.
• Срок: сессия — 120 минут бездействия (при входе с запоминанием — до выхода из аккаунта); журналы веб-сервера и приложения — по мере ротации, как правило не дольше 30 дней.

4.9. Статистика посещаемости

• Субъекты: все посетители.
• Данные: cookie и идентификаторы счётчика, IP-адрес, сведения о браузере и устройстве, адреса страниц, источники переходов, клики, прокрутка и иные действия на страницах (подробно — раздел 5).
• Основание: п. 7 ч. 1 ст. 6; вы можете отказаться способами из п. 5.4.
• Срок: на условиях сервиса статистики; в браузере — до удаления cookie.

4.10. Обращения

• Субъекты: лица, написавшие на почту, в Telegram или в чат Кабинета.
• Данные: имя, контакт, текст обращения и ответа.
• Основание: п. 5 ч. 1 ст. 6 (действия по инициативе субъекта до заключения договора), для обращений о персональных данных — п. 2.
• Срок: 3 года с даты последнего сообщения.

5. Cookie и статистика

5.1. Сайт использует:

• технические cookie — сессия, защита форм от подделки запросов (CSRF), запоминание входа. Без них не работают вход и Кабинет;
• localStorage браузера — отметка, что вы закрыли уведомление о cookie, и состояние элементов интерфейса. На сервер эти значения не передаются;
• аналитические cookie Яндекс.Метрики.

5.2. Яндекс.Метрика (ООО «Яндекс») собирает cookie, IP-адрес, сведения о браузере и устройстве, просмотренные страницы, источники переходов и действия на страницах. На Сайте включён Вебвизор — запись действий на странице (движения, клики, прокрутка, отображаемое содержимое). Счётчик подключён на всех страницах Сайта, включая страницы входа и Кабинета. Поля паролей Яндекс.Метрика не записывает. Оператор использует статистику в обобщённом виде и не пытается установить по ней личность посетителя.

5.3. Иные сервисы статистики на Сайте не используются.

5.4. Отказаться от статистики можно: запретить или удалить cookie в настройках браузера, включить режим «Не отслеживать» или блокировщик счётчиков, установить блокировщик Яндекс.Метрики. Сайт при этом останется доступен; без технических cookie не будут работать вход и Кабинет.

6. Кому передаются данные

6.1. Мы передаём данные только тем, без кого Сайт и работы не выполнить, и только в нужном объёме:

• ООО «Регистратор доменных имён РЕГ.РУ» — хостинг: серверы, на которых работают Сайт и база данных (Россия). Обработка по поручению Оператора;
• ООО НКО «ЮMoney» (сервис ЮKassa) — приём оплаты картой и формирование кассовых чеков: сумма, назначение, адрес почты для чека;
• ООО «Яндекс» — Яндекс.Метрика (раздел 5) и почтовый сервис, через который Сайт отправляет письма: адрес почты, имя, текст письма;
• Telegram — уведомления студии о заявках и сообщениях (имя, почта, контакт, текст) и уведомления Заказчику, подключившему бота (текст уведомления, идентификатор чата) — раздел 7;
• провайдер нейросети ИИ-ассистента — тексты диалога с ассистентом — раздел 7;
• государственные органы — по их законному запросу и в случаях, предусмотренных законом.

6.2. Лица, обрабатывающие данные по поручению Оператора, обязаны соблюдать конфиденциальность и требования ст. 19 152-ФЗ.

6.3. Мы не продаём персональные данные и не передаём их для рекламы третьих лиц.

7. Трансграничная передача

7.1. Данные передаются за пределы России в следующих случаях:

• Telegram (серверы за пределами России, компания зарегистрирована в ОАЭ) — содержание уведомлений студии о заявках и сообщениях: имя, адрес почты, контакт, текст заявки или сообщения; при подключении бота Заказчиком — идентификатор его чата и текст уведомлений ему;
• провайдер нейросети ИИ-ассистента — по умолчанию OpenAI (США): тексты вашего диалога с ассистентом и составленный документ. Имя, почта и иные данные Кабинета нейросети не передаются, если вы сами не написали их в диалоге. Хранение запросов на стороне провайдера отключено: история диалога хранится только у Оператора, а провайдер вправе держать запрос кратковременно в объёме, нужном для ответа и защиты от злоупотреблений, на своих условиях;

7.2. Передача ведётся в объёме, необходимом для цели: студии — чтобы быстро ответить на заявку, нейросети — чтобы составить задание. Вы можете не пользоваться ИИ-ассистентом и не подключать Telegram — Кабинет работает и без них.

8. Хранение в России

8.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России ведутся в базе данных на серверах в России (ч. 5 ст. 18 152-ФЗ). Передача в сервисы из раздела 7 происходит уже после записи данных в эту базу.

9. Распространение

9.1. Оператор не распространяет персональные данные: данные Кабинета видят только Заказчик, его Сотрудники в пределах выданной роли и студия. Кейсы на Сайте — собственные продукты студии. Упоминание работы в портфолио — по правилам публичной оферты и без персональных данных физических лиц.

10. Права субъекта и сроки ответа

10.1. Вы вправе:

• получить сведения об обработке своих данных и их копию;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, незаконно получены или не нужны для цели обработки;
• отозвать согласие, если обработка велась на его основании;
• возразить против обработки на основании законного интереса (например, статистики);
• обжаловать действия Оператора в Роскомнадзоре или в суде.

10.2. Как обратиться: письмом на orenburg@hixl.ru с адреса почты вашего Кабинета либо с указанием данных, по которым вас можно идентифицировать (почта Кабинета, имя, иной контакт), и сути требования. Удалить Кабинет можно самостоятельно: «Настройки» → «Удалить аккаунт» (с подтверждением паролем).

10.3. Сроки: сведения об обработке — в течение 10 рабочих дней с получения запроса (срок может быть продлён ещё на 5 рабочих дней с направлением мотивированного уведомления); уточнение данных — 7 рабочих дней с получения сведений; уничтожение неправомерно обрабатываемых данных — 10 рабочих дней; при отзыве согласия — прекращение обработки и уничтожение в течение 30 дней.

10.4. Отзыв согласия или требование об удалении не прекращает обработку, которая ведётся на ином основании: для исполнения договора, хранения учётных документов, защиты прав Оператора в споре. В этом случае мы сообщим, какие данные и на каком основании продолжаем хранить.

10.5. При удалении Кабинета удаляются проекты, задачи, переписка, вложения, заметки, контакты и доступы Сотрудников; имя, почта, контакт, пароль и привязка Telegram стираются. Если по Кабинету выставлялись счета или сметы, запись аккаунта остаётся обезличенной, чтобы сохранить учётные документы в срок п. 4.4; журнал согласий хранится в срок п. 4.7. Без счетов и смет аккаунт удаляется целиком.

11. Меры защиты

11.1. Ответственный за организацию обработки персональных данных — сам Оператор. Мы применяем меры по ст. 18.1 и 19 152-ФЗ:

• разграничение доступа: данные Кабинета доступны только его владельцу, приглашённым им Сотрудникам в пределах роли и студии; файлы хранятся в закрытом хранилище и выдаются после проверки прав;
• передача данных по защищённому протоколу HTTPS (TLS);
• хранение паролей только в виде хеша, ограничение частоты попыток входа и отправки форм, блокировка нарушителей;
• ежедневное резервное копирование с ограниченным сроком хранения копий;
• журналы событий и ошибок; определение угроз безопасности и уровня защищённости данных в соответствии с требованиями Правительства РФ к защите персональных данных в информационных системах;
• ознакомление лиц, допущенных к обработке, с требованиями законодательства и этой Политикой.

12. Инциденты

12.1. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем и принятых мерах и в течение 72 часов — о результатах внутреннего расследования, а также принимает меры по устранению последствий.

13. Дети

13.1. Сайт и Кабинет предназначены для совершеннолетних. Если нам станет известно, что данные предоставил несовершеннолетний без согласия законного представителя, мы удалим их.

14. Данные, которые мы обрабатываем по поручению

14.1. Выполняя работы, студия может получить доступ к данным клиентов, покупателей или сотрудников Заказчика: базе сайта, заявкам с его форм, выгрузкам из учётных систем. Оператором этих данных остаётся Заказчик, а мы действуем по его поручению (ч. 3 ст. 6 152-ФЗ) на условиях публичной оферты: обрабатываем данные только для выполнения работ, соблюдаем конфиденциальность и меры защиты, не используем их в своих целях.

14.2. Субъекту таких данных следует обращаться к Заказчику как к оператору. Если обращение придёт к нам, мы перешлём его Заказчику.

15. Изменение политики

15.1. Политика — документ Оператора. Новая редакция действует с момента публикации на этой странице; дата редакции указана под заголовком. Прежние редакции предоставляются по запросу.

16. Контакты

16.1. ИП Агрызков Антон Сергеевич, ИНН 562101885524, ОГРНИП 314565809200165. Почта для обращений по персональным данным: orenburg@hixl.ru.

Связанные документы: Пользовательское соглашение · Публичная оферта