Политика конфиденциальности

Оператором персональных данных (далее — Оператор) является юридическое лицо, реквизиты которого опубликованы в подвале сайта (149-ФЗ ст.10). До регистрации юридического лица сервис работает в закрытом режиме без приёма данных широкого круга субъектов.

Настоящая Политика разработана в соответствии с 152-ФЗ «О персональных данных» (в редакции через Федеральный закон 266-ФЗ от 2025 года, разделяющий согласие на обработку ПДн как отдельный документ — см. /legal/pd-consent), 149-ФЗ «Об информации» и иными нормативными актами РФ.

Политика распространяется на все сервисы Платформы Qleex: веб-сайт qleex.com, мобильное приложение, Telegram Mini App, взаимодействие с мастерами и салонами.

Клиенты — физические лица старше 18 лет, использующие Платформу для записи к мастерам.

Мастера и работники салонов — физические лица в статусе самозанятого (НПД), индивидуального предпринимателя или работники юридического лица, оказывающие услуги через Платформу.

Представители салонов — лица, принимающие записи от имени организации.

Сотрудники поддержки и технического персонала Оператора — обработка их ПДн регулируется отдельной кадровой политикой и в настоящую Политику не входит.

Несовершеннолетние не регистрируются на Платформе — при попытке регистрации применяется блокирующее возрастное подтверждение 18+ (см. /legal/pd-consent §8).

При регистрации: имя, номер телефона, адрес электронной почты, идентификатор Telegram (если использован для авторизации), пол и дата рождения (опционально).

При использовании: IP-адрес, тип устройства, версия браузера, данные о действиях в Платформе, история записей и отзывов.

Определение города по IP-адресу: для подбора каталога мастеров вашего региона Оператор использует локальную базу соответствия IP→город, обновляемую периодически из открытых источников. Сам IP-адрес не сохраняется: для технического кеша на 24 часа применяется криптографический отпечаток с серверным секретом, по которому исходный IP восстановить невозможно. Сменить город можно вручную через переключатель в шапке сайта в любое время.

Геолокация устройства (через геолокационный API браузера) — обрабатывается только при явном согласии пользователя в браузерном диалоге; согласие можно отозвать в настройках браузера и Платформы.

Специальные категории ПДн (раса, политические взгляды, состояние здоровья, биометрические данные) Оператор НЕ собирает (152-ФЗ ст.10). Услуги, требующие медицинской лицензии, оказываются мастером в его правовом поле без участия Платформы.

Исполнение договора — обеспечение записи к мастерам, идентификация сторон сделки.

Отправка сервисных уведомлений: напоминания о записи, подтверждения, отмены.

Маркетинговые рассылки — только при отдельном явном согласии (38-ФЗ ст.18). Отзыв согласия — одним кликом по ссылке отписки в любом маркетинговом сообщении или через настройки уведомлений в личном кабинете в любое время; обработка маркетинговых рассылок прекращается немедленно после отзыва.

Аналитика и улучшение качества сервиса — на основе обезличенных данных.

Обеспечение безопасности, предотвращение мошенничества и злоупотреблений.

Выполнение требований законодательства РФ.

152-ФЗ ст.6 ч.1 п.1 — согласие субъекта (при регистрации, через отдельный документ — см. /legal/pd-consent).

152-ФЗ ст.6 ч.1 п.5 — обработка для исполнения договора, стороной или выгодоприобретателем которого является субъект ПДн.

152-ФЗ ст.6 ч.1 п.7 — обработка для законных интересов Оператора (безопасность, предотвращение мошенничества) при условии непревышения интересов и прав субъекта.

152-ФЗ ст.6 ч.1 п.2 — обработка для исполнения требований законодательства РФ (НК РФ, 402-ФЗ, 422-ФЗ).

Автоматизированная обработка серверной инфраструктурой и приложениями Платформы.

Смешанная обработка — отдельные операции (рассмотрение обращений, ручная модерация контента) выполняются сотрудниками с применением программных средств.

Неавтоматизированная обработка применяется в исключительных случаях (бумажные обращения через регистратуру). На дату публикации Политики Оператор не принимает ПДн в неавтоматизированной форме.

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ — только в рамках раздела «Передача третьим лицам»), обезличивание, блокирование, удаление, уничтожение.

Данные аккаунта — весь срок действия аккаунта + 30 дней после удаления (период восстановления по запросу субъекта).

Данные о записях, оплатах и связанных операциях — 5 лет с даты совершения операции (НК РФ ст.23 ч.1 п.8 + 402-ФЗ ст.29 — первичные учётные документы).

Audit log действий с ПДн — 3 года (ПП-1119 п.13).

Данные обращений в поддержку — 3 года с даты закрытия обращения (общий срок исковой давности, ГК ст.196).

Данные аналитики, обезличенные — 13 месяцев (152-ФЗ ст.5 ч.5, минимизация).

IP-кеш — 24 часа (хеш HMAC; исходный IP не сохраняется).

Сведения, обработка которых прекращена и для которых истёк срок хранения, уничтожаются в течение 30 дней с фиксацией в Журнале уничтожения ПДн.

Платформа передаёт ПДн ограниченному перечню обработчиков на основании поручений (152-ФЗ ст.6 ч.3). Каждый обработчик действует исключительно по инструкции Оператора и в пределах указанной цели:

Хостинг-провайдер — ООО «Яндекс.Облако» (ИНН 7704458262) — серверная инфраструктура на территории РФ (152-ФЗ ст.18 ч.5).

SMS-агрегатор — ООО «Центр Мобильных Технологий» / smsc.ru (или альтернативный РФ-резидент в рамках того же поручения) — отправка одноразовых паролей и сервисных уведомлений. Передаются: номер телефона, текст сообщения.

E-mail-провайдер — Yandex Cloud Postbox (тот же оператор инфраструктуры) — транзакционная почта. Передаются: e-mail получателя, ФИО, тело письма.

Telegram Bot — на базе сервиса Telegram Messenger. Передаются: chat_id, тело сообщения. Согласие на использование Telegram даётся пользователем при привязке аккаунта.

Мастера и салоны — имя и контактный телефон клиента передаются для оказания услуги после отдельного явного согласия клиента в момент бронирования (152-ФЗ ст.6 ч.1 п.5). Каждый Мастер становится самостоятельным оператором ПДн в значении 152-ФЗ ст.3 п.2.

Сервисы аналитики — Яндекс Метрика на серверах в РФ; передаётся только обезличенный пользовательский трафик.

Государственные органы — по обоснованному запросу в соответствии с законодательством РФ.

Актуальный перечень обработчиков с указанием ИНН и адресов также предоставляется субъекту ПДн по письменному запросу на hello@qleex.com (152-ФЗ ст.18.1 ч.2 п.10). Платформа НЕ продаёт персональные данные третьим лицам.

Персональные данные хранятся и обрабатываются исключительно на территории Российской Федерации (152-ФЗ ст.18 ч.5). Трансграничная передача ПДн Оператором НЕ осуществляется.

Если Оператор примет решение о начале трансграничной передачи, об этом будет подано уведомление в Роскомнадзор до начала такой передачи (152-ФЗ ст.12 ч.3) и опубликовано обновление настоящей Политики.

Организационные: назначен ответственный за обработку ПДн (152-ФЗ ст.22.1), утверждены Политика ИБ и Положение об обработке ПДн, проводится обучение сотрудников.

Технические: шифрование канала передачи (TLS), разграничение прав доступа, многофакторная аутентификация для административных функций, аудит-логирование действий с ПДн с защитой от подмены, мониторинг подозрительной активности, защита от DDoS, регулярное резервное копирование.

Контрольные: уровень защищённости определён в соответствии с ПП-1119; модель угроз и применённые меры защиты соответствуют требованиям приказов ФСТЭК России № 17 и № 21.

В случае инцидента безопасности (утечка, неправомерный доступ) уведомление подаётся в Роскомнадзор в течение 24 часов с момента выявления — через портал https://pd.rkn.gov.ru/incidents/ (152-ФЗ ст.21 ч.3.1) — и в течение 72 часов с момента инцидента направляется результат расследования. Для оперативной связи по вопросам инцидентов: incident@qleex.com (по дате публикации Политики все обращения по инцидентам направляются на hello@qleex.com до выделения отдельного канала).

Получать информацию об обработке ваших ПДн (ст.14 ч.7) — в том числе подтверждение факта обработки, перечень обрабатываемых данных, источник, цели и сроки.

Требовать уточнения, блокирования или уничтожения ПДн в случае их неточности, неполноты, устаревания, незаконного получения или неактуальности (ст.14 ч.1).

Отозвать согласие на обработку ПДн (ст.9 ч.2) — через настройки аккаунта или письменное обращение; обработка прекращается, кроме случаев, предусмотренных законом.

Возражать против решений, принятых на основании исключительно автоматизированной обработки (ст.16).

Обжаловать действия или бездействие Оператора в Роскомнадзоре (ст.17 ч.1) — либо в судебном порядке.

Требовать возмещения причинённых убытков и компенсации морального вреда (ст.17 ч.2).

Для реализации прав направьте обращение на hello@qleex.com или создайте обращение в разделе «Помощь». Срок ответа Оператора — 30 дней (152-ФЗ ст.20).

Платформа использует cookie и аналогичные технологии (localStorage, sessionStorage). Подробное описание категорий, целей и сроков хранения — в /legal/cookies.

Cookie, обеспечивающие работу сервиса (авторизация, CSRF-защита, выбранный город), обрабатываются на основании 152-ФЗ ст.6 ч.1 п.5 (исполнение договора). Аналитические и маркетинговые cookie обрабатываются только при явном согласии пользователя.

Реквизиты ответственного публикуются после регистрации юридического лица и подачи уведомления в Роскомнадзор (152-ФЗ ст.22.1, ст.22). Контакт для вопросов по обработке ПДн до этого момента — hello@qleex.com.

Оператор вправе вносить изменения в настоящую Политику. О существенных изменениях пользователи уведомляются не позднее чем за 30 дней до их вступления в силу — через приложение, по email и через публикацию новой версии на этой странице.

Если изменения затрагивают объём собираемых данных или основания обработки, требующие согласия — пользователю предлагается принять обновлённое согласие через специальный экран при следующем входе.

Предыдущие версии Политики предоставляются субъекту ПДн по запросу.