Политика обработки персональных данных
1. Общие положения
1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных (далее — ПДн) и меры по обеспечению безопасности ПДн, принимаемые ИП Советский Андрей Викторович (далее — «Оператор»).
1.2. Политика распространяется на все ПДн, обрабатываемые Оператором с использованием средств автоматизации (сайт https://smarthouse23.ru, далее — «Сайт») и без таковых.
1.3. Действие Политики не распространяется на отношения, связанные с обработкой ПДн иностранными юридическими лицами и иными третьими сторонами, к которым посетитель Сайта может перейти по внешним ссылкам.
1.4. Оператор не проверяет достоверность ПДн, предоставляемых субъектом ПДн. Субъект ПДн несёт ответственность за достоверность предоставленных им данных.
2. Основные понятия
- Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
- Обработка ПДн — любое действие (операция) или совокупность действий, совершаемых с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
- Субъект ПДн — физическое лицо, к которому относятся ПДн (посетитель Сайта, клиент Оператора).
- Оператор — лицо, организующее и/или осуществляющее обработку ПДн (см. реквизиты в шапке).
- Cookies — небольшие фрагменты данных, сохраняемые браузером субъекта при посещении Сайта.
3. Категории субъектов и обрабатываемых ПДн
3.1. Оператор обрабатывает ПДн следующих категорий субъектов:
- посетителей Сайта (не оставивших контакты);
- лиц, оставивших заявку через формы Сайта;
- зарегистрированных клиентов (личный кабинет).
3.2. Перечень обрабатываемых ПДн:
| Категория | Состав |
|---|---|
| Контактные данные | Имя, фамилия (по желанию), номер телефона, адрес электронной почты, город |
| Содержание обращения | Текст сообщения, комментарий к заявке, выбранные услуги/товары |
| Данные о сеансе | IP-адрес (в виде криптографического хеша HMAC-SHA256), User-Agent, источник перехода (Referer), идентификаторы cookie сессий, дата/время взаимодействий |
| История заказов | Состав заявок, статусы, переписка с менеджером, история изменения профиля |
| Аутентификационные данные | Пароль (только в виде хеша bcrypt 10 раундов — Оператор не имеет доступа к открытому паролю) |
| Аналитика | Обезличенные данные посещений (агрегированные счётчики Яндекс.Метрики) |
3.3. Специальные и биометрические категории ПДн не обрабатываются.
4. Цели и правовые основания обработки
| № | Цель обработки | Правовое основание |
|---|---|---|
| 4.1 | Приём и обработка заявок с форм Сайта | Согласие субъекта; ст. 6 ч. 1 п. 5 152-ФЗ (исполнение договора по инициативе субъекта) |
| 4.2 | Уведомление клиента о статусе заявки/заказа | Согласие субъекта; исполнение договора |
| 4.3 | Заключение и исполнение договора на услуги | Договор / 152-ФЗ ст. 6 ч. 1 п. 5 |
| 4.4 | Ведение учёта в рамках бухгалтерской и налоговой отчётности | 402-ФЗ «О бухгалтерском учёте», НК РФ. Первичные учётные документы по договорам хранятся Оператором вне Сайта 5 лет; записи о заказах в базе данных Сайта — 3 года (см. п. 5.4) |
| 4.5 | Защита от мошенничества, спама, бот-атак | Законный интерес Оператора (152-ФЗ ст. 6 ч. 1 п. 7) |
| 4.6 | Веб-аналитика (Яндекс.Метрика, без записи форм) | Согласие субъекта (cookie-баннер) |
Оператор не использует ПДн для целей: профилирования с правовыми последствиями для субъекта; принятия решений на основе исключительно автоматизированной обработки; рекламных рассылок без отдельного согласия.
5. Порядок и условия обработки
5.1. Локализация. В соответствии со ст. 18 ч. 5 152-ФЗ запись, систематизация, накопление, хранение, уточнение, извлечение ПДн граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации.
5.2. Сбор. ПДн собираются исключительно при добровольном предоставлении субъектом через формы Сайта, регистрации личного кабинета или переписки с менеджером.
5.3. Согласие. Перед отправкой формы субъект подтверждает согласие на обработку ПДн чекбоксом и ссылкой на настоящую Политику. Факт согласия (timestamp, версия Политики, текст согласия) фиксируется в базе данных Оператора.
5.4. Сроки хранения:
| Категория данных | Срок хранения |
|---|---|
| Активные заявки (Lead со статусом «Новая», «В работе») | До закрытия статуса |
| Закрытые/отклонённые заявки (CLOSED, REJECTED) | 365 дней с момента закрытия, затем автоматическое удаление |
| Заказы в финальных статусах (DONE, CANCELLED) | 1095 дней (3 года) — для целей бухгалтерского учёта и разрешения споров |
| Журнал действий администратора | 90 дней |
| Cookies сессий | Админская (sh_admin) — 14 дней; клиентская (sh_user) и корзина — 30 дней с момента последней активности |
| Использованные токены восстановления пароля | 7 дней |
| Хеши IP в журнале действий администратора | 90 дней (вместе с журналом) |
| Хеши IP в буферах rate-limit (защита от перебора) | В оперативной памяти, до 1 часа; не персистятся |
По истечении сроков ПДн автоматически удаляются или анонимизируются (заказы — с обезличиванием имени/телефона, остальные категории — физическое удаление). Ежедневная процедура очистки задокументирована.
5.5. Меры защиты:
- Передача данных по защищённым каналам (HTTPS TLS 1.2/1.3, HSTS).
- Парольная аутентификация с bcrypt-хешированием (10 раундов), без хранения открытых паролей.
- Изолированные сессии администратора и клиента с независимыми криптографическими ключами (AES-256, iron-session).
- Защита от CSRF на всех изменяющих API.
- Rate-limit и блокировка после неудачных попыток входа.
- Резервное копирование с обязательным шифрованием AES-256-GCM, KDF scrypt.
- Защита от XSS: sanitize-html whitelist, CSP-заголовки.
- Доступ к административной панели — только по индивидуальной учётной записи с журналированием действий.
- Регулярные аудиты безопасности.
6. Передача ПДн третьим лицам
6.1. Оператор передаёт ПДн третьим лицам исключительно при наличии законных оснований и в минимально необходимом объёме.
6.2. Перечень обработчиков (получателей ПДн):
| Получатель | Назначение | Состав передаваемых данных |
|---|---|---|
| ООО «ЯНДЕКС» (ИНН 7736207543), сервис Яндекс.Метрика | Веб-аналитика (агрегированная статистика посещений) | Cookies, обезличенные действия посетителя |
| Telegram Messenger Inc. (международный сервис) | Push-уведомление владельцу о факте новой заявки. ПДн субъекта НЕ передаются | Номер заявки, ссылка на админ-панель |
| ООО «Таймвеб» (ИНН 7810747017), сервис TimeWeb Mail | Доставка email-уведомлений менеджеру (серверы в РФ) | Имя, телефон, email, текст обращения, состав корзины |
| ООО «Таймвеб» (ИНН 7810747017), сервис TimeWeb VPS | Размещение сервера и данных в РФ | Все обрабатываемые ПДн на правах хранения |
6.3. Передача ПДн в государственные органы осуществляется в случаях и порядке, установленных законодательством РФ.
6.4. Трансграничная передача ПДн не осуществляется. Telegram используется исключительно как канал push-уведомления для владельца Сайта — в Telegram передаётся только технический идентификатор заявки и ссылка для перехода в админ-панель, без каких-либо ПДн субъекта. Содержание заявки менеджер просматривает в защищённой админ-панели на российском сервере.
7. Cookies и аналогичные технологии
7.1. Сайт использует cookies следующих категорий:
| Категория | Назначение | Управление |
|---|---|---|
| Технические (обязательные) | Авторизация (sh_admin, sh_user), CSRF-защита (sh_csrf), корзина (sh_cart), выбор темы (sh-theme) | Используются всегда |
| Аналитические | Я.Метрика — обезличенный учёт посещаемости. Запись действий (Webvisor) отключена | Запрашивается согласие при первом визите; можно отозвать через «Настройки cookies» в подвале |
7.2. Все cookies, относящиеся к ПДн, передаются по защищённому соединению (HTTPS) с флагами httpOnly (для серверных сессий) и Secure.
7.3. Субъект может отключить cookies в настройках браузера. Без технических cookies авторизация и корзина работать не будут.
8. Права субъекта ПДн
Субъект ПДн имеет право (152-ФЗ, гл. 3):
8.1. Получить информацию о факте обработки своих ПДн, целях, способах, сроках, перечне (запрос в свободной форме на info@smarthouse23.ru, ответ в течение 10 рабочих дней).
8.2. Требовать уточнения, блокирования или уничтожения своих ПДн, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
8.3. Отозвать согласие на обработку ПДн. После отзыва согласия Оператор прекращает обработку и уничтожает ПДн в течение 30 дней, за исключением случаев, когда хранение требуется законодательством (например, бухгалтерская отчётность).
8.4. Удалить аккаунт самостоятельно через личный кабинет (/account/profile → «Удалить аккаунт»). При этом:
- Все активные корзины, токены восстановления пароля и запись клиента удаляются.
- Записи о заказах сохраняются для целей бухгалтерского учёта в обезличенном виде (имя/телефон/email заменяются на маркер «[удалён]»).
8.5. Обжаловать действия Оператора в Роскомнадзоре или в судебном порядке.
9. Порядок обращений
9.1. Запросы и обращения по вопросам обработки ПДн направляются на адрес электронной почты info@smarthouse23.ru или почтой на адрес Оператора.
9.2. Ответственное лицо за организацию обработки ПДн: ИП Советский Андрей Викторович(тел. +7 (993) 325-80-80).
9.3. Срок ответа на обращение — не более 30 календарных дней с даты получения (10 рабочих дней для запроса информации).
9.4. Жалоба в надзорный орган: Роскомнадзор, сайт rkn.gov.ru, страница подачи: rkn.gov.ru/treatments/ask-question/.
10. Изменения политики
10.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента публикации на Сайте, если иное не предусмотрено новой редакцией.
10.2. Действующая редакция Политики постоянно доступна по адресу https://smarthouse23.ru/privacy.
10.3. История изменений ведётся Оператором; по запросу субъект может получить предыдущие редакции.