Политика обработки
персональных данных

1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором.

1.2. Оператор ставит своей важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни.

1.3. Политика распространяется на сайт chpu-instrument.ru и Telegram-бот @vse_dlya_cnc_bot.

• Персональные данные (ПДн) — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
• Обработка ПДн — любое действие с ПДн.
• Оператор — ИП, указанный выше.
• Пользователь — посетитель сайта/бота.

Оператор обрабатывает следующие категории ПДн:

• Фамилия, имя, отчество;
• Номер телефона;
• Адрес электронной почты;
• Telegram ID и username;
• Сведения о бизнесе пользователя (название организации, тип — завод/мастерская/частник);
• Содержание сообщений в боте, включая фотографии, отправленные пользователем;
• История заказов и запросов;
• IP-адрес, cookie, технические данные браузера (для сайта).

Оператор не обрабатывает специальные категории ПДн (здоровье, политические взгляды, биометрия).

• Оформление и исполнение заказов на продукцию;
• Подготовка коммерческих предложений (КП);
• Связь с пользователем;
• Консультирование по техническим вопросам, в том числе с использованием искусственного интеллекта (см. раздел 8);
• Аналитика работы сервиса;
• Исполнение требований законодательства РФ.

• Согласие субъекта (ст. 6 ч. 1 п. 1 152-ФЗ);
• Исполнение договора (ст. 6 ч. 1 п. 5 152-ФЗ);
• Исполнение обязанностей, возложенных законом (54-ФЗ, НК РФ).

ПДн могут быть переданы:

• Платёжным сервисам (T-Bank, ЮKassa) — для проведения оплаты;
• Службам доставки — для доставки товаров;
• ПАО «Сбербанк» (сервис GigaChat) — для AI-консультирования по запросу пользователя;
• Государственным органам — по основаниям, установленным законом.

Трансграничная передача ПДн осуществляется в одном случае: при отправке оператору уведомлений о новой заявке через мессенджер Telegram (Telegram Messenger Inc., США/ОАЭ). При этом в Telegram передаются только маскированные данные (имя — первая буква, телефон — последние 4 цифры, email — первая буква + домен) и идентификатор заявки. Полные ПДн обрабатываются исключительно на серверах в Российской Федерации (152-ФЗ ст. 12, ст. 18 ч. 5). Уведомление в Роскомнадзор о трансграничной передаче подано (получатель — Telegram Messenger Inc., страна — ОАЭ, уровень защиты — обеспечивается мерами оператора: маскирование, минимизация). Пользователь вправе отозвать согласие на трансграничную передачу, направив запрос на chpumagazin@yandex.com — в этом случае Telegram-уведомления оператору отключаются, заявка остаётся в БД и обрабатывается менеджером.

ПДн хранятся на серверах, расположенных на территории Российской Федерации (152-ФЗ ст. 18 ч. 5). Меры защиты: парольный доступ, разграничение прав, резервное копирование, антивирусная защита, журналирование действий.

Сроки хранения по категориям данных:

• Данные о заказах, оплате, документы (счета, КП, акты) — 5 лет с момента сделки (требование НК РФ и 402-ФЗ «О бухучёте»).
• Заявки и обращения без сделки — 1 год с даты последнего обращения, затем обезличиваются или удаляются.
• Данные Яндекс.Метрики (визиты, события, вебвизор) — 25 месяцев (стандартный срок Яндекса), затем автоматически удаляются.
• Технические cookie (сессия, CSRF) — до закрытия сессии браузера; cookie выбора согласия (pdn_consent) — до 1 года или до сброса пользователем.
• Учётная запись пользователя — до удаления аккаунта или отзыва согласия.

Оператор использует сервис GigaChat (ПАО «Сбербанк») для AI-ассистирования: анализа технических запросов и фотографий инструмента. Запросы пользователя передаются на серверы Сбербанка в соответствии с пользовательским соглашением GigaChat. Ответы, сгенерированные ИИ, маркируются соответствующей пометкой и могут содержать неточности.

Пользователь вправе:

• Получить информацию об обработке своих ПДн;
• Требовать уточнения, блокирования, удаления ПДн;
• Отозвать согласие — командой /otozvat в боте или письмом на e-mail Оператора;
• Обжаловать действия Оператора в Роскомнадзоре (rkn.gov.ru) или в суде.

При первом визите сайт показывает баннер выбора уровня согласия на использование cookie и аналитики. Выбор сохраняется в браузере (localStorage, ключи pdn_consent и pdn_consent_at). Изменить выбор можно в любой момент на странице /settings/cookies — там же доступен полный отзыв согласия.

10.1. Только необходимое (none)

• Что включается: технические cookie, без которых сайт не работает — сессия авторизации NextAuth, защита от CSRF, cookie выбора согласия.
• Что не включается: любая аналитика, в том числе Яндекс.Метрика.
• Срок хранения: до закрытия сессии браузера, для cookie согласия — до 1 года.
• Основание: исполнение договора и обеспечение работоспособности сервиса (ст. 6 ч. 1 п. 5 152-ФЗ), отдельное согласие не требуется.

10.2. Базовая аналитика (basic)

• Что включается: всё из уровня «Только необходимое» + Яндекс.Метрика в режиме обычного счётчика (визиты, источники переходов, просмотры страниц, цели, гео по IP с точностью до города, тип устройства и браузера). Вебвизор и карта кликов отключены.
• Что собирается: обезличенные данные о поведении — какие страницы посещались, откуда пришёл пользователь, конверсии. Прямые идентификаторы (ФИО, телефон, e-mail) в Метрику не передаются.
• Срок хранения: 25 месяцев на серверах Яндекса (РФ), затем автоматическое удаление.
• Основание: согласие субъекта ПДн (ст. 6 ч. 1 п. 1 152-ФЗ).

10.3. Полная аналитика (full)

• Что включается: всё из уровня «Базовая аналитика» + Вебвизор Яндекс.Метрики и карта кликов.
• Что собирается: видео-запись действий на странице — движения мыши, клики, прокрутка, фокус на полях, вводимый текст в обычных полях форм. По сути формируется воспроизводимая запись сеанса.
• Срок хранения: 25 месяцев записей на серверах Яндекса (РФ).
• Основание: отдельное явное согласие субъекта ПДн (ст. 6 ч. 1 п. 1 152-ФЗ).

Вебвизор — инструмент Яндекс.Метрики, который записывает действия пользователя на странице и позволяет воспроизводить их как видео. Подключается только при выборе уровня «Полная аналитика».

Что записывается:

• Перемещения указателя мыши и касания на сенсорном экране;
• Клики и нажатия по элементам интерфейса;
• Прокрутка страниц;
• Фокус на полях форм и вводимый в них текст (для обычных полей);
• Изменения содержимого видимой части страницы.

Что НЕ записывается:

• Поля паролей (input type="password") — маскируются всегда;
• Поля ввода реквизитов банковских карт на странице оплаты — маскируются и не передаются в запись;
• Содержимое элементов с атрибутом data-hj-suppress / классом tns (защита приватных полей);
• Данные, вводимые на сторонних страницах платёжного шлюза (T-Bank, ЮKassa) — там Метрика не подключена.

Срок хранения записей: 25 месяцев на серверах Яндекса в РФ, затем автоматическое удаление. Отозвать согласие можно в любой момент на странице /settings/cookies — после отзыва Вебвизор перестаёт работать немедленно, ранее записанные сеансы удаляются по запросу на e-mail ОПД.

Оператор вправе изменять Политику. Актуальная версия публикуется по адресу chpu-instrument.ru/policy.

По всем вопросам обработки ПДн, реализации прав субъекта и запросов на удаление обращайтесь к ответственному за обработку ПДн (Лобода Алексей Александрович, e-mail chpumagazin@yandex.com, тел. +7 (904) 443-61-66) или через страницу Контакты.