Политика обработки персональных данных

1. Общие положения

1.1. Политика определяет, как Общество с ограниченной ответственностью «Маяк» (ООО «Маяк»; ОГРН 1255000047708, ИНН 5032390419, КПП 503201001; адрес: 143007, Московская обл., г.о. Одинцовский, г. Одинцово, ул. Молодёжная, д. 46, офис 407; тел. +7 915 181-35-83; e-mail mayak-expert@yandex.ru; далее — Оператор) обрабатывает и защищает персональные данные (ПДн). Оператор внесён в реестр операторов Роскомнадзора, регистрационный номер 77-25-211997.

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (152-ФЗ) и принятыми в соответствии с ним актами.

1.3. Политика распространяется на ПДн, которые Оператор получает: через сайт «МАЯК Экспертиза» (домен mayak-expertiza.ru, раздел для организаций — biz.mayak-expertiza.ru), в том числе через бесплатный разбор без регистрации, личный кабинет, чат на сайте, окно комментария («Жалобы и предложения»), формы отзывов, бот в мессенджере МАКС (если он подключён: заявки, фото, документы — п. 5.4), по телефону и электронной почте; при оказании услуг и исполнении договоров. Иные мессенджеры и иностранные сервисы для сбора ПДн не используются.

1.4. Основные понятия — по 152-ФЗ: персональные данные; обработка; оператор; субъект; блокирование; уничтожение; обезличивание; информационная система; трансграничная передача.

1.5. Ответственный за организацию обработки ПДн (ст. 22.1 152-ФЗ): генеральный директор Зотиков Дмитрий Владимирович; контакты для обращений по ПДн: e-mail mayak-expert@yandex.ru, тел. +7 915 181-35-83, почтовый адрес — 143007, Московская обл., г.о. Одинцовский, г. Одинцово, ул. Молодёжная, д. 46, офис 407.

2. Принципы обработки

Оператор обрабатывает ПДн законно и добросовестно; только для заявленных целей; не объединяет базы с несовместимыми целями; собирает только необходимое; обеспечивает точность и актуальность; хранит не дольше, чем нужно для цели, если срок не определён законом или договором; уничтожает или обезличивает данные по достижении цели (ст. 5 152-ФЗ).

3. Цели, субъекты, данные и основания обработки

№	Цель	Категории субъектов	Категории данных	Правовое основание (ст. 6 152-ФЗ)	Срок хранения	Получатели (по поручению — п. 7.2)
1	Приём и обработка заявок на платные услуги, предварительный разбор заявки зарегистрированного пользователя, связь с заявителем	Заявители, зарегистрированные в личном кабинете или обратившиеся через бот МАКС (если он подключён)	ФИО; телефон; e-mail; адрес объекта; сведения о проблеме; сообщения в чате на сайте и в боте МАКС (если он используется); идентификатор пользователя МАКС (технический); дата и время подтверждения согласия, а при подтверждении на сайте — также IP-адрес и сведения о браузере (user-agent); при отметке ознакомления с условиями перед оплатой — дата, время и IP-адрес	Согласие субъекта (п. 1 ч. 1 ст. 6; Согласие А)	2 месяца для заявок, по которым не заключён договор; при заключении договора — по цели 2	Yandex Cloud; оператор почты и уведомлений; оператор платформы МАКС (если он используется; п. 5.4, 7.2)
1а	Бесплатный разбор без регистрации: подготовка и показ результата разбора и предложения по услуге; по желанию — отправка ссылки на результат на e-mail	Пользователи сайта, проходящие разбор без регистрации	Город (регион), тип дома, выбранная ситуация, описание проблемы, фото (ФИО, контакты, адрес и документы не запрашиваются); технические данные: хеш секретного токена доступа к результату (сам токен — только в адресе страницы и в сессии браузера), хеш IP-адреса для ограничения числа разборов (в кеше 1 час и 1 сутки; IP-адрес не сохраняется); e-mail — только для однократной отправки ссылки, в базе не сохраняется	Согласие субъекта по форме Д; для e-mail — отдельное Согласие Е	30 дней с даты создания, затем удаление (очистка выполняется ежедневно); при переходе к платной услуге — привязка к учётной записи, далее по целям 1–2	Yandex Cloud, сервисы обработки данных (п. 3.5, 7.2); оператор почты — только для отправки ссылки
2	Заключение и исполнение договора возмездного оказания услуг; подготовка Акта досудебного исследования, проектов претензии и обращения	Клиенты; их представители; третьи лица, упомянутые в документах клиента	ФИО; адрес; контакты; фото помещений и общего имущества; документы по дому и квартире (договоры, акты, квитанции, переписка с УК и органами); сведения о доверенности; результаты исследования; при приёмке результата услуги — дата, время, IP-адрес и сведения о браузере (user-agent), адрес электронной почты, на который направлен код подтверждения	Договор, стороной которого является субъект (п. 5 ч. 1 ст. 6); для третьих лиц — законный интерес Оператора и клиента при условии, что не нарушаются права этих лиц (п. 7 ч. 1 ст. 6); согласие там, где оно требуется	В течение срока договора и 5 лет после его исполнения	Yandex Cloud; эксперты-ИП (на старте не применяется); специалисты по сбору материалов на месте; оператор платформы МАКС (при передаче через бот, если он используется); Почта России (по запросу клиента)
2а	Участие в коллективной заявке: исследование общей проблемы дома с учётом материалов участника, связь с участником	Участники коллективных заявок (собственники и пользователи помещений, не являющиеся Заказчиком)	ФИО; номер помещения; статус (собственник / пользователь); контакт (телефон, e-mail или аккаунт МАКС); описание проблемы в помещении; фото и видео помещения; документы и переписка по теме; при подтверждении согласия — дата, время, IP-адрес и сведения о браузере (user-agent)	Согласие субъекта (п. 1 ч. 1 ст. 6): «Согласие Г — участник коллективной заявки»	Как по цели 2	Yandex Cloud; эксперты-ИП; Заказчику-инициатору — только сведения в объёме Согласия Г
2б	База знаний и библиотека образцов: обезличивание одобренных экспертом фрагментов текстов по делам для повышения качества разбора и подготовки проектов документов	Клиенты (до обезличивания)	Тексты описаний и выводов по делу после обезличивания (без ФИО, адресов, номеров квартир, контактов, номеров документов)	Согласие субъекта (Согласие А, цель (ж)) — на действие «обезличивание»; после обезличивания ПДн не обрабатываются. Обезличивание выполняется программой при отметке образца экспертом по тем же правилам, что и перед обработкой в облачных сервисах (п. 3.5)	Обезличенные образцы — до исключения из библиотеки	Yandex Cloud, сервисы обработки данных (1–2 образца той же ситуации в запросе)
2в	Вопросы оператору из личного кабинета: приём вопроса заявителя или клиента по его делу, подготовка и отправка ответа, хранение вопроса и ответа в журнале дела	Заявители и клиенты, зарегистрированные в личном кабинете (форма «Вопрос оператору» на странице дела)	Текст вопроса (свободный текст до 2000 знаков), дата и время, номер дела, текст ответа и сведения о том, кто его согласовал; файлы и документы через эту форму не принимаются, паспортные данные, пароли и данные банковской карты в вопросе указывать не нужно	Договор, стороной которого является субъект, и преддоговорные действия по его заявке (п. 5 ч. 1 ст. 6); для обработки обращения — Согласие А (цель «г»)	Как у дела, к которому относится вопрос: 2 месяца для заявки без договора; при заключении договора — срок договора и 5 лет после его исполнения (цель 2). Обезличенная копия пары «вопрос — ответ» в разделе «Наблюдение» — до 1 года (цель 4б, п. 3.7)	Yandex Cloud (хранение; обработка обезличенного текста по поручению — п. 3.8); оператор почты и уведомлений (ответ на e-mail клиента)
3	Приём платежей, возвраты, бухгалтерский и налоговый учёт, выдача кассовых чеков	Клиенты; представители	ФИО; сведения о платеже (сумма, дата, номер операции, последние цифры карты, реквизиты счёта плательщика при оплате по счёту); контакт для чека	Договор (п. 5 ч. 1 ст. 6); исполнение обязанностей, предусмотренных законом (п. 2 ч. 1 ст. 6): бухгалтерский учёт, налоги, применение ККТ	По требованиям законодательства о бухгалтерском учёте и налогах — не менее 5 лет	ПАО «Сбербанк» (эквайринг, расчётный счёт, переводы по счёту); оператор облачной кассы; бухгалтерия
4	Рассмотрение обращений и претензий; защита прав и законных интересов Оператора в споре	Клиенты; заявители; обратившиеся лица	ФИО; контакты; содержание обращения; переписка; материалы дела; журнал подтверждений простой электронной подписью (дата, время, способ доставки кода, IP-адрес, сведения о браузере, хеш документа)	Исполнение закона (п. 2 ч. 1 ст. 6); законный интерес Оператора (п. 7 ч. 1 ст. 6)	3 года с даты обращения (срок исковой давности, ст. 196 ГК РФ); при споре — до его завершения	Yandex Cloud; по закону — суд, органы надзора
4а	Отзывы, оценки и сообщения с сайта: оценка результата, отзыв «Что улучшить?», сообщения через окно комментария («Жалобы и предложения»); ответ автору	Посетители сайта; клиенты	Текст отзыва или сообщения; оценка; номер заявки (если указан автором); e-mail для ответа — по желанию и только с отметкой согласия (без отметки не сохраняется)	Согласие субъекта на обработку e-mail (Согласие Ж); текст без идентификаторов ПДн не содержит	отзыв и e-mail для ответа — до ответа автору, но не дольше 1 года с момента получения, или до отзыва согласия; по истечении года запись удаляется	Yandex Cloud; оператор почты (ответ)
4б	Контроль качества ответов сервиса: проверка того, что справочный чат сайта и бот МАКС отвечают по делу, без ошибок и лишних обещаний, и улучшение ответов; запись ведётся только после обезличивания текста	Посетители сайта, задающие вопрос в справочном чате; пользователи бота МАКС (если он подключён)	Обезличенный текст вопроса в справочном чате (контакты, адреса, имена и номера документов заменяются метками до записи; длина ограничена) и тема ответа; обезличенные сообщения и нажатые кнопки в боте МАКС, ответ сервиса, дата и время, состояние диалога и номер дела (если диалог относится к делу). Не сохраняются: IP-адрес, сведения о браузере, идентификатор пользователя МАКС, имя и контакты (п. 3.7)	Справочный чат: законный интерес Оператора в контроле качества ответов при условии, что не нарушаются права субъекта (п. 7 ч. 1 ст. 6), сохраняется только обезличенный текст. Бот МАКС: Согласие А (цель «з»), а также п. 7 ч. 1 ст. 6	до 1 года с даты записи, затем запись удаляется; сообщения из бота, связанные с делом, удаляются вместе с делом, если оно удалено раньше	Yandex Cloud (хранение)
5	Обеспечение работы сайта, информационная безопасность, обезличенная статистика посещений	Посетители сайта	Технические cookie (вход, защита форм, сессия разбора без регистрации); технические журналы веб-сервера (IP-адрес, время, запрошенная страница) — для безопасности; для статистики — только суточный хеш IP-адреса и сведений о браузере с солью дня (IP-адрес и браузер не сохраняются, визиты разных дней связать нельзя) и итоговые числа	Законный интерес Оператора (п. 7 ч. 1 ст. 6) — безопасность и технические cookie; статистика — обезличенные данные	Суточные хеши — 2 суток, затем удаляются (остаются только числа); технические журналы веб-сервера и приложения — 12 месяцев	Yandex Cloud; сторонние сервисы веб-аналитики не используются
6	Кадровый учёт, расчёт оплаты, договоры с сотрудниками и исполнителями	Работники; кандидаты; исполнители (ИП, самозанятые)	Данные, необходимые по ТК РФ и договору	Договор; закон	По документам кадрового и бухгалтерского учёта, в сроки, установленные законодательством	Бухгалтерия; банк (выплаты)
7	Оказание услуг организациям (направление «строительные споры», biz.mayak-expertiza.ru): приём заявок, оценка документов, коммерческое предложение, заключение и исполнение договоров, кабинет дела, проверка конфликта интересов	Представители и работники организаций-клиентов и их контрагентов; индивидуальные предприниматели — стороны споров; лица, упомянутые в документах (главный инженер проекта, подписанты, работники подрядчиков)	ФИО, должность, контакты, сведения о полномочиях; данные в документах (договоры, переписка, проектная и исполнительная документация); для проверки конфликта интересов — наименования и ИНН сторон, объект, номер договора и судебного дела	Договор (п. 5 ч. 1 ст. 6) — для ИП-клиентов; законный интерес Оператора и клиента (п. 7 ч. 1 ст. 6) — для представителей и лиц из документов	В течение срока договора и 5 лет после его исполнения; сведения для проверки конфликта интересов — до окончания спора и 3 года после	Yandex Cloud; эксперты-ИП

3.1. ПДн специальных категорий (о здоровье, религиозных и политических убеждениях и т.п.) и биометрические ПДн Оператор не запрашивает и не использует для идентификации. Если клиент загрузил такие данные в документах (например, справки), Оператор ограничивает доступ к ним, использует только если это необходимо для исследования и согласие получено надлежащим образом; предложит закрыть эти данные.

3.2. Фото помещений могут случайно содержать изображения людей и личных вещей. Клиентам рекомендовано не снимать людей. Такие фото Оператор не использует для идентификации лиц.

3.3. Паспортные данные. Оператор паспортные данные не запрашивает. Если документ клиента содержит паспортные данные, клиенту рекомендовано закрыть лишнее.

3.4. Данные третьих лиц. В документах клиента могут быть данные соседей, представителей УК, работников подрядчиков (ФИО, подписи, телефоны, номера квартир). Оператор использует их только для исследования. Клиент подтверждает основание их передачи в согласии на заявку. Участники коллективной заявки к таким третьим лицам не относятся: их данные Оператор обрабатывает только по их собственному согласию (Согласие Г, строка 2а таблицы); заверение клиента о том, что соседи согласились, согласием не считается. Информирование таких лиц Оператором — по ч. 4 ст. 18 152-ФЗ в случаях, когда оно требуется.

3.5. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании обработки с использованием средств автоматизации. Предварительный разбор заявки (в том числе бесплатный, без регистрации) и составление проекта обращения (услуга без Акта) выполняет Оператор; он определяет маршрут и готовит проект текста, но эти действия не создают для субъекта прав и обязанностей помимо выбора услуги; решение о том, платить ли за услугу и подавать ли обращение, принимает сам субъект, а выводы Акта — эксперт (ст. 16 152-ФЗ). Для проверки комплектности и качества присланных фотографий и для изложения описания проблемы деловым языком Оператор использует сервисы обработки данных на территории РФ (Yandex Cloud) по поручению Оператора. Что передаётся. Перед такой обработкой текстовые данные обезличиваются: имена (по данным дела и по шаблону «Фамилия Имя Отчество»), телефоны, адреса электронной почты, номера документов (паспорта, СНИЛС, ИНН, банковских счетов и карт) и адрес объекта заменяются условными метками, которые после обработки подставляются обратно уже в системе Оператора. Фотографии передаются в уменьшенном виде (до 1024 пикселей по длинной стороне) и без метаданных (геометка, модель телефона); документы в эти сервисы не передаются. Скрыть людей и надписи, случайно попавшие на фотографию, нельзя, поэтому клиенту рекомендовано не снимать людей и документы. Обработка выполняется на территории РФ; данные не используются для обучения моделей.

3.6. Бесплатный разбор без регистрации (цель 1а). На этом этапе Оператор не запрашивает ФИО, телефон, адрес и документы и просит пользователя не указывать их в описании и не снимать людей и документы. Доступ к результату — только по секретной ссылке; в базе хранится не ссылка, а её хеш. Ссылка на e-mail отправляется только по отдельному согласию (Согласие Е), адрес не сохраняется — в журнале фиксируется только факт отправки. Разборы, не ставшие заказом, удаляются вместе с фото через 30 дней. При переходе к платной услуге пользователь входит в личный кабинет по коду из e-mail, разбор привязывается к его учётной записи, и далее данные обрабатываются по целям 1–2 на основании Согласия А.

3.7. Контроль качества ответов сервиса (цель 4б). Справочный чат сайта и бот МАКС отвечают на вопросы по готовым текстам сервиса. Чтобы находить ошибки и улучшать ответы, Оператор сохраняет пары «вопрос — ответ». Перед записью вопрос обезличивается: телефоны, адреса электронной почты, адреса объектов, имена и номера документов заменяются метками, длина текста ограничивается. Если справочный чат на странице распознал в сообщении возможные личные данные, текст для записи не отправляется — сохраняется только пометка «скрыто». IP-адрес, сведения о браузере, идентификатор пользователя МАКС, имя и контакты в этих записях не хранятся. У записи из бота МАКС есть техническая ссылка на дело (если диалог относится к делу): такая запись удаляется вместе с делом либо по истечении 1 года, смотря что наступит раньше. В этом же разделе хранятся копии ответов сервиса по делам клиента (разбор, обращение, предложение цены, черновики документов): это данные, уже обрабатываемые по целям 1–2, они живут вместе с делом и не дольше 1 года. Записи видят только работники с двухфакторным входом, которым открыт раздел «Наблюдение» (директор — всегда); в публичной части сайта они недоступны. Работники отмечают ответы как «хорошо» или «плохой ответ»; решений в отношении субъекта на основании этих записей не принимается (п. 3.5). Запись вопросов справочного чата можно отключить настройкой сервиса; уже сохранённые записи удаляются по истечении срока.

3.8. Вопросы оператору из личного кабинета (цель 2в). На странице своего дела заявитель или клиент может задать вопрос оператору в форме «Вопрос оператору». Текст вопроса записывается в журнал дела и хранится вместе с делом: цель — исполнение договора и обработка обращения, срок — как у дела (цель 2, раздел 9). Вопрос видят работники, которым открыто это дело; ответ готовится по утверждённым текстам сервиса, до отправки его согласует оператор (работник Оператора) и при необходимости исправляет; вопросы о деньгах, возвратах, жалобах и юридические вопросы передаются директору или юристу. Перед тем как сервис обработки данных на территории РФ (Yandex Cloud, по поручению Оператора) подберёт и уточнит формулировку ответа, текст вопроса обезличивается так же, как в п. 3.5: имена, телефоны, адреса электронной почты, номера документов и адрес объекта заменяются условными метками. Принимать решения в отношении субъекта на основании такого ответа система не может (п. 3.5). Ответ появляется в «Ходе дела» и направляется на адрес электронной почты клиента. Обезличенная копия пары «вопрос — ответ» попадает в раздел «Наблюдение» и хранится до 1 года (п. 3.7); исправления ответов оператором сохраняются в обезличенном виде для улучшения текстов. Форма ограничивает частоту вопросов (не более 5 в час по делу) и не принимает файлы. Форму можно отключить настройкой сервиса; уже сохранённые вопросы хранятся до истечения срока дела.

4. Способы и действия с ПДн

4.1. Обработка — смешанная: с использованием средств автоматизации (информационная система «МАЯК Экспертиза») и без них (бумажные копии Актов — только по запросу клиента, почтовые отправления). Оригинал Акта — электронный документ, подписанный КЭП; бумажный экземпляр по умолчанию не направляется.

4.2. Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) в пределах разделов 7 и 8, обезличивание, блокирование, удаление, уничтожение. Распространение ПДн — не осуществляется.

4.3. Доступ к ПДн имеют только работники и исполнители, которым он нужен для работы, в пределах роли. Оператор поддержки видит данные, необходимые для связи и сбора материалов; финансовые работники видят расчёты и чеки, а не все материалы дела. Администраторы инфраструктуры не получают произвольного доступа к делам.

5. Место хранения. Трансграничная передача

5.1. Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ осуществляются с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18 152-ФЗ). База размещается в облаке Yandex Cloud; адрес ЦОД:; организация-владелец ЦОД:.

5.2. Журналы, очереди обработки, сервисы обработки данных (Yandex Cloud) и почта также размещаются на территории РФ. Резервные копии базы данных и файлов клиентов хранятся только в одном месте: в облаке Yandex Cloud (отдельное хранилище резервных копий, в котором копии не могут быть удалены или изменены в течение срока хранения), — в зашифрованном виде. Серверы третьих лиц, внешние диски и иные носители для хранения копий не используются.

5.3. Трансграничная передача не осуществляется. Иностранные мессенджеры и сервисы для приёма данных не используются. Зарубежные процессоры не подключаются без отдельной правовой проверки и изменения настоящей Политики и уведомления РКН (ст. 12 152-ФЗ).

5.4. Мессенджер МАКС (если используется). Заявки, фото и документы принимаются через сайт и, если бот подключён, через бот Оператора в российском мессенджере МАКС. Через бот МАКС Оператор получает: сообщения пользователя, переданные им ФИО, телефон, адрес, фото и документы, технический идентификатор пользователя МАКС, и связывает их с заявкой и личным кабинетом клиента. Порядок: бот до подтверждения согласия на обработку ПДн (текст согласия доступен по ссылке; согласие подтверждается кнопкой «Согласен» в боте) принимает только общие вопросы и не принимает фото, документы и ПДн; после подтверждения согласия материалы принимаются и привязываются к заявке.

Получатель и роль. Платформа МАКС принадлежит. Его роль — самостоятельный оператор данных пользователей платформы или лицо, обрабатывающее данные по поручению Оператора:.

Место обработки. Трансграничной передачи через канал МАКС Оператор не осуществляет. Место обработки на стороне провайдера МАКС (территория РФ, ЦОД) Оператор. Если провайдер не подтвердит размещение на территории РФ, приём ПДн через бот приостанавливается, и в бот передаются только общие вопросы.

Материалы, полученные через бот МАКС, переносятся в информационную систему Оператора (БД на территории РФ) и в Личный кабинет; далее обрабатываются как переданные через сайт. Переписка в боте, не связанная с заявкой, хранится не дольше, чем это необходимо для ответа на обращение. При аварии бот МАКС не заменяет службу 112 и аварийную службу.

6. Меры защиты ПДн

6.1. Оператор принимает правовые, организационные и технические меры (ст. 18.1, 19 152-ФЗ), в том числе: - назначен ответственный за организацию обработки ПДн; приняты локальные акты по обработке и защите ПДн; - определены перечень лиц с допуском, роли и права; принцип минимальных прав; двухфакторный вход сотрудников; - шифрование каналов передачи данных (TLS); резервные копии базы данных и файлов клиентов зашифрованы; хранилище файлов — шифрование на стороне облака (Yandex Key Management Service, KMS); отдельное хранение секретов; - объектная проверка доступа: клиент видит только свои дела; доступ по ссылкам ограничен по времени; кабинеты закрыты от поисковой индексации; - проверка загружаемых файлов (формат, антивирус, размер); отключено выполнение макросов и внешних ссылок; - журналы действий; в технические журналы не пишутся содержимое паспортов, переписки, платёжные данные и тексты документов; - отдельные тестовая и рабочая среды; в тестах используются только вымышленные данные; - резервное копирование и проверка восстановления; порядок реагирования на инциденты; - оценка возможного вреда субъектам при нарушении закона (п. 5 ч. 1 ст. 18.1 152-ФЗ; приказ Роскомнадзора от 27.10.2022 № 178); - определение уровня защищённости ИСПДн (постановление Правительства РФ от 01.11.2012 № 1119) и выбор мер: установлен четвёртый уровень защищённости; применяются меры по составу, установленному приказом ФСТЭК России от 18.02.2013 № 21 для этого уровня; - обучение и ознакомление работников и исполнителей с требованиями; обязательство конфиденциальности (ст. 7 152-ФЗ); - запрет загрузки данных клиентов в сторонние сервисы (в том числе иностранные), на личные устройства и в мессенджеры; исключения — приём материалов клиента через официальный бот МАКС (если он подключён), откуда они сразу переносятся в информационную систему, и обработка в облаке Yandex Cloud на территории РФ по поручению Оператора (п. 3.5, 7.2), которой предшествует обезличивание текстов.

6.2. Инциденты: при утечке ПДн Оператор уведомляет Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 152-ФЗ (первичное уведомление — в течение 24 часов, результаты внутреннего расследования — в течение 72 часов), принимает меры по устранению последствий и, где требуется, уведомляет субъектов.

7. Передача ПДн и поручение обработки третьим лицам

7.1. Оператор вправе поручить обработку ПДн другому лицу только по договору с соблюдением ч. 3 ст. 6 152-ФЗ: определены перечень действий и цели; обязаны соблюдать конфиденциальность и безопасность (ст. 19); предусмотрены уведомление об инцидентах и право Оператора на проверку. Лицо, обрабатывающее данные по поручению, отвечает перед Оператором, Оператор отвечает перед субъектом (ч. 5 ст. 6).

7.2. Перечень лиц, действующих по поручению (актуальный список размещается на сайте):

Лицо / категория	Цель	Данные	Примечание
Yandex Cloud (хостинг, хранилище, резервные копии)	Размещение информационной системы	Все данные в системе; резервные копии — в зашифрованном виде; хранилище файлов — шифрование на стороне облака (KMS)	ЦОД в РФ
Платёжный провайдер — ПАО «Сбербанк» (117312, г. Москва, ул. Вавилова, д. 19; эквайринг СБП, карта, счёт)	Приём платежей, возвраты	ФИО, сумма, номер заказа, платёжные реквизиты (вводит клиент на стороне банка)	Банк может быть самостоятельным оператором платёжных данных; МАЯК не хранит полный номер карты
ПАО «Сбербанк» (расчётный счёт Оператора)	Получение переводов по счёту, возвраты	ФИО плательщика, сумма, назначение платежа	Самостоятельный оператор в части банковских операций
Оператор платформы МАКС (если бот используется)	Приём и передача сообщений, фото и документов клиента через бот МАКС; доставка кодов подтверждения и уведомлений	Сообщения, ФИО, телефон, адрес, фото, документы, технический идентификатор пользователя	Роль: самостоятельный оператор или обработчик; место обработки; трансграничной передачи нет
Облачная касса / оператор фискальных данных	Формирование и передача чеков	Контакт для чека, сумма, наименование услуги
Эксперты-исполнители (индивидуальные предприниматели) по рамочному договору	Исследование по заявке	Материалы конкретного дела	На старте не применяется. Только в системе; на личные устройства и в мессенджеры не выгружаются
Специалисты по сбору материалов на месте (ИП, самозанятые) по договору	Сбор материалов на объекте по протоколу	Адрес, контакт для доступа, фото и видео объекта	Только по конкретному заказу
Оператор электронной почты и уведомлений	Уведомления клиентам; доставка кодов подтверждения (простая электронная подпись)	Контакты, текст уведомления, одноразовый код
Yandex Cloud, сервисы обработки данных	Предварительный разбор, в том числе без регистрации (проверка комплектности и качества фотографий); изложение описания проблемы деловым языком при составлении обращения; 1–2 обезличенных образца из библиотеки (цель 2б); подбор и уточнение формулировки ответа на вопрос клиента оператору (цель 2в)	Обезличенные тексты описаний; фотографии в уменьшенном виде без метаданных (п. 3.5). Имена, телефоны, адреса электронной почты, номера документов и адрес объекта в текстах до передачи заменяются условными метками	Размещение — РФ; без обучения моделей на данных клиентов; без передачи за рубеж
Организация почтовой связи (Почта России)	Отправка бумажной копии Акта только по запросу клиента, за счёт клиента	ФИО, адрес	Самостоятельный оператор в части пересылки

7.3. Передача по запросам государственных органов — в случаях и порядке, установленных законом.

7.4. ПДн третьим лицам для рекламы не передаются.

8. Cookie и статистика посещений

8.1. Сайт использует только технические cookie (вход в личный кабинет, защита форм, сессия бесплатного разбора без регистрации) — они необходимы для работы сайта. Аналитические и рекламные cookie не используются; сторонние счётчики и системы веб-аналитики на сайте не установлены.

8.2. Статистику посещений Оператор ведёт собственным обезличенным счётчиком: IP-адрес и сведения о браузере не сохраняются; чтобы не считать одного посетителя дважды за сутки, вычисляется хеш от IP-адреса и сведений о браузере с солью текущего дня; на следующий день соль меняется, и связать визиты разных дней нельзя. Такие хеши хранятся не более 2 суток и удаляются, остаются только числа (просмотры страниц, уникальные посетители за сутки). Служебные страницы и боты не учитываются. Содержимое анкет, документы, переписка и ПДн в рекламные и аналитические системы не передаются.

8.3. Посетитель может отключить cookie в настройках браузера; при этом вход в личный кабинет и привязка разбора к учётной записи могут стать недоступны.

9. Сроки хранения и уничтожение

9.1. Хранение — не дольше, чем нужно для цели (раздел 3), либо дольше, если этого требует закон или договор. Установленные сроки: бесплатный разбор без регистрации — 30 дней; вопросы справочного чата без личных данных и обезличенные сообщения бота МАКС (контроль качества ответов, цель 4б) — до 1 года; обезличенные суточные хеши посетителей — 2 суток; отзывы и e-mail для ответа — до ответа автору, но не дольше 1 года; технические журналы веб-сервера и приложения — 12 месяцев; заявки, по которым не заключён договор, — 2 месяца (вместе с ними — вопросы оператору из личного кабинета, цель 2в); данные по договорам — в течение срока договора и 5 лет после его исполнения; обращения и претензии — 3 года с даты обращения (при споре — до его завершения); резервные копии в облаке — 14 суток.

9.2. При достижении цели, отзыве согласия или требовании субъекта, если нет иного основания для хранения, ПДн уничтожаются или обезличиваются в срок, установленный ст. 21 152-ФЗ. Уничтожение оформляется актом и записью в журнале.

9.3. Удаление по обращению клиента не означает немедленного уничтожения документов, которые законно нужно хранить (бухучёт, налоги, расчёты). Оператор блокирует такие данные до истечения срока хранения и сообщает об этом субъекту. При споре, жалобе или проверке данные сохраняются до завершения.

9.4. Копии в резервных хранилищах уничтожаются при плановой ротации (в облаке — по истечении 14 суток); восстановленные данные повторно очищаются.

10. Права субъектов ПДн

10.1. Субъект вправе: получить подтверждение обработки и сведения о ней (ст. 14); требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных данных; отозвать согласие (ст. 9); обжаловать действия Оператора в Роскомнадзоре или в суде (ст. 17); на защиту прав и возмещение убытков и морального вреда.

10.2. Обращения принимаются: e-mail mayak-expert@yandex.ru; почтовый адрес — 143007, Московская обл., г.о. Одинцовский, г. Одинцово, ул. Молодёжная, д. 46, офис 407; через личный кабинет, бот МАКС и окно комментария на сайте. Оператор отвечает в срок, установленный ст. 20 152-ФЗ. Для проверки личности Оператор может запросить подтверждение, не требуя избыточных данных.

10.3. Отзыв согласия не прекращает обработку, которая осуществляется по иным основаниям, предусмотренным п. 2–11 ч. 1 ст. 6 152-ФЗ (исполнение договора, обязанности по закону, защита прав Оператора в споре).

11. Дети, недееспособные лица

Услуги предназначены для дееспособных граждан 18 лет и старше. Оператор не собирает сознательно данные детей. При обнаружении таких данных они удаляются.

12. Изменение Политики и контроль

12.1. Политика пересматривается при изменении закона, целей, перечня исполнителей и мест хранения. Новая редакция публикуется на сайте; дата редакции указывается вверху.

12.2. Контроль соблюдения Политики — ответственный за организацию обработки ПДн; внутренняя проверка — не реже одного раза в год.

12.3. Действующая редакция: версия 0.9 от 12.10.2026; утверждена приказом генерального директора. Генеральный директор — Зотиков Дмитрий Владимирович.