Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности у Оператора.
2. Оператор
Оператор обработки — Иванов Андрей Владимирович, самозанятый (плательщик НПД, ФЗ № 422-ФЗ), работающий под торговым наименованием «ElGovoryn» на территории Российской Федерации (Санкт-Петербург).
Ответственным за организацию обработки персональных данных в соответствии с ч. 1 ст. 18.1 152-ФЗ является сам Оператор — Иванов А. В.
Контакты для запросов по вопросам обработки персональных данных: Telegram @ZgoVorunZ, email RaptorAngry@yandex.ru. Срок ответа на запрос субъекта о составе обрабатываемых данных — не более 10 рабочих дней (ст. 20 152-ФЗ).
3. Какие данные обрабатываются
Telegram ID, username, отображаемое имя — автоматически при первом сообщении в боте.
Тексты сообщений, отправленных Заказчиком в Telegram-бот @LendingTMAtgapps_bot в рамках обсуждения задачи и сопровождения работ.
Контактные данные, добровольно предоставленные Заказчиком в ходе диалога (телефон, email, реквизиты, ссылки на корпоративные ресурсы).
Сведения о платеже (сумма, статус, идентификатор операции, дата), получаемые от Lava.top через webhook. Реквизиты банковской карты Оператору не передаются — они обрабатываются исключительно платёжным провайдером.
Источник захода — параметр start=ref_<идентификатор> deep-link бота либо UTM-метка платёжной ссылки. Параметр содержит Telegram ID лица, поделившегося реферальной ссылкой; этот идентификатор используется исключительно для статистики переходов и применения реферальной скидки и не публикуется. Лицо, поделившееся ссылкой, размещает её по собственной инициативе и согласно настоящей Политике обрабатывается на тех же основаниях, что и иные пользователи бота.
4. Цели обработки
Идентификация Заказчика и сопоставление поступившей оплаты с обращением.
Подготовка и согласование технического задания, оказание оплаченной услуги.
Информирование Заказчика о ходе работ, ответы на вопросы, направление статусов.
Исполнение обязанностей Оператора по налоговому законодательству РФ (формирование чеков НПД через Lava.top, ведение учёта).
Защита прав Оператора в случае спора (хранение переписки и документов о согласовании ТЗ).
5. Правовые основания
п. 5 ч. 1 ст. 6 152-ФЗ — обработка для заключения договора по инициативе субъекта или для исполнения договора, стороной которого он является (публичная оферта). На этом основании ведётся диалог Заказчика с Оператором в боте до момента оплаты — обсуждение задачи, согласование объёма работ, формирование коммерческого предложения; обработка осуществляется в минимально необходимом для преддоговорных коммуникаций объёме (Telegram ID, username, отображаемое имя, тексты сообщений Заказчика);
п. 1 ч. 1 ст. 6 152-ФЗ — согласие субъекта (применяется к действиям, выходящим за рамки преддоговорных коммуникаций: трансграничная передача в США в Anthropic для AI-обработки, передача данных платёжной платформе при оплате);
п. 2 ч. 1 ст. 6 152-ФЗ — обработка во исполнение обязанностей, возложенных на Оператора законодательством РФ (налоговое и бухгалтерское законодательство).
6. Способы обработки и место хранения
Обработка ведётся как с использованием средств автоматизации, так и без таковых. Первичная запись и хранение персональных данных граждан Российской Федерации осуществляются в базе данных, физически расположенной на территории РФ (г. Москва, дата-центр провайдера VDSka hosting, AS50053), в соответствии с ч. 5 ст. 18 152-ФЗ. Telegram используется как канал доставки сообщений по добровольному выбору субъекта; технические копии сообщений в инфраструктуре Telegram не являются местом первичного хранения для Оператора. Резервные копии создаются ежедневно и сохраняются (а) на том же сервере в РФ и (б) для целей аварийного восстановления — на off-site сервере Оператора в Финляндской Республике (страна, входящая в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждённый Приказом Роскомнадзора от 05.08.2022 № 128 — адекватная защита: ДА); в обоих случаях резервные копии не используются для иных целей и не передаются третьим лицам.
Служебная переписка в технической таблице messages хранится не дольше 30 дней с момента отправки, после чего автоматически удаляется.
Сроки хранения и автоматическое обезличивание. Персональные данные Заказчика, обрабатываемые в целях исполнения договора (тексты переписки в боте, содержание брифа на разработку, имя Заказчика в Telegram-профиле), обезличиваются автоматически в момент сдачи цифрового продукта Заказчику (изменение статуса заказа на «исполнен» в системе Оператора). После обезличивания эти сведения недоступны для повторного восстановления. При повторном обращении Заказчика создаётся новая запись персональных данных в объёме, необходимом для нового заказа.
Сведения, необходимые для исполнения требований налогового законодательства (идентификатор операции в Lava.top, сумма платежа, дата платежа, реквизиты чека НПД, ИНН Оператора), хранятся в течение 4 лет с даты платежа в соответствии с ч. 1 ст. 13 422-ФЗ.
Сведения о выраженных согласиях Заказчика (тип, версия, дата) хранятся в течение всего периода действия согласия и не более 3 лет после его отзыва либо прекращения договора — как доказательство правомерности обработки в соответствии со ст. 9 152-ФЗ. Telegram-идентификатор Заказчика, к которому привязано согласие, в этих записях сохраняется.
Заказчик вправе в любой момент потребовать досрочного удаления своих персональных данных, написав в Telegram @ZgoVorunZ. После такого требования данные удаляются (а в отношении сведений, требуемых налоговым законодательством, — обезличиваются в части, не противоречащей закону) в срок, не превышающий 30 дней.
7. Передача третьим лицам
Оператор не передаёт персональные данные третьим лицам, за исключением следующих случаев:
7.1. Платёжная инфраструктура
Lava.top (ООО «ЛАВА ТОП», Россия) — для проведения платежа, формирования чека НПД, передачи статуса оплаты. Сервер обработки расположен на территории РФ.
7.2. Мессенджер
Telegram (Telegram FZ-LLC, ОАЭ) — обработка содержимого сообщений как канала связи между Заказчиком и Оператором. Это трансграничная передача в государство, входящее в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных (Приказ Роскомнадзора от 05.08.2022 № 128). Передача осуществляется на основании добровольного выбора Заказчиком способа коммуникации и его согласия (см. раздел 6.А Согласия).
7.3. Хостинг публичных страниц
Cloudflare, Inc. (США) — на Cloudflare Pages размещены демонстрационные сайты-портфолио (*.pages.dev) и страница с юридическими документами (legal-eg.pages.dev). На указанных страницах персональные данные Заказчиков Оператором НЕ размещаются и НЕ передаются. При посещении страниц Cloudflare самостоятельно собирает IP-адреса посетителей и иные технические данные браузера для целей доставки контента и защиты от атак. IP-адрес признаётся персональными данными; правовое основание обработки Cloudflare — п. 7 ч. 1 ст. 6 152-ФЗ (законный интерес владельца сайта по обеспечению защиты инфраструктуры от автоматизированных атак). Срок хранения логов на стороне Cloudflare определяется политикой Cloudflare и составляет, как правило, не более 90 дней.
7.4. Сервисы искусственного интеллекта (трансграничная передача с согласия субъекта)
Anthropic PBC (США) — API сервиса Claude используется Оператором для подготовки автоматических ответов на сообщения Заказчика в боте. Передача в Anthropic осуществляется только после явного клика Заказчика на кнопку «🤖 Включить AI-помощника» в интерфейсе бота; до момента такого клика Оператор обрабатывает сообщения исключительно своими средствами без отправки их в Anthropic. Это трансграничная передача на основании отдельного согласия субъекта в соответствии со ст. 12 Федерального закона № 152-ФЗ; договор поручения на обработку (ч. 3 ст. 6 152-ФЗ) между Оператором и Anthropic не заключён. В API передаётся текст диалога Заказчика без передачи Telegram ID и имени из профиля. При этом Заказчик может добровольно сообщить в тексте сообщения свои контактные данные — в этом случае они также передаются. Согласно публичным условиям Anthropic, переданные через API данные не используются для обучения моделей. США не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов; Заказчик уведомлён об этом перед нажатием кнопки и выражает согласие в порядке, описанном в Согласии. Заказчик вправе отозвать согласие в любой момент, написав в Telegram @ZgoVorunZ; после отзыва AI-обработка прекращается.
7.5. Реверс-прокси для AI-запросов
ООО «ProxyAPI» (Россия) — реверс-прокси для передачи запросов в Anthropic; самостоятельным оператором обработки контента не является. Передача осуществляется на территории РФ, поэтому ст. 12 152-ФЗ (трансграничная передача) к этой передаче не применяется. Обработка контента запросов осуществляется получателем, указанным в § 7.4.
7.6. Email-канал коммуникации
ООО «Яндекс» (Россия, ИНН 7736207543) — почтовый ящик Оператора RaptorAngry@yandex.ru размещён в сервисе Яндекс.Почта. При направлении Субъектом письма в адрес Оператора по этому email содержимое письма (включая указанные в нём персональные данные) технически проходит через инфраструктуру Яндекса, расположенную на территории Российской Федерации. Трансграничная передача в иностранные государства при использовании указанного email не осуществляется. Telegram @ZgoVorunZ является альтернативным каналом связи.
7.7. Государственные органы
Передача государственным органам — только при наличии законного запроса в порядке, предусмотренном законодательством РФ.
8. Меры защиты
В соответствии со ст. 18.1 и ст. 19 152-ФЗ Оператор принимает следующие организационные и технические меры:
доступ к серверу с базой данных ограничен SSH-ключом и аутентификацией по сложному паролю; административные операции выполняет только Оператор;
передача данных от мессенджера к серверу шифруется по протоколу TLS;
платёжный канал между Lava.top и сервером защищён HTTPS-сертификатом с дополнительной HTTP Basic-аутентификацией на уровне приложения;
резервные копии хранятся в зашифрованном виде;
учётные данные сторонних сервисов хранятся в защищённых файлах с ограниченными правами доступа.
9. Права субъекта персональных данных
В соответствии со ст. 14 152-ФЗ Заказчик вправе:
получить подтверждение факта обработки своих данных, узнать цели и способы обработки, перечень обрабатываемых данных, сведения о третьих лицах, получающих доступ;
требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими или незаконно полученными;
обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.
Сроки реакции Оператора:
ответ на запрос субъекта о составе обрабатываемых данных — не более 10 рабочих дней с момента получения запроса (ст. 20 152-ФЗ);
прекращение обработки и уничтожение данных после поступления отзыва согласия — не позднее 30 дней с момента получения отзыва (ч. 5 ст. 21 152-ФЗ), за исключением случаев, когда хранение требуется по закону (например, бухгалтерская и налоговая отчётность).
10. Отсутствие профайлинга и автоматизированных решений
Оператор не принимает на основании персональных данных Заказчика решений, порождающих юридические последствия или иным образом существенно затрагивающих его права (ч. 2 ст. 16 152-ФЗ). Автоматические ответы бота носят информационный и сервисный характер и не влияют на права Заказчика.
11. Cookies и аналитика
Демонстрационные сайты используют Cloudflare Web Analytics в анонимном режиме без cookies; собираются IP-адреса, User-Agent и URL страницы; данные обрабатываются Cloudflare, Inc. (США), уже описанным как получатель в § 7.3. Технические cookies могут быть установлены инфраструктурными сервисами (Cloudflare, Telegram) для базовой работы и защиты от ботов.
12. Изменения политики
Актуальная редакция всегда доступна по адресу legal-eg.pages.dev/privacy.html. Существенные изменения публикуются не менее чем за 7 календарных дней до вступления в силу.
13. Уведомление в Роскомнадзор и реагирование на инциденты
Уведомление о намерении осуществлять обработку персональных данных (ст. 22 152-ФЗ) и уведомление о трансграничной передаче персональных данных (ст. 12 152-ФЗ) подготовлены и находятся в процессе подачи Оператором в Роскомнадзор через портал «Госуслуги» (форма «Уведомление о намерении осуществлять обработку персональных данных»). Плановая дата подачи — не позднее 05.06.2026. После регистрации Оператора в реестре операторов на сайте Роскомнадзора (rkn.gov.ru/personal-data/register) реквизиты уведомлений (регистрационный номер и дата) публикуются в настоящем разделе и предоставляются по запросу субъекта.
До момента регистрации Оператора в реестре обработка персональных данных ведётся на основаниях, предусмотренных ст. 6 152-ФЗ (согласие субъекта и/или исполнение договора с субъектом), и в минимально необходимом объёме (см. раздел 6).
Реагирование на инциденты. При обнаружении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов с момента обнаружения о произошедшем инциденте, а в течение 72 часов — о результатах внутреннего расследования и принятых мерах (ч. 3.1 ст. 21 152-ФЗ).