Политика конфиденциальности

Оператор персональных данных: физическое лицо Новиков Илья Алексеевич (ИНН 711611332166, г. Москва), применяющий специальный налоговый режим «Налог на профессиональный доход» (самозанятый), именуемый далее «Оператор».

Контактный адрес электронной почты: help@ezhikcrm.ru

Настоящая Политика конфиденциальности описывает, как Оператор собирает, использует, хранит и защищает персональные данные пользователей облачного CRM-сервиса «ЁЖИК» (далее — «Сервис») в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Используя Сервис, Пользователь выражает согласие с условиями настоящей Политики. Если Пользователь не согласен с Политикой, он должен прекратить использование Сервиса.

При регистрации по email:

• Имя (или псевдоним)
• Адрес электронной почты
• Пароль — хранится исключительно в виде необратимого bcrypt-хэша; исходный пароль Оператору недоступен
• Уникальный идентификатор (slug) для страницы онлайн-записи

При регистрации или входе через Яндекс ID / VK ID:

• Имя из профиля провайдера (предзаполняется при регистрации, редактируется)
• Адрес электронной почты из профиля провайдера — если пользователь разрешил его передачу
• Уникальный идентификатор пользователя у провайдера (Яндекс UID или VK user_id) — хранится для идентификации при повторном входе

Мы не получаем и не храним OAuth access_token провайдера после завершения входа — он используется однократно для получения профиля и затем отбрасывается.

При использовании Сервиса (вносятся самим Пользователем):

• Данные клиентов мастера: имя, номер телефона, Telegram-аккаунт, заметки
• Сведения о записях, услугах и финансовых операциях
• Фотографии работ (загружаются добровольно)

Важно: Пользователь самостоятельно является оператором персональных данных своих клиентов в понимании Федерального закона № 152-ФЗ и несёт ответственность за законность оснований их обработки.

Автоматически (технические данные):

• IP-адрес при обращениях к API — используется исключительно для технических логов и безопасности; срок хранения — 30 дней
• Файлы cookie сессии (подробнее — раздел 4)

Оператор обрабатывает персональные данные Пользователя в следующих целях:

• аутентификация и идентификация в Сервисе;
• оказание функциональности CRM-сервиса (расписание, клиенты, аналитика);
• отправка Telegram-уведомлений и напоминаний (о предстоящем визите, о возврате на услугу, запрос отзыва) — только при наличии добровольно подключённого Telegram-аккаунта; получатель может в любой момент отказаться от рассылки командой «/stop» в Telegram-боте;
• обработка платежей через ЮKassa;
• направление технических и информационных сообщений по электронной почте (уведомления о системных событиях, изменениях Соглашения) — письма отправляются с адреса robots@ezhik-crm.ru, вопросы и обращения направляйте на help@ezhikcrm.ru;
• улучшение качества Сервиса — исключительно на основе агрегированных и обезличенных данных.

Мы не используем персональные данные Пользователей в маркетинговых целях без их явного согласия и не продаём данные третьим лицам.

Файлы cookie (куки) — это небольшие текстовые файлы, сохраняемые браузером на устройстве Пользователя. Сервис использует технически необходимые файлы cookie, а также аналитические cookie сервиса Яндекс.Метрика:

Аутентификационные cookie (access_token, refresh_token) установлены с флагами HttpOnly и SameSite=Lax, что защищает их от доступа со стороны JavaScript и CSRF-атак. Без них аутентификация в Сервисе невозможна.

Cookie Яндекс.Метрики используются исключительно для обезличенной веб-аналитики (посещаемость, источники переходов, конверсии) и не применяются для рекламного таргетинга. Запись сессий (Вебвизор) отключена. Условия обработки — на стороне Яндекса. Отключить сбор можно, отказавшись от cookie в настройках браузера.

Персональные данные Пользователя не продаются и не передаются третьим лицам, за исключением следующих случаев, необходимых для работы Сервиса:

Все перечисленные получатели данных действуют в соответствии с требованиями законодательства Российской Федерации о персональных данных.

Трансграничная передача данных. Трансграничная передача персональных данных возникает лишь в случае, если получателем либо субъектом персональных данных является иностранное лицо (гражданин иностранного государства, иностранное юридическое лицо либо иностранный орган власти). Передача персональных данных между гражданами Российской Федерации, в том числе временно находящимися за пределами территории Российской Федерации, посредством Сервиса (включая мессенджер Telegram) трансграничной передачей персональных данных не является. Сервис ориентирован на использование гражданами Российской Федерации; Оператор не запрашивает, не собирает и не проверяет сведения о гражданстве. Если Пользователь вносит в Сервис персональные данные граждан иностранных государств, обязанности и ответственность, связанные с трансграничной передачей, несёт сам Пользователь (см. Пользовательское соглашение). Основные базы персональных данных граждан Российской Федерации хранятся на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ).

Данные клиентов Пользователя. Сведения о клиентах, которые Пользователь (специалист) вносит в Сервис, обрабатываются Оператором по поручению Пользователя (часть 3 статьи 6 Федерального закона № 152-ФЗ). Оператором таких данных в понимании закона является сам Пользователь; он отвечает за наличие правовых оснований и согласий своих клиентов. Оператор Сервиса не определяет цели обработки клиентских данных и использует их только для предоставления функциональности Сервиса Пользователю.

В соответствии со статьями 14–17 Федерального закона № 152-ФЗ «О персональных данных» Пользователь имеет следующие права:

• Право на доступ — получить сведения о составе обрабатываемых персональных данных и основаниях их обработки;
• Право на уточнение — потребовать исправления неточных или неполных данных;
• Право на удаление — потребовать уничтожения персональных данных при наличии законных оснований;
• Право на отзыв согласия — отозвать согласие на обработку персональных данных; при этом Оператор вправе прекратить предоставление Сервиса;
• Право на обращение в РКН — подать жалобу в Роскомнадзор (rkn.gov.ru) в случае нарушения прав.

Для реализации любого из перечисленных прав необходимо направить письменное обращение по электронной почте: help@ezhikcrm.ru

Оператор обязан рассмотреть обращение и направить ответ в течение 30 (тридцати) рабочих дней с момента его получения.

Оператор принимает технические и организационные меры для защиты персональных данных Пользователей:

• HTTPS (TLS 1.3) — все соединения между браузером Пользователя и серверами Сервиса шифруются;
• bcrypt — пароли хранятся в виде необратимого хэша, Оператор не знает исходный пароль;
• HttpOnly JWT cookies — аутентификационные токены недоступны JavaScript и защищены от XSS-атак;
• Шифрование на стороне хранилища — файлы в Selectel Object Storage шифруются на стороне сервера (SSE);
• Ограниченный доступ — доступ к производственным данным ограничен минимально необходимым кругом лиц.

При обнаружении инцидента безопасности, затрагивающего персональные данные, Оператор уведомит Пользователей и, при необходимости, Роскомнадзор в соответствии с требованиями действующего законодательства.

Оператор вправе в одностороннем порядке изменить настоящую Политику конфиденциальности. Актуальная редакция публикуется на данной странице.

При существенных изменениях, затрагивающих права Пользователей, Оператор уведомит их по адресу электронной почты, указанному при регистрации, не позднее чем за 30 (тридцать) календарных дней до вступления изменений в силу.

Продолжение использования Сервиса после вступления изменений в силу означает согласие Пользователя с обновлённой Политикой.