Политика конфиденциальности ООО «Командор»

1. Общие положения

1.1. Настоящий документ — политика Компании в отношении обработки персональных данных. Он опубликован во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).

1.2. Политика объясняет: какие персональные данные обрабатывает Компания, для каких целей, на каких правовых основаниях, какими способами, как долго хранит, кому передаёт и как субъект персональных данных может реализовать свои права.

1.3. Политика применяется к Сервису Компании — userly.ru (далее — Сервис). Специфика Сервиса раскрыта в приложении к настоящей Политике; пункты приложения обозначаются префиксом «П».

1.4. Политика состоит из универсальной части (разделы 1–22) и приложения, в котором раскрыта специфика Сервиса: конкретный состав данных, перечень процессов обработки, сроки хранения, состав cookies, адреса и контакты. Универсальная часть приведена полностью и без изменений, кроме положений, которые в Сервисе не применяются и прямо названы неприменимыми; её нумерация совпадает с нумерацией универсальной части Политики в редакции, утверждённой Компанией.

1.5. Приложение является неотъемлемой частью Политики и дополняет её применительно к Сервису. При расхождении применяется универсальная часть, кроме прямо обозначенного в приложении уточнения, которое не может ухудшать положение субъекта персональных данных.

1.6. Универсальная часть Политики не изменяется при изменении перечня пункта 1.3.

1.7. Политика раскрывает практики Компании и не устанавливает обязанностей Пользователя. Взаимные права и обязанности Компании и Пользователя определяются Соглашением.

1.8. Политика распространяется только на обработку персональных данных, которую осуществляет сама Компания. Она не применяется к обработке, которую другие лица осуществляют самостоятельно, в том числе к обработке, которую Оператор осуществляет своими средствами после получения от Компании результатов обработки, выполненной по его поручению.

1.9. Ссылки внутри Политики и на Соглашение указываются по наименованию документа и номеру раздела или пункта.

1.10. Обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации.

1.11. Действующая редакция Политики размещается в открытом доступе на сайте Сервиса, перечисленных в пункте 1.3. Порядок изменения Политики — в разделе 20.

2. Термины

2.1. В Политике используются следующие термины. Те же термины в том же значении используются в Соглашении.

2.2. Термин «субъект персональных данных» используется в значении Закона о персональных данных: физическое лицо, к которому относятся персональные данные. Субъектом персональных данных может быть Пользователь, Потребитель, представитель или работник Клиента либо иного контрагента Компании, Посетитель, а также лицо, чьи персональные данные содержатся в Контенте.

2.3. Термин «уполномоченный орган» означает федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

3. Сведения об Операторе и об ответственном за организацию обработки

3.1. Оператор персональных данных:

3.2. Ответственный за организацию обработки персональных данных — генеральный директор: Бутенин С.Н. Контакты для обращений к ответственному: адрес электронной почты support@userly.ru.

3.3. Ответственный организует обработку обращений субъектов и контроль соблюдения требований законодательства о персональных данных.

3.4. Компания обязана уведомить уполномоченный орган об обработке персональных данных в порядке статьи 22 Закона о персональных данных и исполняет эту обязанность до начала обработки, а в отношении обработки, начатой ранее, — до вступления в силу настоящей редакции Политики. Компания направляет уполномоченному органу сведения об изменении содержащихся в уведомлении сведений в сроки, установленные законом. Уведомление № 100408386 направлено через портал Роскомнадзора с аутентификацией через ЕСИА 2 сентября 2026 года.

3.5. На дату подготовки настоящей редакции внесение сведений о Компании в реестр операторов персональных данных находится в процессе оформления. После внесения записи Компания дополнит настоящую Политику её номером и датой.

3.6. Дата начала обработки персональных данных, указанная в направленном уведомлении об обработке: 19 февраля 2010 года. Если даты начала обработки различаются по информационным системам Компании, они указываются в приложении.

3.7. Общие контакты для обращений субъектов персональных данных приведены в разделе 21. Контакты Сервиса — в приложении.

4. Роли Компании: Оператор и лицо, обрабатывающее данные по поручению

4.1. Компания выступает в двух разных ролях. Объём её обязанностей и адресат обращения субъекта персональных данных зависят от того, в какой роли Компания обрабатывает конкретные данные. Роль Компании в Сервисе указана в приложении.

4.2. Компания как Оператор. В этой роли Компания самостоятельно определяет цели обработки, состав персональных данных и совершаемые с ними действия. Компания несёт перед субъектом персональных данных ответственность за законность обработки. В роли Оператора Компания обрабатывает, в частности, данные Учётных записей, данные, необходимые для предоставления доступа к Сервису, расчётов и Подписки, данные обращений в поддержку, а также технические данные, обрабатываемые для обеспечения безопасности.

4.2.1. Действуя как Оператор, Компания в отдельных случаях передаёт персональные данные лицу, которое определяет цели их дальнейшей обработки самостоятельно и потому действует как самостоятельный Оператор (пункт 11.7). Такая передача не является поручением обработки (пункт 4.3): Компания не даёт получателю указаний, не определяет цели и способы его обработки и на неё не влияет. Передача осуществляется только при наличии правового основания, которым — в отсутствие обязанности, возложенной законом, — служит согласие субъекта персональных данных (пункт 1 части 1 статьи 6 Закона о персональных данных), и только в объёме, охваченном этим согласием. Обработка, которую получатель осуществляет самостоятельно, регулируется его собственной политикой, и настоящая Политика к ней не применяется (пункт 1.8). Случаи такой передачи указаны в приложении.

4.2.2. Передача самостоятельному Оператору не освобождает Компанию от обязанностей Оператора. В отношении обработки, которую Компания осуществляет до передачи и при передаче, она остаётся Оператором со всеми обязанностями, установленными Законом о персональных данных. В частности, Компания обязана предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных (часть 3 статьи 9 Закона о персональных данных, пункт 8.3), обеспечить соответствие такого согласия требованиям конкретности, предметности, информированности, сознательности и однозначности (часть 1 статьи 9 Закона о персональных данных) и обеспечить возможность отозвать согласие в любое время (часть 2 статьи 9 Закона о персональных данных, пункт 8.7). До передачи Компания сообщает субъекту персональных данных сведения о получателе и о составе передаваемых персональных данных в объёме, установленном приложением по соответствующему Сервису.

4.3. Компания как лицо, обрабатывающее персональные данные по поручению Оператора (часть 3 статьи 6 Закона о персональных данных). В этой роли:

4.3.1. Компания обрабатывает персональные данные по поручению другого лица, которое и является Оператором, на основании договора с ним;

4.3.2. Компания не определяет цели обработки и состав обрабатываемых персональных данных — их определяет Оператор в своём поручении;

4.3.3. Компания совершает только те действия с персональными данными, которые предусмотрены поручением, и в течение срока, определённого поручением;

4.3.4. Компания обязана соблюдать принципы и правила обработки, предусмотренные Законом о персональных данных, обеспечивать конфиденциальность персональных данных и их безопасность при обработке, выполнять требования статьи 19 Закона о персональных данных;

4.3.5. Компания не обязана получать согласие субъекта персональных данных на обработку — обязанность получить согласие или обеспечить иное правовое основание лежит на Операторе;

4.3.6. ответственность перед субъектом персональных данных за действия Компании несёт Оператор (часть 5 статьи 6 Закона о персональных данных). Компания несёт ответственность перед Оператором.

4.4. Компания обрабатывает персональные данные по поручению, в частности, в следующих случаях; перечень таких случаев в Сервисе раскрывается приложением:

4.4.1. Содержимое Контента, загружаемого Пользователем в Сервис для обработки. В таком Контенте могут содержаться персональные данные третьих лиц, которые не являются Пользователями и не вступали с Компанией в отношения. Оператором в отношении этих данных является Пользователь, загрузивший Контент: он определяет их состав и цель обработки и обязан иметь правовое основание для их обработки. Компания состав таких данных не контролирует;

4.4.2. Данные Посетителей сайтов Клиентов, собираемые программным кодом Сервиса, который Клиент самостоятельно установил на свой сайт. Оператором в отношении этих данных является Клиент. Он определяет состав собираемых событий и режим работы Сервиса, обязан информировать Посетителей об обработке и обеспечить правовое основание такой обработки. Подробности — в приложении.

4.5. В роли лица, обрабатывающего данные по поручению, Компания не использует персональные данные в собственных целях, не объединяет их с данными, полученными от других Операторов, и не передаёт третьим лицам иначе как по поручению Оператора или в случаях, прямо предусмотренных законом.

4.6. Если субъект персональных данных обратится к Компании по поводу данных, которые Компания обрабатывает по поручению, Компания в срок, не превышающий трёх рабочих дней с даты получения обращения, перенаправит обращение Оператору, сообщит об этом обратившемуся и окажет Оператору содействие в исполнении его обязанностей. Указанный срок применяется ко всем случаям перенаправления обращений и является единственным сроком, установленным Политикой для этого действия (пункт 18.12). Самостоятельно предоставить сведения, уточнить, заблокировать или уничтожить такие данные Компания вправе только по указанию Оператора либо в случаях, предусмотренных законом.

4.7. Возможен вариант использования программного обеспечения Компании, при котором персональные данные обрабатываются исключительно в информационной инфраструктуре Клиента и Компании не передаются. В этом случае Компания персональные данные не обрабатывает и Оператором не является; настоящая Политика к такой обработке не применяется (пункт 1.8 и приложение).

5. Принципы обработки

5.1. Компания обрабатывает персональные данные на законной и справедливой основе.

5.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Обработка, несовместимая с целями сбора персональных данных, не допускается.

5.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

5.4. Обработке подлежат только те персональные данные, которые отвечают целям обработки.

5.5. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Избыточность обрабатываемых данных по отношению к заявленным целям не допускается.

5.6. Компания обеспечивает точность персональных данных, их достаточность, а в необходимых случаях — актуальность по отношению к целям обработки. Компания принимает необходимые меры по удалению или уточнению неполных или неточных данных.

5.7. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной которого является субъект персональных данных.

5.8. По достижении целей обработки или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются или обезличиваются, если иное не предусмотрено федеральным законом. Порядок и сроки уничтожения — в разделе 13.

5.9. Компания обеспечивает конфиденциальность персональных данных: не раскрывает их третьим лицам и не распространяет без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Раздел 9 и раздел 11 конкретизируют это правило, включая единственное изъятие из него, установленное пунктом 9.8.

6. Категории субъектов и категории персональных данных

6.1. Компания обрабатывает персональные данные следующих категорий субъектов:

6.1.1. Пользователи Сервиса — физические лица, в том числе Потребители;

6.1.2. Клиенты — индивидуальные предприниматели, а также представители и работники Клиентов — юридических лиц;

6.1.3. Посетители сайтов Клиентов;

6.1.4. лица, чьи персональные данные содержатся в Контенте, загружаемом Пользователями;

6.1.5. представители и работники контрагентов Компании, не являющихся Клиентами, — в объёме, необходимом для заключения и исполнения договора с таким контрагентом. К этой категории относятся, в частности, лица, подписавшие от имени контрагента заявку на подключение к отдельной функциональности Сервиса, и контактные лица, указанные в такой заявке.

6.2. Компания обрабатывает персональные данные следующих категорий. Перечень является родовым: конкретный состав данных, обрабатываемых в Сервисе, приведён в приложении, и Сервис не обрабатывает все перечисленные категории одновременно.

6.3. Специальные категории персональных данных (статья 10 Закона о персональных данных) — сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни, а также сведения о судимости — Компания целенаправленно не собирает и не обрабатывает.

6.3.1. Такие сведения могут оказаться в Контенте, который Пользователь загружает в Сервис, — например, в медицинских документах. Состав этих данных определяет Пользователь; Компания его не контролирует и обрабатывает такой Контент только по поручению Пользователя (пункт 4.4.1). Обязанность иметь правовое основание для обработки специальных категорий персональных данных, содержащихся в Контенте, лежит на Пользователе. Ограничения на загрузку такого Контента установлены пунктами 7.4 и 13.6 Соглашения.

6.4. Биометрические персональные данные (статья 11 Закона о персональных данных) Компания не собирает и не использует для установления личности субъекта персональных данных. Изображения и графические подписи, которые могут содержаться в Контенте, для установления личности Компанией не используются. Компания не размещает биометрические персональные данные в единой биометрической системе и в иных государственных информационных системах и не осуществляет идентификацию или аутентификацию с использованием биометрических персональных данных.

6.5. Компания не собирает персональные данные, не относящиеся к целям, указанным в разделе 7.

6.6. Источники получения персональных данных: сами субъекты персональных данных; Клиенты — в отношении данных своих представителей и данных, передаваемых Клиентом из своих информационных систем; программное обеспечение Сервиса — в отношении технических данных, формируемых при обращении к Сервису; Контент, загружаемый Пользователями. Компания не приобретает персональные данные у брокеров данных и не получает их из иных внешних источников.

7. Цели обработки и правовые основания

7.1. Компания применяет закрытый перечень правовых оснований обработки:

Иные основания, предусмотренные частью 1 статьи 6 Закона о персональных данных, Компания не применяет.

7.2. Цели обработки и правовое основание каждой цели:

7.3. Перечень процессов обработки в Сервисе с указанием цели, правового основания и состава обрабатываемых персональных данных приведён в приложении; сроки хранения по каждому процессу указаны в пунктах приложения, посвящённых срокам хранения.

7.4. Компания не принимает в отношении субъекта персональных данных решений, порождающих юридические последствия или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных (статья 16 Закона о персональных данных). Если такая обработка будет введена, Компания предварительно получит согласие субъекта персональных данных в письменной форме, разъяснит порядок принятия решения, возможные юридические последствия и порядок заявления возражений.

7.5. Компания не использует персональные данные для целей, не указанных в пункте 7.2 и в приложении.

7.6. Цели, указанные в пунктах 7.2.7, 7.2.10, 7.2.16 и 7.2.17, относятся к Сервису в целом и в приложении отдельными процессами не раскрываются:

7.6.1. в цели, указанной в пункте 7.2.7, обрабатываются сведения, содержащиеся в обращении субъекта персональных данных и в материалах его рассмотрения, включая сведения, предусмотренные пунктом 18.6. Учёт обращений и материалы их рассмотрения хранятся в срок, установленный пунктом 13.4.3;

7.6.2. в цели, указанной в пункте 7.2.10, обрабатывается адрес электронной почты Пользователя, давшего согласие. Обработка в этой цели не осуществляется до момента, когда в Сервисе появится элемент интерфейса, позволяющий дать и отозвать такое согласие (пункт 8.3); срок обработки — до отзыва согласия, уничтожение — в порядке пункта 13.3;

7.6.3. в цели, указанной в пункте 7.2.16, обрабатываются идентификационные и контактные данные, данные Учётной записи и технические данные представителей и работников Клиента либо иного контрагента Компании, а также сведения о полномочиях лица, подписавшего от имени такого контрагента заявку или договор; срок обработки — в течение срока действия договора с этим контрагентом и в пределах сроков, указанных в приложении;

7.6.4. в цели, указанной в пункте 7.2.17, обрабатываются персональные данные, которые уже обрабатывались Компанией в иных целях, указанных в пункте 7.2; дополнительный сбор персональных данных для этой цели не производится. Обработка в этой цели ограничивается хранением и предоставлением данных по требованию уполномоченных органов и суда (пункт 13.5); срок — по пункту 13.4.3.

8. Согласие: порядок дачи, содержание, отзыв и его последствия

8.1. Согласие субъекта персональных данных требуется там, где оно указано в пункте 7.2 и в приложении как правовое основание, а также в случае, указанном в пункте 9.8 (согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения). Для остальных целей обработка ведётся на иных основаниях из пункта 7.1, и согласие не запрашивается.

8.2. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оно даётся свободно, своей волей и в своём интересе (статья 9 Закона о персональных данных).

8.3. Согласие даётся в форме, позволяющей подтвердить факт его получения: отметкой в отдельном элементе интерфейса Сервиса, включением соответствующей настройки, подписанным документом на бумажном носителе или электронным документом. Обязанность доказать факт получения согласия лежит на Компании.

8.4. Компания не оформляет согласие одной общей отметкой на все цели сразу. На каждую цель, для которой основанием служит согласие, берётся отдельное согласие. Элементы интерфейса, которыми выражается согласие, не отмечены заранее. Исключение составляет отметка, ранее проставленная самим Пользователем и сохранённая на его устройстве средствами Сервиса: при повторном обращении она показывается проставленной. Это отображение ранее выраженного Пользователем согласия, а не предварительная отметка Компанией; Пользователь может снять её в том же элементе, и она перестаёт действовать.

8.5. Согласие не является условием доступа к Сервису. Отказ дать согласие или его последующий отзыв не влекут отказа в заключении договора, ограничения функциональности Сервиса и не ухудшают условия обслуживания, за исключением той функциональности, которая без такой обработки объективно не может работать.

8.6. Обработка персональных данных в целях продвижения услуг Компании на рынке путём прямых контактов с помощью средств связи, а также направление рекламы допускаются только с предварительного согласия субъекта персональных данных (часть 1 статьи 15 Закона о персональных данных, часть 1 статьи 18 Федерального закона «О рекламе»). Компания не направляет сообщения рекламного характера при отсутствии такого согласия и не выводит его из факта заключения договора или использования Сервиса. Сервисные сообщения, необходимые для исполнения договора, рекламой не являются и направляются на основании пункта 5 части 1 статьи 6 Закона о персональных данных.

8.7. Согласие может быть отозвано в любой момент. Отзыв направляется тем же способом, которым согласие было дано, либо в порядке, предусмотренном разделом 18. Для отзыва согласия, выраженного настройкой в интерфейсе Сервиса, достаточно выключить эту настройку.

8.8. Последствия отзыва согласия:

8.8.1. Компания прекращает обработку персональных данных, которая велась на основании согласия, и уничтожает такие данные в срок, не превышающий 30 дней с даты поступления отзыва (часть 5 статьи 21 Закона о персональных данных), если иное не предусмотрено договором, стороной которого является субъект персональных данных, либо федеральным законом;

8.8.2. если те же персональные данные обрабатываются также на другом основании из пункта 7.1 — например, необходимы для исполнения договора или для исполнения обязанности, возложенной законом, — Компания вправе продолжить их обработку в этой части и в этих целях без согласия (часть 2 статьи 9 Закона о персональных данных). Компания сообщает субъекту персональных данных, какие данные и почему продолжают обрабатываться;

8.8.3. функциональность Сервиса, которая работала только благодаря согласию, становится недоступной. Доступ к остальной функциональности сохраняется. Последствия отзыва согласия для доступа к Сервису в целом описаны в пункте 18.11.

8.9. Если субъект персональных данных дал согласие лицу, действующему в качестве Оператора, а Компания обрабатывает данные по его поручению (пункт 4.4), отзыв согласия направляется этому Оператору. Компания перенаправит поступивший к ней отзыв в соответствии с пунктом 4.6.

8.10. Форма и содержание согласия. Если закон не требует письменной формы, согласие даётся способом, позволяющим подтвердить его получение (пункт 8.3). В нём определяются цель, данные, действия, срок и способ отзыва. Паспортные сведения не запрашиваются только ради такого согласия. Согласие оформляется отдельно от иных подтверждаемых или подписываемых документов. Согласие на распространение в Сервисе не запрашивается (пункт 9.8). Когда закон требует письменного согласия, используется подписанный бумажный документ либо электронный документ, подписанный электронной подписью в соответствии с законом. Такое согласие включает сведения по части 4 статьи 9 Закона о персональных данных:

8.10.1. фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

8.10.2. фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия представителя, — если согласие даётся представителем;

8.10.3. наименование и адрес Компании как Оператора, получающего согласие (пункт 3.1);

8.10.4. цель обработки персональных данных;

8.10.5. перечень персональных данных, на обработку которых даётся согласие;

8.10.6. наименование и адрес лица, осуществляющего обработку персональных данных по поручению Компании, если обработка поручена такому лицу;

8.10.7. перечень действий с персональными данными, на совершение которых даётся согласие, и общее описание используемых Компанией способов обработки;

8.10.8. срок, в течение которого действует согласие, и способ его отзыва;

8.10.9. подпись субъекта персональных данных. Обычная отметка в интерфейсе не заменяет письменное согласие, если законом требуется именно такая форма.

8.11. Форма согласия утверждается Компанией и доводится до субъекта персональных данных до момента дачи согласия. Экземпляр согласия либо иное подтверждение факта его получения предоставляется субъекту персональных данных по его запросу в порядке раздела 18.

9. Распространение персональных данных: отказ от такой практики

9.1. Компания не распространяет персональные данные — не совершает действий, направленных на раскрытие персональных данных неопределённому кругу лиц (пункт 5 статьи 3 Закона о персональных данных). Настоящее правило является общим правилом Политики и применяется в Сервисе без изъятий (пункт 9.8).

9.2. Компания не запрашивает согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения (статья 10.1 Закона о персональных данных), и не считает такое согласие данным.

9.3. Ни условия Соглашения, ни факт использования Сервиса, ни принятие настоящей Политики не являются согласием на распространение персональных данных. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешённых для распространения (часть 8 статьи 10.1 Закона о персональных данных).

9.4. Персональные данные Пользователя не размещаются в открытом доступе, не публикуются, не предоставляются другим Пользователям и не становятся доступны неопределённому кругу лиц в связи с использованием Сервиса.

9.5. Персональные данные не признаются общедоступными в силу использования Сервиса или принятия настоящей Политики. Общедоступными персональные данные могут стать исключительно при наличии отдельного согласия субъекта персональных данных, оформленного по правилам статьи 10.1 Закона о персональных данных и требованиям уполномоченного органа, либо в случаях, прямо предусмотренных федеральным законом.

9.6. Если субъект персональных данных сам разместил свои персональные данные в общедоступном источнике, это не даёт Компании права обрабатывать их сверх целей, указанных в разделе 7.

9.7. Передача персональных данных отдельным получателям в целях, указанных в разделе 11, распространением не является и осуществляется в порядке раздела 11.

9.8. Изъятий из пункта 9.1 не установлено. Сервис не формирует документов, содержащих персональные данные, для размещения в объектных хранилищах с публичным режимом доступа и не раскрывает персональные данные неопределённому кругу лиц никаким иным способом. Согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения (статья 10.1 Закона о персональных данных), в Сервисе не требуется и не запрашивается.

9.9. Положения пунктов 9.1–9.7 применяются без изъятий ко всем процессам обработки в Сервисе.

10. Способы обработки и перечень совершаемых действий

10.1. Обработка персональных данных ведётся смешанным способом: с использованием средств вычислительной техники (автоматизированная обработка) и без их использования (неавтоматизированная обработка), с передачей данных по информационно-телекоммуникационной сети «Интернет».

10.2. Компания совершает следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) в пределах раздела 11, обезличивание, блокирование, удаление, уничтожение.

10.3. Компания не совершает действия по распространению персональных данных (раздел 9).

10.4. Сбор персональных данных осуществляется: непосредственно от субъекта персональных данных при использовании Сервиса; автоматически при обращении программного обеспечения или устройства субъекта к Сервису; от Клиента — в отношении данных его представителей и данных, передаваемых Клиентом из своих информационных систем.

10.5. Доступ к персональным данным внутри Компании предоставляется только работникам, которым он необходим для выполнения трудовых обязанностей, в объёме, соответствующем их задачам. Работники, допущенные к обработке, ознакомлены с требованиями законодательства и обязаны соблюдать конфиденциальность.

10.6. Перечень действий, совершаемых с персональными данными в каждом процессе обработки, приведён в приложении.

11. Передача третьим лицам и поручение обработки

11.1. Компания передаёт персональные данные только тем категориям получателей, которые перечислены в пункте 11.3, и только в указанных там целях. Перечень является закрытым. Передача персональных данных иным лицам и в иных целях не осуществляется.

11.2. Компания не продаёт персональные данные, не передаёт их рекламным сетям, брокерам данных и иным лицам для формирования рекламных профилей, не обменивается персональными данными с другими лицами в целях, не указанных в пункте 11.3.

11.3. Категории получателей персональных данных:

11.4. Перечень конкретных лиц, привлекаемых Компанией к обработке по её поручению: ООО «Яндекс.Облако» (ИНН 7704458262, ОГРН 1187746678580) — размещение баз данных и объектных хранилищ, отправка сообщений электронной почты и вычислительные ресурсы. Отдельный получатель данных аналитики публичного сайта — ООО «Яндекс» при использовании Яндекс Метрики на лендинге; состав и границы процесса определены в пунктах П.8.2–П.8.5.

11.5. Поручение обработки оформляется договором, который в обязательном порядке определяет перечень персональных данных, обрабатываемых по поручению, перечень действий (операций) с персональными данными, цели обработки, обязанность соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке, а также требования к защите обрабатываемых персональных данных в соответствии со статьёй 19 Закона о персональных данных (часть 3 статьи 6 Закона о персональных данных). Компания не поручает обработку без такого договора.

11.6. Компания остаётся ответственной перед субъектом персональных данных за действия лиц, которым она поручила обработку, в тех случаях, когда сама Компания выступает Оператором.

11.7. Если получатель определяет цели обработки самостоятельно, он действует как самостоятельный Оператор и несёт собственную ответственность перед субъектом персональных данных. К таким получателям относятся, в частности, организации, обеспечивающие приём платежей, в части платёжной операции, а также уполномоченные органы. Обработка персональных данных такими лицами регулируется их собственными политиками.

11.8. Компания раскрывает персональные данные по требованию государственных органов только при наличии законного основания и в объёме, указанном в требовании. Компания проверяет полномочия запрашивающего лица и соответствие требования закону.

12. Cookies и аналогичные технологии

12.1. Cookies — небольшие текстовые файлы, которые сохраняются в браузере при использовании сайта. К аналогичным технологиям относятся локальное хранилище браузера, хранилище расширения браузера, идентификаторы сессии и иные технические идентификаторы.

12.2. Компания использует cookies и аналогичные технологии следующих категорий:

12.3. Строго необходимые cookies устанавливаются без отдельного согласия: без них предоставление Сервиса невозможно. Отключить их средствами Сервиса нельзя; при их блокировании средствами браузера Сервис работать не будет.

12.4. Порядок использования Яндекс Метрики на лендинге, состав передаваемых сведений, cookies и способы ограничения сбора описаны в пунктах П.8.2–П.8.5.

12.4.1. Если в Сервисе используются cookies только строго необходимой категории, элемент интерфейса для дачи согласия не требуется; такой Сервис указан в приложении с прямым указанием на настоящий пункт.

12.5. Рекламных cookies и cookies, предназначенных для формирования рекламных профилей и отслеживания субъекта персональных данных на сторонних сайтах, Компания не устанавливает. Если в Сервисе применяется иной подход, это прямо указано в приложении к настоящей Политике.

12.6. Субъект персональных данных может удалить сохранённые cookies и запретить их установку в настройках своего браузера. Последствием может стать невозможность входа в Учётную запись и частичная неработоспособность Сервиса.

12.7. Конкретный перечень cookies и данных локального хранилища в Сервисе приведён в приложении.

12.8. При переходе Пользователя на страницы иных лиц, в том числе на страницы оплаты, размещённые на стороне организации, обеспечивающей приём платежей, такие лица могут использовать собственные cookies. Компания на них не влияет и в рекламных целях их не использует.

13. Сроки обработки и хранения, порядок уничтожения

13.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки. Конкретные сроки хранения по каждому процессу обработки указаны в приложении.

13.2. Общее правило: по достижении цели обработки или в случае утраты необходимости в её достижении Компания прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты достижения цели (часть 4 статьи 21 Закона о персональных данных), если иное не предусмотрено договором, стороной которого является субъект персональных данных, либо федеральным законом.

13.3. В случае отзыва согласия персональные данные, обрабатывавшиеся на основании согласия, уничтожаются в срок, не превышающий 30 дней с даты поступления отзыва (часть 5 статьи 21 Закона о персональных данных), с учётом пункта 8.8.2.

13.4. Дольше указанных сроков персональные данные хранятся только в случаях, когда это необходимо для:

13.4.1. исполнения обязанности, возложенной законодательством, — в частности, первичные учётные документы, регистры бухгалтерского учёта и бухгалтерская отчётность хранятся не менее 5 лет после отчётного года (часть 1 статьи 29 Федерального закона «О бухгалтерском учёте»); документы, необходимые для исчисления и уплаты налогов, — в сроки, установленные Налоговым кодексом Российской Федерации;

13.4.2. исполнения договора, стороной которого является субъект персональных данных, — в течение срока действия договора;

13.4.3. защиты прав и законных интересов Компании или третьих лиц, в том числе при урегулировании претензий и споров (цель, указанная в пункте 7.2.17), — до истечения срока исковой давности по соответствующему требованию.

13.5. В случаях, предусмотренных пунктом 13.4, дальнейшая обработка ограничивается хранением и предоставлением данных по требованию уполномоченных органов; для остальных целей данные не используются.

13.6. Если уничтожение персональных данных в установленный срок технически невозможно, Компания блокирует персональные данные, прекращает их использование и обеспечивает уничтожение в срок, не превышающий шести месяцев, если иной срок не установлен федеральным законом (часть 6 статьи 21 Закона о персональных данных).

13.7. Уничтожение персональных данных производится способом, исключающим их дальнейшее восстановление и использование, в информационных системах и в резервных копиях. Факт уничтожения фиксируется в порядке, установленном требованиями уполномоченного органа к подтверждению уничтожения персональных данных: составляется акт об уничтожении персональных данных, а при уничтожении данных, содержащихся в информационной системе, — также выгрузка из журнала регистрации событий в информационной системе. Указанные документы хранятся Компанией в течение срока, установленного требованиями уполномоченного органа, и предоставляются субъекту персональных данных или уполномоченному органу по запросу.

13.7.1. Резервные копии размещаются в ЦОДах ООО «Яндекс.Облако» в Российской Федерации и хранятся не более 30 календарных дней со дня создания. Удалённые данные не используются для новых целей; восстановление копии не отменяет ранее исполненных требований об удалении. Срок копии не продлевает применимый срок уничтожения персональных данных.

13.8. Обезличивание для статистики выполняется на законном основании и не освобождает Компанию от требований к обработке персональных данных. Замена идентификатора или отделение сведений о человеке от остальных данных сами по себе не делают данные анонимными. Анонимной считается только обобщённая статистика, которая не относится к определённому или определяемому лицу, в том числе при сопоставлении с доступной дополнительной информацией. Обезличивание не заменяет обязательное уничтожение данных.

13.9. В отношении данных, обрабатываемых по поручению (пункт 4.4), срок обработки и момент уничтожения определяются поручением Оператора. По прекращении поручения Компания уничтожает или возвращает такие данные Оператору по его указанию.

13.10. При выявлении неправомерной обработки персональных данных Компания прекращает такую обработку в срок, не превышающий трёх рабочих дней с даты выявления (часть 3 статьи 21 Закона о персональных данных). Если обеспечить правомерность обработки невозможно, Компания уничтожает персональные данные в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки.

13.11. При выявлении неточных персональных данных Компания блокирует их на период проверки, если блокирование не нарушает прав и законных интересов субъекта персональных данных или третьих лиц. При подтверждении неточности Компания уточняет персональные данные в течение семи рабочих дней со дня представления сведений, подтверждающих неточность, и снимает блокирование (части 1 и 2 статьи 21 Закона о персональных данных). Если уточнение невозможно, а обработка неточных данных является неправомерной, персональные данные уничтожаются в порядке пункта 13.10.

13.12. Об устранении допущенных нарушений или об уничтожении персональных данных Компания уведомляет субъекта персональных данных, а если обращение или запрос были направлены уполномоченным органом — также уполномоченный орган (часть 3 статьи 21 Закона о персональных данных).

14. Локализация баз данных на территории Российской Федерации

14.1. При сборе персональных данных, в том числе через сеть «Интернет», Компания обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

14.2. Требование пункта 14.1 распространяется и на резервные копии баз данных. Серверная инфраструктура Компании размещена в ЦОДах ООО «Яндекс.Облако» на территории Российской Федерации; срок резервных копий установлен пунктом 13.7.1.

14.3. Адреса мест нахождения баз данных, в которых обрабатываются персональные данные граждан Российской Федерации, указаны в приложении.

14.4. Компания включает требование о размещении баз данных на территории Российской Федерации в договоры с поставщиками инфраструктуры и контролирует его соблюдение.

14.5. Если для отдельной операции данные обрабатываются за пределами Российской Федерации, это является трансграничной передачей и осуществляется в порядке раздела 15 и только после выполнения предусмотренных им условий.

15. Трансграничная передача

15.1. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (статья 12 Закона о персональных данных).

15.2. Компания не осуществляет трансграничную передачу персональных данных в Сервисах. При изменении состава инфраструктуры или получателей этот вывод проверяется повторно до начала соответствующей передачи.

15.3. До начала трансграничной передачи Компания уведомляет уполномоченный орган о намерении осуществлять такую передачу. Уведомление подаётся отдельно от уведомления об обработке персональных данных. До направления такого уведомления Компания трансграничную передачу не осуществляет.

15.4. Порядок трансграничной передачи различается в зависимости от обеспечения иностранным государством адекватной защиты прав субъектов персональных данных:

15.4.1. при передаче на территорию иностранного государства, являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, либо иностранного государства, включённого уполномоченным органом в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных, передача осуществляется после направления уведомления, предусмотренного пунктом 15.3;

15.4.2. при передаче на территорию иных иностранных государств Компания до начала передачи получает от предполагаемых получателей персональных данных сведения, предусмотренные частью 9 статьи 12 Закона о персональных данных, и приступает к передаче не ранее истечения срока, установленного законом для рассмотрения уведомления уполномоченным органом;

15.4.3. Компания не начинает либо прекращает трансграничную передачу, если уполномоченный орган принял решение о её запрете или ограничении (части 8–12 статьи 12 Закона о персональных данных).

15.5. Если трансграничная передача будет осуществляться, Компания дополнит настоящий раздел сведениями об иностранных государствах, на территорию которых передаются данные, о целях передачи и о получателях, и опубликует новую редакцию Политики в порядке раздела 20.

16. Меры по обеспечению безопасности

16.1. Компания защищает персональные данные от неправомерного и случайного доступа, изменения, раскрытия и уничтожения в соответствии со статьями 18.1 и 19 Закона о персональных данных.

16.2. Доступ к данным ограничен служебной необходимостью и предоставлен уполномоченным работникам. Административный доступ осуществляется с доверенных рабочих мест; работники обязаны соблюдать конфиденциальность данных.

16.3. Для доступа к инфраструктуре применяются авторизация и защищённые соединения. Сайты используют HTTPS. Сведения о составе доступа и средствах защиты конкретного Сервиса раскрыты в приложении; наличие электронной подписи не означает шифрования всех передаваемых сведений.

16.4. Базы данных и резервные копии размещены в инфраструктуре ООО «Яндекс.Облако» на территории России. Срок копий и ограничения восстановления удалённых данных определены пунктом 13.7.1.

16.5. При выявлении несанкционированного доступа Компания ограничивает такой доступ, устанавливает затронутые данные и принимает меры по разделу 17. Запросы об уточнении, блокировании и уничтожении рассматриваются по разделу 18 независимо от наличия соответствующей кнопки в интерфейсе.

16.6. Пользователю следует сохранять конфиденциальность паролей, одноразовых кодов и ключей электронной подписи и сообщать о подозрении на компрометацию по контактам раздела 21. Применение мер защиты не исключает все риски работы в сети Интернет.

17. Действия при инцидентах и уведомление уполномоченного органа

17.1. Инцидент — установленный факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкший нарушение прав субъектов персональных данных.

17.2. При выявлении инцидента Компания:

17.2.1. незамедлительно принимает меры к прекращению неправомерной передачи и локализации инцидента;

17.2.2. в течение 24 часов с момента выявления инцидента уведомляет уполномоченный орган о произошедшем инциденте, о предполагаемых причинах, повлёкших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесённом правам субъектов персональных данных, о принятых мерах по устранению последствий инцидента, а также сообщает сведения о лице, уполномоченном Компанией осуществлять взаимодействие с уполномоченным органом по вопросам, связанным с инцидентом;

17.2.3. в течение 72 часов с момента выявления инцидента уведомляет уполномоченный орган о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали причиной инцидента, при наличии таких лиц.

Сроки установлены частью 3.1 статьи 21 Закона о персональных данных.

17.3. Компания проводит внутреннее расследование каждого инцидента: устанавливает причины, состав затронутых данных и круг затронутых субъектов персональных данных, оценивает возможный вред и принимает меры, исключающие повторение.

17.4. Компания обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных (часть 12 статьи 19 Закона о персональных данных).

17.5. Компания информирует затронутых субъектов персональных данных об инциденте, если это необходимо для снижения возможных негативных последствий для их прав, и сообщает, какие меры им целесообразно принять.

17.6. Если инцидент затрагивает персональные данные, которые Компания обрабатывает по поручению (пункт 4.4), Компания уведомляет Оператора не позднее 12 часов с момента выявления инцидента — с тем чтобы Оператор мог исполнить обязанность, установленную для него частью 3.1 статьи 21 Закона о персональных данных, — и оказывает ему содействие в исполнении его обязанностей, предусмотренных частью 3.1 статьи 21 Закона о персональных данных.

17.7. Компания ведёт учёт инцидентов и принятых по ним мер.

18. Права субъекта и порядок их реализации

18.1. Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных, в том числе:

18.1.1. подтверждения факта обработки персональных данных Компанией;

18.1.2. правовых оснований и целей обработки;

18.1.3. применяемых Компанией способов обработки;

18.1.4. наименования и места нахождения Компании, сведений о лицах (за исключением работников Компании), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора или федерального закона;

18.1.5. перечня обрабатываемых персональных данных и источника их получения;

18.1.6. сроков обработки персональных данных, в том числе сроков их хранения;

18.1.7. порядка осуществления субъектом персональных данных прав, предусмотренных Законом о персональных данных;

18.1.8. сведений об осуществлённой или предполагаемой трансграничной передаче;

18.1.9. наименования и адреса лица, осуществляющего обработку персональных данных по поручению Компании, если обработка поручена такому лицу.

18.2. Субъект персональных данных вправе требовать уточнения своих персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

18.3. Субъект персональных данных вправе отозвать согласие (раздел 8), возражать против обработки, осуществляемой на основании пункта 7 части 1 статьи 6 Закона о персональных данных, а также требовать прекращения обработки его персональных данных в целях продвижения услуг на рынке. Обработку в целях продвижения услуг на рынке Компания прекращает немедленно по получении такого требования (часть 2 статьи 15 Закона о персональных данных). По требованию субъекта персональных данных о прекращении обработки Компания прекращает обработку либо обеспечивает её прекращение в срок, не превышающий десяти рабочих дней с даты получения требования; этот срок может быть продлён не более чем на пять рабочих дней с направлением субъекту персональных данных мотивированного уведомления с указанием причин продления (часть 5.1 статьи 21 Закона о персональных данных). Если обработка продолжается при наличии иного правового основания, предусмотренного пунктом 7.1, Компания в тот же срок сообщает субъекту персональных данных такое основание.

18.4. Субъект персональных данных вправе обжаловать действия или бездействие Компании в уполномоченный орган или в суд, а также требовать возмещения убытков и компенсации морального вреда в судебном порядке (статья 17 Закона о персональных данных).

18.5. Куда направлять запрос. Запрос направляется:

18.5.1. на адрес электронной почты support@userly.ru;

18.5.2. в письменной форме по почтовому адресу 127006, г. Москва, ул. Садовая-Триумфальная, д. 18, стр. 4;

18.5.3. ответственному за организацию обработки персональных данных по контактам, указанным в пункте 3.2.

18.6. Что указать в запросе (часть 3 статьи 14 Закона о персональных данных):

18.6.1. номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;

18.6.2. сведения, подтверждающие участие субъекта персональных данных в отношениях с Компанией: номер договора, дата его заключения, адрес электронной почты Учётной записи, условное словесное обозначение либо иные сведения, подтверждающие факт обработки персональных данных Компанией;

18.6.3. существо требования: какие сведения запрашиваются или какое действие требуется совершить;

18.6.4. подпись субъекта персональных данных или его представителя.

18.7. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Представитель прилагает документ, подтверждающий полномочия.

18.8. Срок ответа. Компания рассматривает запрос и даёт ответ в течение 10 рабочих дней с даты получения запроса. Этот срок может быть продлён, но не более чем на 5 рабочих дней; о продлении и причинах продления Компания уведомляет обратившегося (часть 1 статьи 20 Закона о персональных данных).

18.9. Безвозмездность. Рассмотрение запроса и предоставление сведений осуществляются бесплатно. Плата за реализацию прав субъекта персональных данных не взимается.

18.10. Компания вправе отказать в предоставлении сведений или в выполнении требования только по основаниям, предусмотренным законом. Отказ должен быть мотивированным и даётся в письменной форме в срок, указанный в пункте 18.8. Повторный запрос о тех же сведениях может быть направлен не ранее чем через 30 дней после первого, если более короткий срок не установлен законом или если субъект персональных данных обоснует повторный запрос.

18.11. Отзыв согласия и удаление Учётной записи.

18.11.1. Отзыв согласия оформляется в порядке пункта 8.7. Последствия отзыва — в пункте 8.8;

18.11.2. если Пользователь требует уничтожения всех своих персональных данных или удаления Учётной записи, исполнение такого требования означает прекращение доступа к Сервису: без данных, необходимых для идентификации и аутентификации Пользователя, предоставление доступа технически невозможно, и договор в этой части исполнить нельзя. Настоящий пункт не применяется к функциональности, которая предоставляется безвозмездно и не требует обработки персональных данных, если приложение прямо предусматривает её сохранение (пункт 1.5). Если приложением предусмотрен доступ к Сервису без создания Учётной записи, требование об уничтожении относится к данным, необходимым для предоставления доступа;

18.11.3. персональные данные уничтожаются в срок, не превышающий 30 дней, за исключением данных, которые Компания обязана или вправе хранить по основаниям пункта 13.4. Компания сообщает субъекту персональных данных, какие данные сохранены, на каком основании и на какой срок;

18.11.4. если у Пользователя действует оплаченная Подписка, порядок расчётов при прекращении доступа определяется разделами 10 и 16 Соглашения. Настоящая Политика вопросы возврата денежных средств не регулирует.

18.12. Если запрос касается персональных данных, которые Компания обрабатывает по поручению (пункт 4.4), применяется пункт 4.6: Компания перенаправляет обращение Оператору в срок, установленный пунктом 4.6, и сообщает об этом обратившемуся. Иных сроков для этого действия Политика не устанавливает.

18.13. Компания ведёт учёт обращений субъектов персональных данных и результатов их рассмотрения.

18.14. Если персональные данные получены Компанией не от субъекта персональных данных и Компания обрабатывает их в качестве Оператора, Компания до начала обработки предоставляет субъекту персональных данных сведения, предусмотренные частью 3 статьи 18 Закона о персональных данных: наименование и адрес Компании, цель обработки и её правовое основание, предполагаемых пользователей персональных данных, права субъекта персональных данных, установленные Законом о персональных данных, и источник получения персональных данных. Сведения предоставляются одним из следующих способов:

18.14.1. направлением уведомления по имеющемуся адресу электронной почты при первом обращении Компании к субъекту персональных данных либо при предоставлении ему доступа к Сервису;

18.14.2. доведением настоящей Политики до субъекта персональных данных лицом, передавшим его персональные данные Компании, если такая обязанность возложена на это лицо договором с Компанией; в этом случае Компания освобождается от обязанности, предусмотренной абзацем первым настоящего пункта, на основании пункта 1 части 4 статьи 18 Закона о персональных данных;

18.14.3. в случаях, предусмотренных частью 4 статьи 18 Закона о персональных данных, сведения не предоставляются; основание освобождения фиксируется Компанией.

19. Обработка данных несовершеннолетних

19.1. Сервис не предназначен для использования лицами, не достигшими возраста, указанного в пункте 19.2, и Компания не осуществляет целенаправленный сбор персональных данных таких лиц.

19.2. Использование Сервиса допускается лицами, достигшими 18 лет. Возрастное ограничение установлено единым для Компании; приложение иных возрастных ограничений не устанавливает. Условие о возрасте для целей заключения договора установлено Соглашением (раздел 4 Соглашения).

19.3. Согласие на обработку персональных данных несовершеннолетнего, который в силу закона не вправе дать его самостоятельно, даёт его законный представитель (часть 1 статьи 9 Закона о персональных данных). Компания вправе запросить подтверждение полномочий законного представителя.

19.4. Порядок действий, если данные несовершеннолетнего всё же поступили. Возрастное ограничение, установленное пунктом 19.2, не освобождает Компанию от обязанностей Оператора в отношении персональных данных, которые фактически поступили ей от лица, не достигшего 18 лет, либо от лица, которое в силу закона не вправе было самостоятельно дать согласие. Если Компании станет известно о таком поступлении и надлежащее согласие законного представителя отсутствует, Компания:

19.4.1. прекращает обработку персональных данных такого лица и предоставление ему доступа к Сервису — в срок, не превышающий трёх рабочих дней с даты выявления (часть 3 статьи 21 Закона о персональных данных, пункт 13.10), если отсутствует иное правовое основание обработки из пункта 7.1;

19.4.2. уничтожает такие персональные данные — в срок, не превышающий десяти рабочих дней с даты выявления (часть 3 статьи 21 Закона о персональных данных, пункт 13.10), а если уничтожение в этот срок технически невозможно, блокирует их, прекращает использование и обеспечивает уничтожение в порядке пункта 13.6 (часть 6 статьи 21 Закона о персональных данных). Факт уничтожения фиксируется в порядке пункта 13.7;

19.4.3. уведомляет законного представителя такого лица о выявленном факте, о прекращении обработки и об уничтожении персональных данных — при наличии у Компании контактных данных законного представителя. Если контактные данные законного представителя Компании не передавались, уведомление направляется по адресу электронной почты, содержащемуся в Учётной записи, при наличии такого адреса; об уничтожении персональных данных Компания уведомляет также в порядке пункта 13.12;

19.4.4. не собирает у такого лица дополнительные персональные данные, в том числе сведения о возрасте и о законном представителе, сверх того, что необходимо для исполнения пунктов 19.4.1–19.4.3 (пункты 5.4, 5.5).

19.5. Законный представитель вправе обратиться к Компании в порядке раздела 18 с требованием прекратить обработку персональных данных несовершеннолетнего и уничтожить их.

19.6. Компания не ведёт рекламную коммуникацию, адресованную несовершеннолетним, и не использует их данные для профилирования.

20. Актуализация Политики и вступление редакции в силу

20.1. Компания вправе изменять Политику. Изменения вносятся, в частности, при изменении законодательства, состава обрабатываемых данных, целей обработки, перечня получателей или при добавлении нового Сервиса.

20.2. Новая редакция размещается на сайте Сервиса, указанного в пункте 1.3, и вступает в силу с даты, указанной в самой редакции. Если дата не указана, редакция вступает в силу с даты размещения.

20.3. Каждая редакция содержит номер версии и дату вступления в силу. Компания сохраняет архив предыдущих редакций и предоставляет их по запросу, направленному в порядке раздела 18, чтобы можно было установить, какая редакция действовала в конкретный момент.

20.4. Об изменениях, существенно затрагивающих права субъектов персональных данных, Компания дополнительно сообщает Пользователям, имеющим Учётную запись, по адресу электронной почты, указанному в Учётной записи, либо уведомлением в интерфейсе Сервиса. Если приложением предусмотрен доступ к Сервису без создания Учётной записи, уведомление направляется по адресу электронной почты, полученному Компанией при предоставлении доступа к Сервису, а при отсутствии такого адреса — размещается в интерфейсе Сервиса. Компания сохраняет подтверждение направления уведомления.

20.5. Политика не возлагает на Пользователя обязанность самостоятельно отслеживать изменения. Актуальная редакция всегда доступна на сайте Сервиса.

20.6. Изменение Политики не является основанием для обработки персональных данных в целях, на которые субъект персональных данных не давал согласия, если согласие является необходимым основанием такой обработки.

21. Контакты для обращений

21.1. Обращения по вопросам обработки персональных данных, включая запросы, предусмотренные разделом 18:

21.2. Адрес места нахождения Компании: 127006, г. Москва, ул. Садовая-Триумфальная, д. 18, стр. 4.

21.3. Контактные адреса Сервиса приведены в приложении. Обращение, направленное по адресу Сервиса, считается полученным Компанией.

21.4. Субъект персональных данных вправе обратиться с жалобой в уполномоченный орган — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — или в суд.

22. Редакция документа

22.1. Версия 1.3 от 8 сентября 2026 года применяется с даты её размещения на сайте Сервиса. Сведения о направлении уведомления Роскомнадзору приведены в пункте 3.5; номер записи в реестре добавляется после его получения.

22.2. Актуальный текст находится в открытом доступе. Изменения вносятся в порядке раздела 20 и не заменяют согласия субъекта там, где оно требуется законом.

22.3. Обязанности Компании по защите данных и права субъектов действуют независимо от даты размещения настоящей редакции.

22.4. Предыдущие редакции сохраняются Компанией; сведения о применимой редакции можно запросить по контактам раздела 21.

Приложение. Сервис userly.ru

Приложение раскрывает специфику обработки персональных данных в Сервисе userly.ru и применяется вместе с универсальной частью Политики (разделы 1–22). При расхождении применяется универсальная часть (пункт 1.5).

П.1. Сервис и два независимых потока данных

П.1.1. userly.ru — сервис веб-аналитики. Клиент самостоятельно устанавливает программный код Сервиса на свой сайт и получает статистику о его посещаемости и поведении Посетителей.

П.1.2. В Сервисе обрабатываются два принципиально разных потока персональных данных, у которых разные Операторы:

П.1.3. Разграничение потоков определяет, к кому Посетитель или представитель Клиента обращается за реализацией своих прав, и кто отвечает перед ним за законность обработки.

П.2. Поток 1. Данные Клиентов Компании: Компания — Оператор

П.2.1. Категории субъектов: Клиенты — индивидуальные предприниматели; представители и работники Клиентов — юридических лиц; Пользователи — физические лица, самостоятельно использующие Сервис, если приложением к Соглашению такое использование допускается.

П.2.2. Состав данных: имя; адрес электронной почты; реквизиты организации; данные для выставления счетов; содержание обращений в поддержку и приложенные к ним файлы; объём потреблённых событий; данные Учётной записи — идентификатор Учётной записи и идентификатор сессии, одноразовые коды входа, хеш пароля, если пароль задан Пользователем, служебные события авторизации; технические данные — IP-адрес, тип и версия операционной системы, тип браузера, тип устройства, журналы событий. Состав данных Учётной записи определяется способом доступа к Сервису, предусмотренным приложением к Соглашению.

П.2.3. Цели и правовые основания:

Для представителей и работников Клиента — юридического лица, которые стороной договора не являются, правовым основанием обработки в целях, указанных в первой, второй и четвёртой строках таблицы, служит пункт 7 части 1 статьи 6 Закона о персональных данных (цель, указанная в пункте 7.2.16). Такие субъекты вправе возражать против обработки в порядке пункта 18.3.

П.2.4. Сроки хранения: данные Учётной записи — в течение действия договора; после его прекращения и достижения целей обработки — уничтожение в течение 30 календарных дней, кроме сведений по пунктам 13.4–13.5 Политики. Бухгалтерские документы хранятся не менее 5 лет после отчётного года (часть 1 статьи 29 Федерального закона «О бухгалтерском учёте»); журналы событий и технические данные — 30 календарных дней со дня события.

П.2.5. Получатели: платёжный провайдер (пункт 11.3.3) — ЮKassa (ООО НКО «ЮМани», ИНН 7750005725); иные категории — по разделу 11.

П.2.6. Права представителей Клиента как субъектов персональных данных реализуются в порядке раздела 18 напрямую к Компании. Сведения, предусмотренные частью 3 статьи 18 Закона о персональных данных, предоставляются таким субъектам в порядке пункта 18.14.

П.2.7. Действия, совершаемые с персональными данными потока 1: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в пределах раздела 11, блокирование, удаление, уничтожение. Способ обработки — автоматизированный, с использованием средств вычислительной техники; сбор осуществляется через сеть «Интернет».

П.3. Поток 2. Данные Посетителей сайтов Клиентов: Компания — обработчик по поручению

П.3.1. Посетитель не состоит с Компанией в договорных отношениях и, как правило, не знает о её существовании. Компания обрабатывает его данные только по поручению Клиента, установившего программный код Сервиса на свой сайт.

П.3.2. Оператором является Клиент. Клиент определяет: какие события собираются, какие функции Сервиса включены, какой режим обезличивания настроен, как долго данные хранятся в пределах доступных ему настроек и в каких целях используются результаты аналитики.

П.3.3. Собственного правового основания обработки данных Посетителей у Компании нет. Основание обязан обеспечить Клиент: согласие Посетителя (пункт 1 части 1 статьи 6) либо иное основание, предусмотренное статьёй 6 Закона о персональных данных.

П.3.4. Обязанности Клиента как Оператора установлены разделом 12 Соглашения. Компания за Клиента их не исполняет и исполнить не может. К ним относятся, в частности: наличие правового основания обработки данных Посетителей; информирование Посетителей об обработке и о привлечении Компании как лица, обрабатывающего данные по поручению Клиента; получение согласий Посетителей и обеспечение возможности их отзыва; корректная настройка режима сбора, включая определение элементов страницы, исключаемых из записи сессии (раздел П.4); рассмотрение обращений Посетителей о реализации их прав. Полный перечень и формулировки обязанностей — пункт 12.4 Соглашения и приложение к нему.

П.3.5. Ответственность перед Посетителем за законность обработки несёт Клиент как Оператор (часть 5 статьи 6 Закона о персональных данных). Компания несёт ответственность перед Клиентом.

П.3.6. Перечень персональных данных Посетителей, обрабатываемых по поручению Клиента. Перечень является закрытым; персональные данные, в него не включённые, Компания по поручению Клиента не обрабатывает:

1. IP-адрес Посетителя в полном нормализованном виде. Он используется для определения географии, блокировки, ограничения частоты запросов и вычисления псевдонимного идентификатора сессии; непосредственно в запись сессии исходный IP-адрес не включается;
2. идентификатор Посетителя и идентификатор сессии;
3. просмотренные страницы и совершённые события;
4. источник перехода и UTM-метки;
5. тип устройства и тип браузера;
6. регион;
7. метрики Core Web Vitals;
8. данные о выручке и атрибуции, передаваемые Клиентом из своих информационных систем;
9. данные записей сессий и тепловых карт в составе, определённом пунктом П.4.2;
10. при настройке Клиентом — присвоенный им идентификатор Посетителя (distinctId) и свойства событий и сессий, переданные через identify или параметры событий для аналитики поведения на сайте. Эти сведения могут позволять Клиенту определить Посетителя и не считаются анонимными. Клиент ограничивает их состав необходимым для заявленных целей и обеспечивает правовое основание передачи.

П.3.7. Перечень действий (операций), совершаемых с персональными данными Посетителей по поручению Клиента. Перечень является закрытым; иные действия Компания не совершает:

1. сбор;
2. запись;
3. систематизация;
4. накопление;
5. хранение;
6. уточнение (обновление, изменение);
7. извлечение;
8. использование;
9. обезличивание;
10. блокирование;
11. удаление;
12. уничтожение;
13. передача (предоставление, доступ) — только Клиенту как Оператору и категориям получателей, указанным в пунктах 11.3.1, 11.3.2, 11.3.5 и 11.3.6.

Способ обработки — автоматизированный, с использованием средств вычислительной техники; сбор осуществляется через сеть «Интернет». Действия по распространению персональных данных не совершаются (раздел 9).

П.3.8. Срок хранения событий аналитики: по выбранному тарифу: Free — 90 дней, Pro — 365 дней; Enterprise — в течение срока поручения и пока данные необходимы для его целей, без отдельного календарного лимита; после прекращения поручения — уничтожение по пункту 13.9 Политики. По прекращении поручения данные уничтожаются или возвращаются Клиенту по его указанию (пункт 13.9).

П.3.9. Обращения Посетителей. Посетителю следует обращаться к Клиенту — владельцу сайта, на котором установлен Сервис: именно он является Оператором. Обращение, поступившее в Компанию, перенаправляется Клиенту в порядке пункта 4.6.

П.3.10. Построение сегментов и когорт выполняется по поручению Клиента и используется для аналитики. Решения, порождающие юридические последствия для Посетителя, исключительно на основании автоматизированной обработки, Компания не принимает (пункт 7.4). Правовые последствия использования результатов аналитики Клиентом определяет Клиент.

П.3.11. Цели обработки персональных данных Посетителей по поручению Клиента. Перечень является закрытым; в иных целях Компания эти данные не обрабатывает, в том числе не использует их в собственных целях и не объединяет с данными, полученными от других Операторов (пункт 4.5):

1. предоставление Клиенту аналитических сведений о посещении его сайта, включая сведения о просмотрах, сессиях, источниках переходов, воронках, когортах и путях Посетителей;
2. предоставление Клиенту сведений о качестве работы его сайта, включая метрики Core Web Vitals;
3. предоставление Клиенту записей сессий и тепловых карт в объёме, определённом разделом П.4;
4. обеспечение работоспособности и безопасности Сервиса в объёме, необходимом для исполнения поручения Клиента.

П.3.12. Требования к защите обрабатываемых персональных данных. При обработке персональных данных Посетителей по поручению Клиента Компания обеспечивает конфиденциальность персональных данных и их безопасность и выполняет требования, предусмотренные статьёй 19 Закона о персональных данных, в объёме мер, указанных в разделе 16. Компания не обязана получать согласие Посетителей на обработку (пункт 4.3.5); ответственность перед Посетителем несёт Клиент (пункт П.3.5).

П.3.13. Получатели персональных данных Посетителей: Клиент как Оператор, а также категории получателей, указанные в пунктах 11.3.1, 11.3.2, 11.3.5 и 11.3.6 (поставщики инфраструктуры, поставщики услуг доставки сообщений, уполномоченные органы, лица, привлекаемые к технической поддержке). Конкретные лица, привлекаемые к обработке по поручению Компании: ООО «Яндекс.Облако» (ИНН 7704458262, ОГРН 1187746678580) — размещение баз данных и объектных хранилищ, отправка сообщений электронной почты и вычислительные ресурсы. Иных лиц Компания к обработке по своему поручению не привлекает. Иным лицам данные Посетителей не передаются; рекламным сетям и брокерам данных они не передаются ни при каких условиях (пункты 11.2, П.5.5).

П.4. Записи сессий и тепловые карты: процесс с повышенным риском

П.4.1. Записи сессий и тепловые карты выделены в отдельный процесс, поскольку риск для прав Посетителя здесь принципиально выше, чем при сборе обычных событий.

П.4.2. Состав персональных данных, обрабатываемых в записях сессий и тепловых картах. Перечень является закрытым:

1. перемещения курсора и координаты касаний экрана;
2. клики и иные действия с элементами страницы;
3. прокрутка страницы;
4. изменения содержимого страницы;
5. последовательность и время совершения действий, перечисленных в подпунктах 1–4;
6. адреса страниц сайта Клиента, на которых совершены эти действия;
7. содержимое текстовых элементов страницы, воспроизводимое при просмотре записи, за исключением элементов, исключённых из записи в порядке пункта П.4.5.

Значения полей ввода в записи сессии не собираются. Они маскируются средствами Сервиса на стороне браузера Посетителя до передачи данных Компании и в запись не попадают (пункт П.4.5). Вместе с тем маскирование полей ввода не исключает полностью попадания в запись сведений, относящихся к Посетителю: такие сведения могут отображаться в тексте страницы сайта Клиента.

П.4.3. Данные записи сессии Компания рассматривает как персональные данные. Маскирование значений полей ввода (пункт П.4.5) снижает, но не исключает риск того, что в запись попадут сведения, позволяющие прямо или косвенно определить Посетителя: они могут содержаться в тексте страницы сайта Клиента, а в отдельных случаях — относиться к специальным категориям персональных данных (статья 10 Закона о персональных данных), например при отображении на странице сведений о состоянии здоровья. Поэтому Компания не заявляет, что сбор в рамках этого процесса обезличен, и применяет к данным записей сессий настоящую Политику в полном объёме.

П.4.4. Правовое основание: часть 3 статьи 6 — обработка по поручению Клиента. Обязанность получить согласие Посетителя на запись сессии лежит на Клиенте.

П.4.5. Порядок обезличивания и маскирования в записях сессий. Применяется уровень маскирования, при котором значения всех полей ввода на странице сайта Клиента маскируются на стороне браузера Посетителя и Компании не передаются. Клиенту доступна настройка, позволяющая полностью исключить из записи отдельные элементы страницы по правилу выбора элемента (селектору), в том числе элементы, содержащие персональные данные. Запись ведётся только в отношении сессий, начавшихся после включения соответствующей функциональности Клиентом; сессии, совершённые до её включения, не восстанавливаются и не записываются.

П.4.6. Компания обеспечивает выполнение следующих требований к этому процессу:

1. маскирование значений полей ввода применяется всегда и отключению Клиентом не подлежит;
2. Клиенту доступна настройка перечня элементов страницы, полностью исключаемых из записи;
3. размещение программного кода Сервиса на страницах оформления платежей и на страницах, содержащих формы ввода данных платёжных карт, не допускается; этот запрет установлен для Клиента пунктом П.4 приложения к Соглашению и вытекает также из стандарта безопасности данных индустрии платёжных карт (PCI DSS);
4. записи сессий не используются Компанией в собственных целях.

П.4.7. Компания не определяет, на каких страницах сайта Клиента ведётся запись, какие элементы страницы Клиент исключил из записи и какие сведения отображаются в тексте его страниц, и не проверяет содержание сайта Клиента. Эти обстоятельства определяет Клиент как Оператор.

П.4.8. Срок хранения записей сессий: 30 дней со дня создания записи, по истечении которых запись уничтожается. Изменение этого срока Клиентом не предусмотрено.

П.4.9. Если Клиент включил запись страниц, на которых отображаются персональные данные, и не исключил соответствующие элементы из записи в порядке пункта П.4.5, ответственность за законность такой обработки перед Посетителем несёт Клиент.

П.5. Cookies и идентификаторы на сайтах Клиентов

П.5.1. Cookies и цифровой отпечаток не используются. Программный код Сервиса, размещаемый Клиентом на своём сайте, не устанавливает cookies. Технология цифрового отпечатка устройства (fingerprinting) не применяется. Для различения Посетителей и сессий Сервис использует технические идентификаторы, формируемые из сведений, перечисленных в пункте П.3.6.

П.5.2. Идентификаторы Клиента. Клиент может передавать через identify собственный идентификатор Посетителя и свойства сессии. Компания использует их по поручению Клиента для связывания его событий и сессий и не устанавливает личность Посетителя самостоятельно. Сведения одного Клиента не объединяются со сведениями другого Клиента (пункт 4.5). Передача идентификатора и свойств учитывается Клиентом при информировании Посетителей и определении основания обработки; наличие такой функции не заменяет необходимого согласия.

П.5.3. К обезличиванию применяется пункт 13.8. Пока сохраняется возможность определить Посетителя, Компания обрабатывает сведения как персональные данные. Обезличенными не считаются сведения, обрабатываемые в случае хранения полного IP-адреса Посетителя (пункт П.3.6), а также данные записей сессий (пункт П.4.3); основанием их обработки является согласие Посетителя (пункт 1 части 1 статьи 6) либо иное основание, предусмотренное статьёй 6 Закона о персональных данных, обеспечить которое обязан Клиент.

П.5.4. Уведомление о cookies и сохраняющиеся обязанности Клиента. Поскольку программный код Сервиса не устанавливает cookies и не применяет технологию цифрового отпечатка (пункт П.5.1), размещение на сайте Клиента уведомления о cookies и получение согласия Посетителя на их установку в связи с работой Сервиса не требуются. Это не освобождает Клиента от обязанностей Оператора в отношении персональных данных, обрабатываемых Компанией по его поручению: IP-адрес Посетителя и производные от него сведения (пункт П.3.6), а при включении соответствующей функциональности — данные записей сессий и тепловых карт (пункт П.4.2) Компания рассматривает как персональные данные. Обязанность Клиента обеспечить правовое основание их обработки, информировать Посетителей об обработке (часть 3 статьи 18 Закона о персональных данных) и получить согласие там, где оно требуется, сохраняется в полном объёме. Оценка достаточности имеющегося правового основания — обязанность Клиента как Оператора.

П.5.5. Данные Посетителей не передаются рекламным сетям и не используются Компанией для рекламы; рекламные пиксели и cookies, предназначенные для формирования рекламных профилей, Сервис не устанавливает (пункт 12.5).

П.6. Место обработки и поручение обработки

П.6.1. Обработка персональных данных Посетителей, а также персональных данных, указанных в пункте П.2.2, осуществляется с использованием баз данных, находящихся на территории Российской Федерации (пункт 14.1). Требование распространяется и на резервные копии (пункт 14.2). Адрес места нахождения основных баз данных: Калужская область, г. Калуга, 1-й Автомобильный проезд, д. 8. Место и срок хранения резервных копий определяются по пункту 13.7.1 Политики.

П.6.2. Поручение обработки оформляется договором, который определяет перечень персональных данных, обрабатываемых по поручению, перечень действий (операций) с ними, цели обработки, обязанность соблюдать конфиденциальность персональных данных и обеспечивать их безопасность, а также требования к защите обрабатываемых персональных данных в соответствии со статьёй 19 Закона о персональных данных (часть 3 статьи 6 Закона о персональных данных; пункт 11.5). Для настоящего Сервиса поручение оформляется приложением к оферте, принимаемым каждым Клиентом в составе Пользовательского соглашения; перечни и требования, предусмотренные частью 3 статьи 6 Закона о персональных данных, определены пунктами П.3.6, П.3.7, П.3.11, П.3.12 и П.4.2 настоящего приложения, являются частью поручения Клиента и не подлежат изменению Компанией в одностороннем порядке. Порядок акцепта и фиксации принятой редакции определён пунктом П.6 Соглашения.

П.6.3. Без оформленного поручения обработка данных Посетителей Компанией не имеет правового основания. Настоящая Политика поручение обработки не заменяет.

П.7. Модель предоставления Сервиса

П.7.1. Настоящее приложение относится к облачному сервису на userly.ru: Клиент получает удалённый доступ к программному обеспечению в инфраструктуре Компании.

П.7.2. Самостоятельное развёртывание Userly в инфраструктуре Клиента (self-host) регулируется отдельными условиями и не входит в предмет настоящего приложения.

П.7.3. В облачном сервисе Компания обрабатывает данные Посетителей по поручению Клиента в порядке разделов П.3–П.6. Обработка исключительно в инфраструктуре Клиента без передачи данных Компании этой Политикой не регулируется (пункт 1.8).

П.8. Cookies сайта Сервиса и интерфейса управления Учётной записью

П.8.1. Собственный код Сервиса не устанавливает cookies. На лендинге подключается Яндекс Метрика в порядке пунктов П.8.2–П.8.5. В локальном хранилище браузера сохраняются токен авторизации userly.auth со сроком действия до 30 дней и настройки интерфейса: язык, часовой пояс, тема, период, валюта, состояние дашборда, последняя команда, выбранные вкладки и версия интерфейса. Также сохраняется отметка ознакомления с правовыми документами: редакции и дата действия Пользователя; это локальная настройка, не серверная запись согласия. Эти данные не передаются серверу автоматически как cookies. Категории и правовые основания — по разделу 12. Настоящий пункт не относится к техническим идентификаторам, устанавливаемым на сайтах Клиентов: они описаны в разделе П.5.

П.8.2. Аналитика лендинга. На главной странице userly.ru Компания использует Яндекс Метрику (счётчик 112366849), включая Вебвизор, карты кликов и анализ переходов, для оценки посещаемости и улучшения лендинга. Счётчик подключается автоматически при открытии лендинга; отдельное уведомление и кнопка настройки cookies на сайте не предусмотрены. На страницах документации, правовых документов, входа, регистрации, в личном кабинете и в самостоятельно развёрнутых установках этот счётчик не подключается. Код, устанавливаемый Клиентом на своём сайте, Яндекс Метрику не содержит.

П.8.3. Получатель и состав данных. При работе Метрики сведения передаются ООО «Яндекс»: IP-адрес, сведения о браузере и устройстве, адрес и заголовок страницы, источник перехода, технические идентификаторы, сведения о действиях на странице и записи взаимодействия с её содержимым. Передача данных через функции идентификации пользователей и произвольные пользовательские параметры Метрики Компанией не настроена. Условия обработки Яндексом: https://yandex.ru/legal/confidential/; описание сервиса: https://yandex.ru/support/metrica/ru/. Этот процесс относится к посетителям лендинга и не изменяет поручение обработки данных сайтов Клиентов.

П.8.4. Cookies. Метрика использует аналитические cookies и локальное хранилище браузера, в том числе данные с префиксом _ym. Актуальный перечень и сроки хранения опубликованы Яндексом: https://yandex.ru/support/metrica/ru/general/cookie-usage.

П.8.5. Настройки браузера и обращения. Сохранённые cookies можно удалить или ограничить средствами браузера; загрузку счётчика можно ограничить средствами блокировки трекеров. Удаление данных в браузере не удаляет ранее переданные сведения у получателя. Обращения по вопросам обработки и удаления данных направляются по разделу 21 Политики и правилам получателя.

П.9. Контакты Сервиса

П.9.1. Адрес электронной почты Сервиса: support@userly.ru.

П.9.2. Обращения по вопросам обработки персональных данных направляются по контактам, указанным в разделе 21. Обращение, направленное на адрес Сервиса, также считается полученным Компанией. Обращения Посетителей рассматриваются в порядке пункта П.3.9.