Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных индивидуальным предпринимателем Бабруев Александр Валентинович, ИНН 772084568588, ОГРНИП 314774611900884, адрес регистрации: 430030, Республика Мордовия, г. Саранск, ул. Косарева, д. 81, кв. 73, далее — «Оператор».

Политика применяется к https://join.xheads.online и https://club.xheads.online, включая формы заявки и оформления участия, российский серверный шлюз формы XHEADS Club, систему подписки, бот, клубные каналы, обращения в поддержку и связанные информационные системы Оператора. Она размещена в открытом доступе на страницах, где осуществляется сбор данных.

Оператор руководствуется Конституцией РФ, Федеральным законом № 152-ФЗ «О персональных данных», иными применимыми нормативными актами и обрабатывает только данные, необходимые для заранее определённых законных целей.

2. Категории субъектов

Оператор обрабатывает данные посетителей сайтов, заявителей, пользователей бота, покупателей подписки, действующих и бывших участников Клуба, представителей заказчиков, лиц, обращающихся в поддержку, и иных лиц, добровольно взаимодействующих с сервисами Оператора.

3. Цели, данные, основания и сроки

3.1. Отдельно отправленная заявка и преддоговорное общение

Данные: имя; добровольно выбранный контакт — телефон, email или Telegram username; сайт, источник и вариант формы; путь страницы, referrer и UTM-метки при их наличии; идентификатор, этап и статус заявки; дата, время, редакция и адрес согласия; IP-адрес, User-Agent и технические сведения защиты формы.

Цели: зарегистрировать обращение, связаться с заявителем выбранным способом, обсудить участие, вести контакт и сделку в amoCRM, предотвращать дублирование и злоупотребления и защищать права сторон.

Основания: отдельное согласие у формы заявки и действия по инициативе субъекта до возможного заключения договора. Такое согласие не является согласием на рекламу и не заменяет отдельное согласие при оформлении подписки.

Срок: в течение общения по заявке; после закрытия — до трёх лет для подтверждения взаимодействия и разрешения претензий, либо дольше при продолжающемся споре или иной обязанности по закону.

3.2. Оформление и исполнение договора участия

Данные: имя, email, телефон при его указании, Telegram ID и username, тариф, цена, даты и статус участия, сведения о принятии условий.

Основания: согласие субъекта, заключение и исполнение договора, осуществление прав и законных интересов Оператора без нарушения прав субъекта.

Срок: в течение договора и срока предъявления требований; доказательства договора и расчётов хранятся не менее пяти лет после окончания соответствующего отчётного года, если закон не требует большего срока.

Форма оформления может находиться на https://club.xheads.online: браузер передаёт имя, email и отдельное согласие в защищённый серверный шлюз того же сайта на российском сервере, шлюз — в систему подписки на https://join.xheads.online, а затем браузер получает только проверенную ссылку на платёжную форму Точки.

3.3. Платежи, возвраты и фискализация

Данные: идентификаторы заказа, подписки и платежа, сумма, дата, статус, дата следующего списания, email для чека, факт отмены и возврата. Полные реквизиты карты и CVV/CVC Оператором не собираются.

Основания: исполнение договора, отдельное согласие на регулярные платежи, обязанности Оператора по налоговому, бухгалтерскому и кассовому законодательству.

Срок: сроки, установленные для договорных, бухгалтерских, налоговых и кассовых документов.

3.4. Выдача и контроль клубного доступа

Данные: Telegram ID и username, идентификаторы клубных каналов, персональных приглашений и заявок на вступление, статусы вступления и прекращения доступа, срок оплаченного участия.

Основания: исполнение договора и законные интересы Оператора по предотвращению несанкционированного доступа.

Срок: в течение участия и до 30 дней после завершения технических операций по прекращению доступа, кроме журналов, необходимых для разрешения спора или обеспечения безопасности.

3.5. Сервисные сообщения и поддержка

Данные: контактные сведения, Telegram ID, сведения о подписке, содержимое обращения и история ответа.

Основания: исполнение договора, согласие при добровольном обращении, законные интересы сторон.

Срок: сервисные данные — в течение договора; обращения — до трёх лет после завершения, либо дольше при продолжающемся споре.

3.6. Безопасность и подтверждение юридически значимых действий

Данные: IP-адрес, User-Agent, дата и время действия, технические идентификаторы, журналы доставки, редакции и контрольные суммы принятых документов.

Основания: согласие, исполнение договора, законные интересы Оператора и сторон по предотвращению злоупотреблений и защите прав.

Срок: технические журналы — до одного года, доказательства принятия условий — в течение срока хранения связанных договорных сведений, данные инцидента — до его разрешения и окончания применимых сроков требований.

4. Данные, которые Оператор не обрабатывает

Оператор не намерен обрабатывать специальные категории данных о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости, а также биометрические данные. Не следует направлять такие сведения в формы или поддержку без необходимости, установленной законом.

5. Действия и способы обработки

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление необходимым получателям, доступ, обезличивание, блокирование, удаление и уничтожение данных автоматизированным, неавтоматизированным и смешанным способом.

Данные не распространяются неопределённому кругу лиц без отдельного правового основания. При вступлении в клубные каналы выбранные пользователем имя, username, фотография профиля и сообщения могут быть видны другим участникам в соответствии с настройками и правилами Telegram.

6. Источники данных

Оператор получает данные непосредственно от субъекта через формы на https://join.xheads.online и https://club.xheads.online и обращения, от Telegram при взаимодействии субъекта с ботом и клубными каналами, а также от оператора эквайринга Точки и оператора фискализации в объёме статусов и идентификаторов, необходимых для расчётов и учёта. Российский серверный шлюз формы XHEADS Club действует как компонент информационной системы самого Оператора, а не как самостоятельный источник или получатель.

7. Получатели и поручение обработки

В минимально необходимом объёме данные могут обрабатываться следующими лицами:

• АО «ИОТ» (проект FirstVDS, ИНН 7731399513, ОГРН 1187746221860; сервер в локации «Москва», Российская Федерация) — предоставление вычислительной среды для сайтов, российского шлюза форм, приложения подписки, основной базы данных и технических журналов;
• АО «амоЦРМ» (ИНН 7709477879, ОГРН 5157746087681; 115093, г. Москва, ул. Люсиновская, д. 38) — получатель данных отдельно отправленной заявки и поставщик облачной CRM: имени, выбранного контакта, источника и идентификатора заявки, адреса страницы, источника перехода и UTM-атрибуции, этапа и статуса; регистрация и сопровождение контакта и сделки, доступ только уполномоченным пользователям Оператора;
• ООО «Банк Точка» (ИНН 9721194461, ОГРН 1237700005157; 109044, г. Москва, 3-й Крутицкий пер., д. 11, помещ. 7Н) — имя, email для чека, сумма и идентификаторы заказа для интернет-эквайринга, регулярных платежей, проверки операций и возвратов;
• ООО «Цифровые инструменты для бизнеса» (ООО «ЦИБ», Digitalkassa; ИНН 1655439168, ОГРН 1201600042335; сервис «Чеки» Точки) — email получателя чека, наименование услуги, сумма, налоговые и платёжные признаки для формирования и направления кассовых чеков;
• Telegram Messenger Inc.; Telegram Group Inc.; Telegraph Inc.; Telegram FZ-LLC — служебные уведомления уполномоченной команде после оплаты, работа бота и клубных каналов; в зависимости от события могут передаваться имя, email, сумма и статус доступа либо Telegram ID, username, сообщения и статусы участия;
• подрядчики технической поддержки — только при наличии договора, поручения на обработку и необходимости доступа;
• государственные органы — при наличии предусмотренного законом основания и запроса.

Статус каждого лица определяется его фактической ролью и договором: поставщики инфраструктуры и CRM могут обрабатывать данные по поручению Оператора, если договор содержит предусмотренные законом условия; оператор эквайринга, фискализации, Telegram и государственные органы могут действовать также как самостоятельные получатели в пределах собственных обязанностей. Поручение должно определять цели, перечень данных и операций, требования конфиденциальности, безопасности, локализации, подтверждения мер, уведомления об инцидентах и удаления.

8. Локализация и трансграничная передача

При сборе персональных данных граждан Российской Федерации их первичная запись, систематизация, накопление, хранение, уточнение и извлечение выполняются в базе данных на территории Российской Федерации.

Сайты, серверный шлюз форм XHEADS Club, основное приложение и основная база данных размещаются у АО «ИОТ» (проект FirstVDS, ИНН 7731399513, ОГРН 1187746221860; сервер в локации «Москва», Российская Федерация). По опубликованной АО «амоЦРМ» информации серверы amoCRM расположены в Российской Федерации. Платёжная форма размещается оператором эквайринга Точки; Оператор не принимает реквизиты карты на своём сервере.

Маршрут данных формы заявки допускается к эксплуатации только через указанных в настоящей Политике получателей. До подключения иного промежуточного сервера, облачного реестра или обработчика Оператор устанавливает его юридическое лицо, роль, страну обработки и договорные условия, обновляет Политику и согласие и исполняет требования о локализации и трансграничной передаче. Неуказанный иностранный транзит или обработка данных заявки не допускаются.

Использование Telegram, включая служебные уведомления об оплате, может включать трансграничную передачу соответствующих данных получателю Telegram Messenger Inc.; Telegram Group Inc.; Telegraph Inc.; Telegram FZ-LLC на территорию: Британские Виргинские Острова (BVI); Объединённые Арабские Эмираты (UAE). До начала такой передачи Оператор определяет правовое основание, оценивает иностранного получателя и выполняет предусмотренные законом обязанности по уведомлению Роскомнадзора.

9. Cookies и аналитика

Сайт не использует рекламные и аналитические cookies, пока иное прямо не указано в интерфейсе. Могут применяться только технические средства, необходимые для безопасности формы и исполнения явно запрошенного действия. При подключении аналитики или необязательных cookies Политика и механизм выбора пользователя подлежат обновлению до начала их использования.

10. Права субъекта

Субъект вправе получать сведения об обработке, требовать уточнения, блокирования или уничтожения неточных, незаконно полученных или избыточных данных, отозвать согласие, потребовать прекращения обработки и обжаловать действия Оператора в Роскомнадзор или суд.

Запрос можно направить в поддержку @mm_welcome. Запрос должен позволять идентифицировать заявителя и связанные данные. Оператор отвечает и прекращает обработку в сроки, установленные законом; при наличии законного основания часть данных может продолжать храниться после отзыва согласия.

11. Удаление и уничтожение

При достижении цели, утрате правового основания или удовлетворении законного требования данные удаляются или обезличиваются в установленные законом сроки. Данные в защищённых резервных копиях удаляются при плановой ротации не позднее 30 дней, если их более длительное хранение не требуется для расследования инцидента или исполнения закона.

12. Меры защиты

Оператор применяет разграничение прав доступа, аутентификацию, защищённые соединения, изоляцию базы данных от публичного доступа, резервное копирование, журналирование значимых действий, обновление программного обеспечения, контроль подрядчиков и процедуры реагирования на инциденты. Состав мер уточняется с учётом характера данных, актуальных угроз и оценки возможного вреда.

13. Рекламные сообщения

Сервисные сообщения об исполнении договора не являются согласием на рекламу. Рекламные и маркетинговые рассылки направляются только при наличии отдельного предварительного согласия, факт которого Оператор может доказать. Отказ от рекламы не влияет на участие в Клубе.

14. Обращения и редакции Политики

Контакты Оператора: @mm_welcome. Актуальная редакция постоянно опубликована по адресу этой страницы.

При изменении целей, состава данных, получателей или способов обработки Оператор предварительно обновляет Политику и, когда это требуется, получает новое согласие и актуализирует уведомления в Роскомнадзор.