Политика в отношении обработки персональных данных

1. Общие положения

1.1. Оператор: Индивидуальный предприниматель Карзаков Дмитрий Евгеньевич.

• ОГРНИП: 323210000003205
• ИНН: 213011377800
• Email: legal@novalead.ru

1.2. Ответственное лицо за организацию обработки ПДн: ИП Карзаков Д.Е. лично.

1.3. Политика применяется ко всем ПДн, обрабатываемым Оператором с использованием средств автоматизации и без их использования.

1.4. Действие распространяется на ПДн клиентов и потенциальных клиентов, контрагентов и их представителей, посетителей сайтов novalead.ru, nvisit.ru, admin.novalead.ru.

2. Правовые основания

• Конституция РФ; Гражданский кодекс РФ;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ;
• Постановление Правительства РФ от 01.11.2012 № 1119;
• Приказ ФСТЭК России от 18.02.2013 № 21;
• Приказ Роскомнадзора от 24.02.2021 № 18.

3. Цели обработки

1. заключение, исполнение и прекращение договоров;
2. предоставление доступа к SaaS-сервису NovaLead и его функциям;
3. оказание технической поддержки;
4. приём и проведение платежей, выставление счетов и актов;
5. направление транзакционных и (с отдельного согласия) маркетинговых уведомлений;
6. обеспечение информационной безопасности;
7. ведение бухгалтерского и налогового учёта;
8. ответы на обращения субъектов и госорганов;
9. исполнение функций лица, обрабатывающего ПДн по поручению Операторов-клиентов (на условиях DPA).

4. Категории субъектов и обрабатываемых ПДн

4.1. Посетители сайтов. IP-адрес, cookie, User-Agent, данные о страницах и источниках, UTM-метки, данные форм (имя, email, телефон, текст).

4.2. Зарегистрированные пользователи Сервиса. ФИО, email, номер телефона, пароль (хеш argon2id), реквизиты ИП/юрлица (ИНН, ОГРН, КПП, адрес — при добавлении), платёжные реквизиты (токенизированы у провайдера), IP и user-agent при входе, журналы действий.

4.3. Конечные клиенты. ID в каналах связи, имя, телефон, email, содержимое сообщений и вложений, данные записей NVisit, данные loyalty-программ, IP/user-agent виджета. В отношении этой категории Оператор действует по поручению соответствующего Клиента (ч. 3 ст. 6 152-ФЗ).

4.4. Контрагенты и их представители. ФИО, должность, контактные и банковские реквизиты.

4.5. Стандартные функции Сервиса не предназначены для специальных категорий и биометрических ПДн. Если Клиент NovaLead использует Сервис в регулируемой сфере и передаёт такие сведения, Клиент обязан заранее определить правовое основание, выполнить специальные требования закона и согласовать допустимый сценарий. NovaLead в таком сценарии действует только как лицо, обрабатывающее данные по поручению Клиента.

5. Правовые основания обработки

• ч. 1 ст. 6 п. 1 152-ФЗ — согласие субъекта;
• ч. 1 ст. 6 п. 2, 3 — исполнение требований законодательства и судебных актов;
• ч. 1 ст. 6 п. 5 — исполнение договора;
• ч. 1 ст. 6 п. 7 — законные интересы Оператора;
• ч. 3 ст. 6 — поручение обработки.

Если основанием является согласие, оно оформляется отдельным явным действием субъекта: электронной отметкой, нажатием кнопки подтверждения или иной зафиксированной формой, позволяющей подтвердить конкретность, информированность и однозначность согласия. Согласие на обработку ПДн не включается в текст оферты или иные согласия как скрытое условие.

6. Меры защиты

Правовые: утверждение политики, подача и актуализация уведомления Роскомнадзора в предусмотренных законом случаях, обязательства о конфиденциальности для лиц с доступом к ПДн, требования о защите ПДн в договорах с контрагентами.

Организационные: принцип минимальных привилегий, регламент реагирования на инциденты, аудит настроек, журналирование доступа.

Технические: шифрование секретов в БД (AES-256-GCM), TLS 1.2+ с HSTS, хеширование паролей argon2id, HMAC-подпись публичных widget-эндпоинтов, rate limiting, изолированные сегменты сети, регулярное обновление ПО, мониторинг и логирование, резервное копирование основной БД с настраиваемыми шифрованием и удалённым хранением, уничтожение носителей при выводе из эксплуатации. Конкретный состав мер определяется для информационной системы с учётом актуальных угроз и требований законодательства.

7. Условия передачи ПДн

Передача третьим лицам — только с согласия субъекта, в рамках исполнения договоров или по законным требованиям госорганов. Актуальный перечень соисполнителей — в DPA.

8. Трансграничная передача

Основная база данных NovaLead размещается на территории РФ. До начала собственной трансграничной передачи Оператор выполняет предусмотренную законом оценку и уведомительные обязанности.

При обращении через внешнюю платформу часть обработки может происходить в её инфраструктуре. Для данных Конечных клиентов выбор и подключение канала выполняет Клиент NovaLead как самостоятельный оператор; его обязанности подробнее описаны в разделе 12.

9. Сроки хранения и уничтожение

Уничтожение выполняется по истечении срока или по подтверждённому обращению субъекта, если закон не требует дальнейшего хранения. Остаточные копии основной БД выбывают по настроенному циклу ротации, базово — до 30 дней.

10. Права субъектов ПДн

• получить сведения об обработке;
• требовать уточнения, блокирования, удаления ПДн;
• отозвать согласие (через ЛК или по email);
• получить выгрузку своих данных;
• обжаловать действия в Роскомнадзоре или суде.

Срок ответа — 10 рабочих дней (+5 дней при необходимости). Форма обращения: письмо на legal@novalead.ru с подтверждением личности по запросу.

11. Cookies и аналитика

Сайт использует cookie и аналогичные технологии. Подробности — в Политике cookie. Действует cookie-баннер с выбором категорий.

На страницах сайта novalead.ru подключён сервис веб-аналитики Яндекс.Метрика (ООО «Яндекс», условия использования). Метрика обрабатывает данные о посещении сайта: IP-адрес, cookie, User-Agent, поведение на страницах, источник перехода, а на landing-страницах novalead.ru при включённой опции — запись действий пользователя (Вебвизор). Цель — улучшение работы сайта и оценка эффективности рекламы. Платформенный счётчик на nvisit.ru работает без Вебвизора. Аналитика загружается только после явного согласия пользователя через cookie-баннер; согласие можно отозвать в настройках cookie. В кабинете пользователя и админ-панели основной счётчик NovaLead не применяется. Владелец формы NVisit может отдельно подключить свой счётчик Метрики и обязан описать его в собственной политике и получить необходимое согласие.

12. Трансграничная передача и внешние каналы

Если Клиент NovaLead подключает Telegram, зарубежный email/SMS-провайдер или иной внешний канал, сообщения и идентификаторы Конечных клиентов могут обрабатываться инфраструктурой такого канала по его правилам. Клиент как Оператор ПДн самостоятельно оценивает необходимость уведомления Роскомнадзора о трансграничной передаче, отражает соответствующие сведения в своей политике и получает необходимые согласия субъектов.

13. Изменение Политики

Актуальная редакция — на /privacy с указанием даты. Существенные изменения доводятся через ЛК и email не менее чем за 14 дней.

14. Контакты

• legal@novalead.ru — правовые запросы, запросы субъектов ПДн
• security@novalead.ru — инциденты безопасности
• Роскомнадзор (уполномоченный орган): rkn.gov.ru