Политика конфиденциальности

1. Общие положения

1.1. Политика оператора в отношении обработки персональных данных (далее — Политика) разработана в целях обеспечения защиты прав и свобод субъекта персональных данных при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Основные понятия, используемые в Политике:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
• Смешанная обработка персональных данных — обработка персональных данных человеком с использованием средств вычислительной техники.
• Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
• Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
• Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
• Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
• Оператор персональных данных (оператор) — ИП ТЕРЕНТЬЕВА НАТАЛЬЯ АНДРЕЕВНА, ИНН: 773771943895, ОГРНИП: 326774600096200.
• Сайт — sdalru.com
• Электронная почта — info.sdal.ru@mail.ru

1.3. Оператор, получивший доступ к персональным данным, обязан соблюдать конфиденциальность персональных данных — не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

2. Цели сбора персональных данных

2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

2.2. К целям обработки персональных данных оператора относятся:

• установление и поддержание обратной связи между субъектом и Оператором;
• заключение и исполнение договора.

3. Правовые основания обработки персональных данных

3.1. Правовым основанием обработки персональных данных являются:

• согласие на обработку персональных данных.

3.2. Согласие на обработку персональных данных выражается субъектом посредством проставления знака «V» напротив графы «даю согласие на обработку персональных данных» или путем нажатия кнопки «связаться» или другой кнопки аналогичного функционала на сайте Оператора.

4. Категории и перечень обрабатываемых персональных данных, категории субъектов персональных данных

4.1. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

4.2. Категория обрабатываемых персональных данных: общая.

4.3. Перечень обрабатываемых персональных данных:

• 4.3.1. Для установления и поддержания связи между субъектом и Оператором: E-mail, ФИО.
• 4.3.2. Для заключения договора между Оператором и субъектом: ФИО, E-mail.

4.4. К категориям субъектов персональных данных относятся:

• 4.4.1. Посетители сайта.
• 4.4.2. Клиенты.

5. Права и обязанности сторон

5.1. Оператор имеет право:

• Получать от субъекта персональных данных достоверные сведения.
• В случае отзыва согласия на обработку персональных данных продолжить их обработку при наличии законных оснований.
• Определять перечень мер для выполнения обязанностей, предусмотренных законодательством.

5.2. Оператор обязан:

• Предоставлять Пользователю информацию о его персональных данных.
• Предоставить ответ на запрос Пользователя в течение 30 дней с момента его поступления, если иное не предусмотрено законодательством РФ.
• Организовывать обработку персональных данных в соответствии с законодательством РФ.
• Защищать персональные данные от неправомерного доступа и утечек.
• Обеспечивать неограниченный доступ к настоящей Политике.

5.3. Пользователь имеет право:

• Получать информацию о своих персональных данных.
• Требовать уточнения, блокировки или уничтожения своих персональных данных.
• Отзывать согласие на обработку персональных данных.
• Обжаловать действия Оператора в уполномоченные органы.

5.4. Пользователь обязан:

• Предоставлять Оператору достоверные данные о себе.

6. Порядок и условия обработки персональных данных

6.1. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу, обезличивание, блокирование, удаление, распространение персональных данных.

6.2. Обработка персональных данных осуществляется смешанным способом без передачи по внутренней сети Оператора, с передачей по сети Интернет.

6.3. Оператор не осуществляет трансграничную передачу данных в соответствии с требованием о локализации обработки персональных данных.

6.4. Обработка персональных данных оператором ограничивается достижением конкретных, заранее определенных и законных целей, установленных настоящей Политикой. Обработке подлежат только персональные данные, которые отвечают целям их обработки и указаны в настоящей Политике.

6.5. Источник получения персональных данных — Telegram-бот Оператора: @sdalrubot.

6.6. Местом хранения персональных данных является хостинг-провайдер reg.ru.

6.7. Условием прекращения обработки персональных данных является прекращение деятельности Оператора, а вместе с ним Сайта.

6.8. Срок хранения персональных данных — до момента отзыва согласия на их обработку субъектом обработки.

6.8.1. Для отзыва субъектом согласия на обработку персональных данных он обязан направить письмо на электронный адрес оператора info.sdal.ru@mail.ru с пометкой «отзыв согласия на обработку персональных данных».

6.9. Передача персональных данных третьим лицам возможна в следующих случаях:

• для соблюдения требований законодательства РФ;
• для исполнения условий договоров между Оператором и субъектом обработки персональных данных.

6.10. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных.

6.11. Меры обеспечения безопасности персональных данных:

• назначение оператором ответственного за организацию обработки персональных данных;
• издание оператором документов, определяющих политику оператора в отношении обработки персональных данных;
• ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных;
• установление правил доступа к персональным данным, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными.

6.12. Техническая безопасность:

Защита от несанкционированного доступа:

• Доступ к административной панели — только для учётных записей из утверждённого списка.
• Авторизация администраторов через Telegram OAuth с криптографической проверкой подписи.
• Автоматическое завершение сессии администратора через 2 часа.
• Ограничение частоты запросов к API (rate limiting) — защита от автоматизированных атак.
• Проверка CSRF-токенов на всех критичных операциях.
• SSH-доступ к серверу только по ключу (не по паролю).

Защита передаваемых данных:

• Весь обмен данными с сайтом — через зашифрованное соединение HTTPS (сертификат Let's Encrypt).
• Взаимодействие с Telegram и ЮKassa — через зашифрованные API-каналы.

Защита загружаемых файлов:

• Тройная проверка: расширение файла + MIME-тип + анализ содержимого (сигнатура файла).
• Ограничение размера: до 50 МБ на файл, до 10 файлов на заказ.
• Допускаются только форматы: PDF, DOC, DOCX.

Защита платежей:

• Оплата проходит через сертифицированного провайдера ЮKassa.
• Сервис не обрабатывает и не хранит данные банковских карт.
• Каждый платёж защищён ключом идемпотентности (исключает повторное списание).
• Подтверждение оплаты проверяется через API ЮKassa (не на основании данных от клиента).

Целостность данных:

• Все запросы к базе данных — параметризованные (защита от SQL-инъекций).
• Входные данные от пользователей проходят валидацию и очистку.
• Система ведёт журнал доставки уведомлений для контроля целостности.