Политика обработки персональных данных

Редакция: 2026-06-24 / редакция 1.0. Дата вступления в силу: [ВПИСАТЬ ДАТУ ПУБЛИКАЦИИ]например: 30.06.2026.

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые оператором при использовании информационно-справочного сервиса «Штурман», размещённого по адресу nalogi-ip.ru (далее — «Сервис»).

Политика является публично доступным документом и размещается оператором в свободном доступе по адресу /privacy. Использование Сервиса означает, что пользователь ознакомлен с настоящей Политикой и принимает изложенные в ней условия обработки персональных данных.

1. Общие положения и термины

Настоящая Политика действует в отношении всей информации, которую оператор может получить о пользователях во время использования ими Сервиса, его функций, сервисов, программ и продуктов.

Сервис «Штурман» представляет собой онлайн-планировщик налогов и экономики для индивидуальных предпринимателей. Сервис носит информационно-справочный характер: он не является бухгалтерской, налоговой или юридической консультацией, не заменяет профессиональную консультацию специалиста и не осуществляет ведение бухгалтерского или налогового учёта. Все расчёты, прогнозы, сценарии и показатели, формируемые Сервисом, носят ориентировочный (предположительный) характер и не порождают для пользователя обязательств перед налоговыми органами или иными третьими лицами.

В настоящей Политике используются следующие основные понятия (в значениях, установленных статьёй 3 Закона № 152-ФЗ):

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
Субъект персональных данных (пользователь) — физическое лицо, использующее Сервис, к которому относятся обрабатываемые персональные данные.
Согласие на обработку персональных данных — конкретное, предметное, информированное, сознательное и однозначное волеизъявление субъекта персональных данных, которым он разрешает обработку своих персональных данных.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Сетевой идентификатор — cookie-файлы, IP-адрес, технические идентификаторы устройства и иные данные, которые позволяют прямо или косвенно определить лицо и в силу этого относятся к персональным данным.
Cookie — небольшой фрагмент данных, отправляемый веб-сервером и хранящийся на устройстве пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу.

Иные термины, не определённые в настоящей Политике, применяются в значениях, установленных Законом № 152-ФЗ и иными нормативными правовыми актами Российской Федерации.

2. Оператор и его реквизиты

Оператором персональных данных, обрабатываемых при использовании Сервиса, является индивидуальный предприниматель, реквизиты которого указаны ниже.

🚨 ОБЯЗАТЕЛЬНО ЗАПОЛНИТЬ ВЛАДЕЛЬЦУ ПЕРЕД ПУБЛИКАЦИЕЙ

Оператор (ФИО индивидуального предпринимателя):: [ВПИСАТЬ]например: Индивидуальный предприниматель Иванов Иван Иванович
ИНН:: [ВПИСАТЬ]например: 771234567890 (12 цифр)
ОГРНИП:: [ВПИСАТЬ]например: 320774600123456 (15 цифр)
Адрес (место осуществления деятельности / для корреспонденции):: [ВПИСАТЬ]например: 109012, г. Москва, ул. Примерная, д. 1
E-mail для обращений по персональным данным:: [ВПИСАТЬ]например: privacy@nalogi-ip.ru
Телефон:: [ВПИСАТЬ]например: +7 900 000-00-00

По всем вопросам, связанным с обработкой персональных данных, реализацией прав субъекта персональных данных, отзывом согласия, направлением запросов и обращений, субъект персональных данных вправе связаться с оператором по адресу электронной почты [ВПИСАТЬ e-mail]например: privacy@nalogi-ip.ru либо через официального бота Сервиса в Telegram @nalogi_ip_bot.

3. Правовые основания обработки персональных данных

Обработка персональных данных оператором осуществляется на следующих правовых основаниях, предусмотренных статьёй 6 Закона № 152-ФЗ:

Исполнение договора (оферты) — пункт 5 части 1 статьи 6 Закона № 152-ФЗ. Обработка необходима для исполнения договора (Пользовательского соглашения, доступного по адресу /terms), стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных. На этом основании обрабатываются данные, без которых предоставление функционала Сервиса технически невозможно (идентификация и аутентификация пользователя, ведение аккаунта, хранение и отображение введённых пользователем расчётов).
Согласие субъекта персональных данных — пункт 1 части 1 статьи 6 и статья 9 Закона № 152-ФЗ. На этом основании обрабатываются персональные данные, предоставление которых не является обязательным для использования Сервиса (например, номер телефона, фотография профиля, геолокация, необязательные (аналитические) cookie), а также данные, обрабатываемые в целях направления маркетинговых (рекламных) сообщений.
Законные интересы оператора — пункт 7 части 1 статьи 6 Закона № 152-ФЗ. На этом основании обрабатываются данные, необходимые для обеспечения информационной безопасности Сервиса, предотвращения мошенничества, защиты от несанкционированного доступа и сетевых атак, диагностики и поддержания работоспособности Сервиса, при условии, что при этом не нарушаются права и свободы субъекта персональных данных.
Соблюдение требований законодательства — обработка, необходимая для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных на оператора функций, полномочий и обязанностей (например, хранение определённых сведений в сроки, установленные нормативными правовыми актами).

Согласие на обработку персональных данных, требующих такого согласия, оформляется отдельным отделимым актом и не включается единым пунктом в иные документы. Формы согласий доступны по адресам: базовое согласие — /consent, согласие на cookie — /cookie-consent, согласие на сервисные (информационные) уведомления — /consent-notifications или /consent-info, согласие на рекламные (маркетинговые) сообщения — /consent-ads. Оператор обеспечивает возможность подтверждения факта получения согласия субъекта персональных данных.

Отказ субъекта от предоставления персональных данных, не являющихся необходимыми для оказания услуги, не может являться основанием для отказа в предоставлении Сервиса (часть 7 статьи 9 Закона № 152-ФЗ).

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях, определённых раздельно:

Авторизация и аутентификация пользователя — идентификация пользователя при входе через Telegram (Telegram Login Widget, Telegram WebApp, вход по ссылке из бота @nalogi_ip_bot), проверка подлинности входа по HMAC-подписи, создание и поддержание защищённой пользовательской сессии.
Ведение аккаунта и хранение расчётов — создание учётной записи пользователя, сохранение и отображение введённых пользователем данных и сформированных расчётов (один JSON-слепок на аккаунт), обеспечение доступа пользователя к ранее сохранённым данным.
Обеспечение информационной безопасности и предотвращение мошенничества — защита Сервиса и пользователей от несанкционированного доступа, атак и злоупотреблений, журналирование событий доступа и авторизации, расследование инцидентов.
Веб-аналитика и улучшение Сервиса — анализ активного времени пользователя на Сервисе и развитие функционала. Оператор ведёт собственную поведенческую аналитику активности (heartbeat): через эндпоинт /api/heartbeat фиксируется активное время, привязанное к аккаунту пользователя (Telegram ID), и формируются агрегаты — активное время по дням, распределение активности по дням недели и часам, отметка времени последней активности (last_seen_at); используется часовой пояс Москвы (МСК). Указанная обработка осуществляется на собственной серверной инфраструктуре оператора на территории Российской Федерации, внешним провайдерам аналитики не передаётся и ведётся исключительно при наличии отдельного согласия пользователя на аналитику (consent_type='analytics').
Оказание платной услуги (подписки) и обработка платежей — предоставление пользователю платного доступа к функционалу Сервиса, учёт оплат и срока действия подписки, ведение журнала операций по подписке.
Информационные (сервисные) уведомления — направление пользователю через бота @nalogi_ip_bot сообщений, связанных с функционированием Сервиса, изменением условий, безопасностью аккаунта, статусом подписки. Сервис направляет сегментные уведомления, формируемые на основе статуса подписки и активности пользователя; сообщения о приближении окончания подписки относятся к сервисным и направляются при наличии согласия на сервисные уведомления (consent_type='notifications'). В каждом сообщении пользователю предоставляется возможность отказа от рассылки (отписки).
Маркетинговые (рекламные) сообщения — направление через бота @nalogi_ip_bot информации о новых функциях, акциях и предложениях, а также сообщений с целью реактивации (возврата) пользователя и продвижения платных возможностей. Такие сообщения являются рекламными и направляются исключительно при наличии отдельного предварительного согласия пользователя на рекламу (consent_type='ads'; статья 18 Федерального закона «О рекламе»). В каждом сообщении пользователю предоставляется возможность отписки. Управление согласиями осуществляется в профиле бота с помощью тумблеров «🔔 Сервисные напоминания» и «📣 Акции и предложения».
Поддержка пользователей — обработка обращений, ответов на запросы и реализация прав субъектов персональных данных.

Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных, а также обработка, избыточная по отношению к заявленным целям.

5. Категории субъектов и перечень обрабатываемых персональных данных

Категории субъектов персональных данных: пользователи Сервиса — индивидуальные предприниматели и иные физические лица, использующие функционал Сервиса.

Оператор обрабатывает следующие персональные данные. Cookie-файлы, IP-адрес и технические идентификаторы устройства относятся к персональным данным, поскольку позволяют прямо или косвенно определить лицо. Специальные категории персональных данных и биометрические персональные данные оператором не обрабатываются: фотография профиля Telegram, если она передаётся, используется исключительно для отображения аватара в личном кабинете и не применяется для установления личности по биометрическим признакам; биометрическая обработка не ведётся.

Полный перечень обрабатываемых персональных данных приведён в нижеследующей таблице инвентаризации (Records of Processing), являющейся неотъемлемой частью настоящей Политики.

Таблица видов обрабатываемых персональных данных

Данные	Категория	Цель обработки	Правовое основание (152-ФЗ)	Получатели / третьи лица	Срок хранения	Обязательность для услуги
Telegram ID	Иные ПДн (идентификатор)	Идентификация и аутентификация пользователя, привязка аккаунта и сохранённых расчётов	ст. 6 ч.1 п.5 (исполнение договора/оферты, инициатор — субъект); проверка HMAC-подписи Telegram	Telegram (источник идентификатора), хостинг-провайдер в РФ	До удаления аккаунта + срок хранения логов; затем удаление/обезличивание	Обязательно (без него вход и работа Сервиса невозможны)
Username (Telegram)	Иные ПДн	Отображение в интерфейсе/админ-панели, поддержка пользователя	ст. 6 ч.1 п.5 (исполнение договора)	Telegram (источник), хостинг в РФ	До удаления аккаунта	Обязательно в объёме, передаваемом Telegram при входе
Имя пользователя в Telegram	Иные ПДн	Персонализация интерфейса, обращение к пользователю	ст. 6 ч.1 п.5 (исполнение договора)	Telegram (источник), хостинг в РФ	До удаления аккаунта	Обязательно в объёме, передаваемом Telegram при входе
Фото профиля Telegram (если передаётся)	Иные ПДн (изображение)	Отображение аватара в личном кабинете	ст. 6 ч.1 п.1 (согласие субъекта)	Telegram (источник/хостинг изображения), хостинг в РФ	До удаления аккаунта либо до отзыва согласия	Необязательно (отказ не влияет на доступ к услуге)
Номер телефона (если предоставлен)	Иные ПДн	Связь с пользователем, восстановление доступа, поддержка	ст. 6 ч.1 п.1 (согласие субъекта)	Хостинг в РФ	До удаления аккаунта либо до отзыва согласия	Необязательно (отказ не влияет на доступ к услуге)
Cookie (сессионная sid и др.)	Сетевой идентификатор → ПДн	Поддержание авторизованной сессии (HttpOnly, Secure, SameSite=Lax), безопасность	Сессионная cookie — ст. 6 ч.1 п.5 (исполнение договора, строго необходимая); иные/аналитические — ст. 6 ч.1 п.1 (согласие)	Хостинг в РФ (собственная инфраструктура оператора)	Сессионные — на срок сессии; иные — до истечения срока cookie/отзыва согласия	Сессионная — обязательна; аналитические — необязательны
IP-адрес	Сетевой идентификатор → ПДн	Безопасность, защита от мошенничества и атак, журналирование доступа, локализация технических ошибок	ст. 6 ч.1 п.5 (исполнение договора) и ст. 6 ч.1 п.7 (законные интересы оператора — безопасность)	Хостинг в РФ	В составе системных логов — [ВПИСАТЬ срок]например: 12 месяцев	Обязательно (технически неизбежно при сетевом взаимодействии)
Геолокация (только при явном разрешении)	Иные ПДн (данные о местоположении)	Региональные параметры расчёта/отображения (если применимо)	ст. 6 ч.1 п.1 (согласие субъекта)	Хостинг в РФ	До отзыва согласия	Необязательно (собирается только при явном разрешении)
User-Agent	Технические данные/сетевой идентификатор	Совместимость, безопасность, диагностика	ст. 6 ч.1 п.5 (исполнение договора) и ст. 6 ч.1 п.7 (законные интересы — безопасность)	Хостинг в РФ (собственная инфраструктура оператора)	В составе логов — [ВПИСАТЬ срок]например: 12 месяцев	Обязательно (передаётся браузером автоматически)
Referrer	Технические данные	Анализ источников переходов, диагностика навигации	ст. 6 ч.1 п.1 (согласие — для аналитики) / ст. 6 ч.1 п.7 (законные интересы)	Хостинг в РФ (собственная инфраструктура оператора)	[ВПИСАТЬ срок]например: 12 месяцев	Необязательно
Поведенческая аналитика активности (heartbeat): активное время по дням (activity_daily), распределение по дням недели и часам (activity_hourly), МСК	Поведенческие данные, привязанные к аккаунту (Telegram ID)	Анализ активного времени пользователя, улучшение Сервиса (собственный эндпоинт /api/heartbeat)	ст. 6 ч.1 п.1 (согласие на аналитику, consent_type='analytics')	Хостинг в РФ (собственная инфраструктура оператора); внешним провайдерам аналитики НЕ передаётся	[ВПИСАТЬ срок]например: 18 месяцев	Необязательно (обрабатывается только при наличии согласия на аналитику)
Отметка времени последней активности (last_seen_at)	Поведенческие данные, привязанные к аккаунту (Telegram ID)	Фиксация факта и времени последней активности пользователя для аналитики и улучшения Сервиса	ст. 6 ч.1 п.1 (согласие на аналитику, consent_type='analytics')	Хостинг в РФ (собственная инфраструктура оператора); внешним провайдерам аналитики НЕ передаётся	[ВПИСАТЬ срок]например: 18 месяцев	Необязательно (обрабатывается только при наличии согласия на аналитику)
Данные о подписке и платежах (журнал subscription_events: сумма, тип, источник, срок оплаты paid_until)	Иные ПДн (сведения об оплате услуги)	Оказание платной услуги (подписки), учёт оплат и срока действия доступа	ст. 6 ч.1 п.5 (исполнение договора)	Хостинг в РФ; при подключении онлайн-оплаты — оператор платёжной системы (эквайер)	В течение срока действия договора и далее с учётом требований законодательства о бухгалтерском учёте — [ВПИСАТЬ срок]например: 5 лет после года, в котором завершён расчёт (бухучёт)	Обязательно для предоставления платной услуги
История использования Сервиса (введённые расчёты)	Иные ПДн (пользовательский контент)	Сохранение и отображение расчётов пользователя (JSON-слепок в таблице user_data)	ст. 6 ч.1 п.5 (исполнение договора)	Хостинг в РФ	До удаления аккаунта либо до удаления данных по запросу	Обязательно для функционала сохранения
Системные журналы (логи)	Технические данные	Диагностика, безопасность, расследование инцидентов	ст. 6 ч.1 п.7 (законные интересы — безопасность)	Хостинг в РФ	[ВПИСАТЬ срок]например: 12 месяцев	Обязательно (технически необходимо)
Логи авторизации	Технические данные	Контроль доступа, безопасность аккаунта, выявление несанкционированного входа	ст. 6 ч.1 п.7 (законные интересы) и ст. 6 ч.1 п.5 (исполнение договора)	Хостинг в РФ	[ВПИСАТЬ срок]например: 12 месяцев	Обязательно (технически необходимо)
Технические идентификаторы устройства	Сетевой идентификатор → ПДн	Безопасность, распознавание устройства, защита сессии	ст. 6 ч.1 п.7 (законные интересы — безопасность)	Хостинг в РФ	[ВПИСАТЬ срок]например: 12 месяцев	Обязательно (в части, необходимой для безопасности)

Источником идентификационных данных пользователя (Telegram ID, username, имя, фото профиля, при предоставлении — номер телефона) является сервис Telegram, через который осуществляется вход. Оператор получает указанные данные в объёме, передаваемом Telegram при авторизации, и проверяет их подлинность по HMAC-подписи.

Журнал согласий. В целях обеспечения подтверждаемости факта получения согласия субъекта персональных данных оператор ведёт журнал согласий (consent_log), в котором фиксируются факт, тип, дата предоставления и (или) отзыва согласия, а также IP-адрес и сведения о браузере (user-agent) на момент совершения соответствующего действия. В системе предусмотрены следующие типы согласий: telegram_login (вход через Telegram), cookie (использование cookie), notifications (сервисные, транзакционные уведомления, связанные с работой аккаунта и подписки), ads (рекламные сообщения), analytics (поведенческая аналитика активности), info (иные информационные сообщения нерекламного характера; зарезервированный тип). Сведения журнала согласий используются исключительно для подтверждения правомерности обработки и не передаются третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации.

Для технической доставки уведомлений и рассылок оператор формирует служебный список адресатов соответствующей рассылки (идентификатор пользователя в Telegram, статус доставки сообщения), используемый исключительно в целях доставки и ведения статистики отправки; такой список формируется только из пользователей, давших соответствующее согласие, и хранится в составе служебных записей о рассылках.

6. Порядок и условия обработки персональных данных

Обработка персональных данных осуществляется оператором с использованием средств автоматизации (автоматизированная обработка) и без использования таких средств (неавтоматизированная обработка), то есть смешанным способом, с соблюдением требований законодательства Российской Федерации.

Обработка персональных данных включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных.

Сбор персональных данных осуществляется в момент авторизации пользователя через Telegram, в процессе использования Сервиса (ввод расчётов, настройка параметров), а также автоматически при сетевом взаимодействии (cookie, IP-адрес, User-Agent, Referrer, технические идентификаторы, метрики). Расчёты пользователя хранятся в виде одного JSON-слепка на аккаунт в таблице user_data базы данных PostgreSQL.

Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.

Оператор не осуществляет обработку специальных категорий персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрических персональных данных.

7. Передача персональных данных третьим лицам и трансграничная передача

Оператор вправе передавать (предоставлять доступ, поручать обработку) персональные данные третьим лицам исключительно в объёме и в целях, предусмотренных настоящей Политикой и законодательством Российской Федерации, на основании договора, содержащего условие о соблюдении конфиденциальности и обеспечении безопасности персональных данных (часть 3 статьи 6 Закона № 152-ФЗ). К категориям получателей относятся:

Telegram — как источник идентификационных данных пользователя при авторизации через Telegram Login Widget, Telegram WebApp и бота @nalogi_ip_bot.
Хостинг-провайдер (инфраструктура) на территории Российской Федерации — для размещения серверов и баз данных Сервиса.
Аналитика активности (heartbeat) — выполняется оператором на собственной серверной инфраструктуре на территории Российской Федерации и внешним провайдерам аналитики не передаётся. В случае подключения в дальнейшем внешней системы аналитики настоящая Политика будет соответствующим образом актуализирована.
Оператор платёжной системы (эквайер) — при подключении онлайн-оплаты подписки персональные данные в объёме, необходимом для проведения платежа, передаются оператору платёжной системы (эквайеру), реквизиты которого будут указаны в настоящей Политике при внедрении такой оплаты. До момента подключения онлайн-оплаты доступ к платным возможностям предоставляется администратором Сервиса.
Уполномоченные государственные органы — в случаях, прямо предусмотренных законодательством Российской Федерации, и в установленном им порядке.

Оператор не осуществляет продажу персональных данных и не передаёт их третьим лицам для целей, не предусмотренных настоящей Политикой.

Трансграничная передача персональных данных (на территорию иностранных государств) оператором не осуществляется. В случае если оператор примет решение об осуществлении трансграничной передачи персональных данных, такая передача будет осуществляться с соблюдением требований статьи 12 Закона № 152-ФЗ, в том числе с предварительным уведомлением Роскомнадзора, а настоящая Политика будет соответствующим образом актуализирована.

8. Локализация баз данных граждан Российской Федерации

В соответствии с частью 5 статьи 18 Закона № 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

Серверы и базы данных Сервиса (PostgreSQL), в которых осуществляется обработка персональных данных, физически расположены на территории Российской Федерации. Сведения о месте нахождения баз данных, содержащих персональные данные граждан Российской Федерации, отражаются в уведомлении оператора об обработке персональных данных, направляемом в Роскомнадзор.

9. Сроки хранения персональных данных

Персональные данные обрабатываются и хранятся не дольше, чем этого требуют цели их обработки, если иной срок хранения не установлен законодательством Российской Федерации или договором.

Идентификационные данные пользователя и сохранённые расчёты (JSON-слепок в user_data) хранятся в течение срока действия аккаунта — до удаления аккаунта пользователем либо до удаления данных по запросу пользователя.
Данные, обрабатываемые на основании согласия (фото профиля, номер телефона, геолокация, необязательные cookie, маркетинговые данные), хранятся до достижения цели обработки или до отзыва соответствующего согласия.
Данные поведенческой аналитики активности (heartbeat: агрегаты активного времени, last_seen_at), обрабатываемые при наличии согласия на аналитику, хранятся в течение срока [ВПИСАТЬ срок]например: 18 месяцев либо до отзыва соответствующего согласия.
Данные о подписке и платежах (журнал subscription_events) хранятся в течение срока действия договора и далее в течение срока, установленного требованиями законодательства Российской Федерации о бухгалтерском учёте, — [ВПИСАТЬ срок]например: 5 лет.
Системные журналы, логи авторизации и сетевые идентификаторы в их составе хранятся в течение срока [ВПИСАТЬ срок]например: 12 месяцев, необходимого для обеспечения безопасности и расследования инцидентов.

По достижении целей обработки, в случае отзыва согласия (если отсутствует иное законное основание обработки) либо по требованию субъекта персональных данных соответствующие персональные данные подлежат уничтожению или обезличиванию в сроки, установленные законодательством Российской Федерации.

10. Права субъекта персональных данных и порядок их реализации

Субъект персональных данных имеет права, предусмотренные статьями 14, 20 и 21 Закона № 152-ФЗ, в том числе:

получать информацию, касающуюся обработки его персональных данных, в том числе содержащую подтверждение факта обработки, правовые основания и цели обработки, состав обрабатываемых персональных данных, сроки их обработки и хранения, сведения о лицах, которым могут быть переданы персональные данные;
требовать уточнения (исправления) своих персональных данных в случае, если они являются неполными, устаревшими, неточными;
требовать блокирования или удаления своих персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать ранее данное согласие на обработку персональных данных;
возражать против обработки персональных данных в установленных законом случаях;
обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Порядок реализации прав. Для реализации своих прав, направления запросов, обращений и отзыва согласия субъект персональных данных направляет соответствующее обращение оператору по адресу электронной почты [ВПИСАТЬ e-mail]например: privacy@nalogi-ip.ru либо через бота Сервиса в Telegram @nalogi_ip_bot. Запрос должен содержать сведения, позволяющие идентифицировать субъекта персональных данных (в том числе данные, использованные при авторизации), а также суть требования. Оператор рассматривает обращение и предоставляет ответ в сроки, установленные Законом № 152-ФЗ.

Отзыв согласия. Согласие на обработку персональных данных может быть отозвано субъектом в любой момент путём направления оператору соответствующего уведомления указанными выше способами либо через предусмотренные интерфейсом Сервиса средства. В случае отзыва согласия оператор прекращает обработку персональных данных и уничтожает их, если отсутствует иное законное основание для продолжения обработки. Отзыв согласия на обработку данных, необходимых для исполнения договора, может повлечь невозможность дальнейшего предоставления Сервиса.

Право на жалобу. Субъект персональных данных вправе обжаловать действия или бездействие оператора в Роскомнадзоре, а также защищать свои права и законные интересы, в том числе на возмещение убытков и (или) компенсацию морального вреда, в судебном порядке.

11. Меры обеспечения безопасности персональных данных

Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в соответствии со статьями 18.1 и 19 Закона № 152-ФЗ. К таким мерам относятся, в частности:

проверка подлинности входа пользователя по HMAC-подписи данных авторизации Telegram;
использование подписанной сессионной cookie sid с атрибутами HttpOnly, Secure и SameSite=Lax для защиты пользовательской сессии;
применение защищённого канала передачи данных (шифрование соединения по протоколу HTTPS/TLS), механизмов безопасности веб-сервера (в том числе заголовков безопасности и HSTS);
разграничение и ограничение прав доступа к персональным данным, предоставление доступа только уполномоченным лицам в объёме, необходимом для выполнения их функций;
журналирование событий доступа, авторизации и иных значимых событий информационной системы;
размещение серверов и баз данных на территории Российской Федерации, резервное копирование и контроль целостности данных;
организационные меры: назначение лиц, ответственных за организацию обработки персональных данных, утверждение внутренних организационно-распорядительных документов, регламентирующих обработку и защиту персональных данных, реагирование на инциденты.

В случае выявления инцидентов, связанных с неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных (утечкой), оператор уведомляет Роскомнадзор в сроки, установленные законодательством Российской Федерации (первичное уведомление — в течение 24 часов с момента выявления инцидента, по результатам внутреннего расследования — в течение 72 часов).

12. Использование cookie

Сервис использует cookie-файлы и аналогичные технологии. Строго необходимые (сессионные) cookie, в том числе cookie sid, применяются для поддержания авторизованной сессии и обеспечения безопасности и обрабатываются на основании пункта 5 части 1 статьи 6 Закона № 152-ФЗ (исполнение договора). Иные (в том числе аналитические) cookie применяются только при наличии согласия пользователя.

Подробная информация о применяемых cookie, их назначении и сроках хранения, а также порядок управления cookie приведены в Политике использования cookie по адресу /cookies. Управление согласием на необязательные cookie осуществляется через cookie-баннер и форму согласия по адресу /cookie-consent.

13. Актуализация Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики постоянно доступна по адресу /privacy с указанием даты редакции и версии. Существенные изменения, затрагивающие права субъектов персональных данных, доводятся до сведения пользователей путём размещения новой редакции на сайте Сервиса и (или) направления уведомления доступными способами. Продолжение использования Сервиса после вступления в силу изменений означает согласие пользователя с актуальной редакцией Политики в части, не требующей отдельного согласия.

14. Заключительные положения и контакты

Настоящая Политика является официальным документом оператора и подлежит размещению в свободном доступе в сети «Интернет» по адресу /privacy в соответствии с частью 2 статьи 18.1 Закона № 152-ФЗ.

К отношениям, связанным с обработкой персональных данных и не урегулированным настоящей Политикой, применяется законодательство Российской Федерации, в том числе Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» и Гражданский кодекс Российской Федерации.

С иными документами Сервиса можно ознакомиться по следующим адресам: Пользовательское соглашение — /terms, базовое согласие на обработку персональных данных — /consent, Политика использования cookie — /cookies, согласие на использование cookie — /cookie-consent, согласие на сервисные (информационные) уведомления — /consent-notifications и /consent-info, согласие на рекламные (маркетинговые) сообщения — /consent-ads.

По всем вопросам, связанным с обработкой персональных данных, субъект персональных данных вправе обратиться к оператору по адресу электронной почты [ВПИСАТЬ e-mail]например: privacy@nalogi-ip.ru либо через бота @nalogi_ip_bot. Надзорный орган в сфере защиты прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).