Политика обработки персональных данных

1.Общие положения

1.1. Политика применяется ко всем персональным данным, которые Оператор получает от посетителей сайтов theflip.io и theflip.ru (далее — Сайт) и от пользователей сервиса Flip Analytics (далее — Сервис).

1.2. Политика является общедоступной и размещена в сети Интернет по адресу, на который ведут ссылки со всех страниц Сайта и Сервиса.

1.3. Сведения об Операторе:

2.Термины

• Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие или совокупность действий с персональными данными, указанных в пункте 3 статьи 3 Закона № 152-ФЗ.
• Пользователь — лицо, зарегистрировавшее учетную запись в Сервисе или приглашенное в организацию пользователем Сервиса.
• Cookie и хранилище браузера — небольшие фрагменты данных, которые Сайт или Сервис сохраняет в браузере устройства.

3.Какие персональные данные обрабатываются

3.1. Посетители Сайта: отметка о согласии на использование cookie (хранится в браузере); технические данные, которые браузер передает при каждом запросе: IP-адрес, сведения о браузере и устройстве (user agent), дата и время запроса, адрес запрошенной страницы.

3.2. Лица, направившие обращение (письмо, сообщение в Telegram): имя, название компании, контактные данные (адрес электронной почты, имя пользователя в Telegram), адрес сайта, текст обращения и иные сведения, которые лицо сообщило по своей инициативе.

3.3. Пользователи Сервиса: фамилия и имя, адрес электронной почты, роль в организации, язык интерфейса, пароль (хранится только в виде криптографического хэша), сведения о способе регистрации и подтверждении почты, дата и версия принятых согласия и оферты, название организации пользователя; IP-адрес и время попыток входа (для защиты учетной записи от подбора пароля); журнал отправленных Сервисом служебных писем.

3.4. Приглашенные лица: адрес электронной почты, на который пользователь Сервиса направил приглашение.

3.5. Оператор не обрабатывает специальные категории персональных данных (сведения о здоровье, убеждениях и т. п.) и биометрические персональные данные.

4.Цели и правовые основания обработки

• Работа Сайта и обеспечение его безопасности — технические данные посетителей; основание: законный интерес Оператора и согласие посетителя на использование cookie.
• Обработка заявок и обратная связь — данные заявителей; основание: согласие на обработку персональных данных.
• Регистрация, предоставление доступа к Сервису и исполнение договора — данные пользователей; основание: заключение и исполнение договора-оферты, стороной которого является пользователь или организация, от имени которой он действует, и согласие пользователя.
• Защита учетных записей (подтверждение почты, одноразовые коды и ссылки для входа, ограничение попыток входа) — данные пользователей; основание: исполнение договора и законный интерес Оператора.
• Направление служебных уведомлений (о доступе, приглашениях, отчетах, изменении условий) — адрес электронной почты; основание: исполнение договора.
• Информационные и рекламные рассылки — только при наличии отдельного согласия субъекта, которое может быть отозвано в любой момент.
• Исполнение требований законодательства (бухгалтерский и налоговый учет, ответы на запросы уполномоченных органов) — в объеме, предусмотренном законом.

5.Порядок и условия обработки

5.1. Оператор совершает с персональными данными действия, перечисленные в пункте 3 статьи 3 Закона № 152-ФЗ: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Обработка ведется с использованием средств автоматизации и без их использования.

5.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

5.3. Сроки хранения:

• данные пользователя Сервиса — в течение срока действия учетной записи и [срок, например 3 года] после ее удаления, если более длительный срок не установлен законом;
• данные заявок и обращений — до достижения целей обработки, но не более [срок, например 3 лет] с даты последнего обращения;
• журналы безопасности (попытки входа, одноразовые коды и ссылки, журнал служебных писем) — ограниченный срок, необходимый для защиты учетных записей, после чего удаляются автоматически;
• технические журналы веб-сервера — не более [срок, например 30 дней].

5.4. По достижении целей обработки, по истечении срока хранения или при отзыве согласия персональные данные уничтожаются или обезличиваются в сроки, установленные статьей 21 Закона № 152-ФЗ, если иное основание для их обработки не предусмотрено законом или договором.

6.Передача персональных данных третьим лицам

6.1. Оператор поручает обработку персональных данных следующим лицам на основании договора, который обязывает их соблюдать конфиденциальность и требования Закона № 152-ФЗ:

• хостинг-провайдеру, обеспечивающему размещение Сайта и Сервиса: [наименование, ИНН, страна размещения серверов];
• поставщику услуг электронной почты, через которого Сервис отправляет служебные письма: [наименование, ИНН].

6.2. Для формирования отчетов Сервис направляет поставщикам нейросетевых моделей (ChatGPT, Claude, Gemini, Google AI, Perplexity, DeepSeek, YandexGPT, Алиса) тексты запросов о брендах, товарах и рыночных категориях. Персональные данные пользователей в такие запросы Оператором не включаются. Пользователь обязуется не указывать персональные данные третьих лиц в запросах, промптах и сообщениях чат-агенту, поскольку их содержимое передается поставщикам моделей, в том числе находящимся за пределами Российской Федерации.

6.3. Трансграничная передача персональных данных пользователей и заявителей не осуществляется. Если такая передача потребуется, Оператор заранее уведомит Роскомнадзор в порядке статьи 12 Закона № 152-ФЗ и внесет изменения в настоящую Политику.

6.4. Персональные данные могут быть предоставлены государственным органам в случаях и порядке, предусмотренных законодательством Российской Федерации. Распространение персональных данных (раскрытие неопределенному кругу лиц) не осуществляется.

7.Обработка по поручению клиентов (веб-аналитика)

7.1. Если клиент Сервиса подключает модуль веб-аналитики к своему сайту, Оператор обрабатывает данные о посетителях сайта клиента по поручению клиента, который в этом случае является оператором персональных данных своих посетителей. Условия такого поручения определяются договором-офертой.

7.2. Модуль веб-аналитики не использует cookie и не хранит IP-адреса посетителей в открытом виде; статистика формируется в обезличенной форме.

8.Cookie и хранилище браузера

8.1. На Сайте в браузере сохраняется только отметка о том, что посетитель принял уведомление об использовании cookie. Сторонние рекламные и аналитические счетчики на Сайте не используются.

8.2. В Сервисе в браузере сохраняются данные, без которых Сервис не может работать: токены авторизации (чтобы пользователь оставался в системе), сведения о текущем пользователе, адрес возврата после входа через сторонние приложения и отметка о согласии на использование cookie.

8.3. Посетитель может удалить сохраненные данные или запретить их сохранение в настройках браузера. В этом случае вход в Сервис станет невозможен, а уведомление о cookie будет показано повторно.

9.Права субъекта персональных данных

9.1. Субъект персональных данных вправе:

• получить сведения об обработке своих персональных данных в объеме, предусмотренном частью 7 статьи 14 Закона № 152-ФЗ;
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• удалить свою учетную запись в Сервисе или направить Оператору запрос на ее удаление;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

9.2. Запрос направляется на адрес privacy@theflip.io или почтой по адресу Оператора. Запрос должен содержать сведения, позволяющие идентифицировать субъекта (например, адрес электронной почты учетной записи), и подпись субъекта или его представителя.

9.3. Оператор предоставляет ответ в течение 10 рабочих дней с даты получения запроса. Срок может быть продлен не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.

10.Меры по защите персональных данных

10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона № 152-ФЗ, в том числе:

• шифрование передаваемых данных (протокол HTTPS/TLS);
• хранение паролей только в виде криптографических хэшей;
• ограничение числа попыток входа и временная блокировка адресов, с которых подбирают пароли;
• разграничение доступа сотрудников к персональным данным по принципу минимально необходимых прав;
• резервное копирование и контроль событий безопасности;
• назначение лица, ответственного за организацию обработки персональных данных.

11.Изменение Политики

11.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента ее размещения по тому же адресу, если иное не указано в новой редакции. Дата текущей редакции указана в начале документа.

11.2. Вопросы о Политике и обработке персональных данных направляйте на privacy@theflip.io.