Черновик — требует проверки юристом. Подготовлен 24.09.2026. Перед публикацией заменить плейсхолдеры в [квадратных скобках] (список — в README.md).

Политика обработки персональных данных

Версия 1.0 от [дата публикации]
Постоянный адрес: https://kartochkai.ru/privacy

1. Общие положения

1.1. Политика определяет цели, правовые основания, порядок и условия обработки персональных данных индивидуальным предпринимателем [ФИО ИП] (ИНН [ИНН], ОГРНИП [ОГРНИП], адрес: [адрес для корреспонденции]) (далее — «Оператор») при работе сайта https://kartochkai.ru и сервиса «КарточкAI» (далее — «Сервис»), а также меры по защите персональных данных. Политика издана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и опубликована в открытом доступе.

1.2. Термины используются в значениях Закона. Термины «Пользователь», «Контент», «Результат», «ИИ-провайдер», «Интеграция», «Маркетплейс» используются в значениях Публичной оферты (https://kartochkai.ru/offer, далее — «Оферта»).

1.3. Лицо, ответственное за организацию обработки персональных данных, — [ФИО ИП], e-mail: [e-mail поддержки], телефон: [телефон].

1.4. Политика не применяется к обработке данных на сайтах и в сервисах третьих лиц, в том числе на платёжной форме ЮKassa и в кабинетах Маркетплейсов: эти лица обрабатывают данные по своим правилам.

2. Принципы и правовые основания

2.1. Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей и в объёме, необходимом для этих целей, обеспечивает их точность и хранит их не дольше, чем этого требуют цели обработки или закон (ст. 5 Закона).

2.2. Правовые основания обработки (ч. 1 ст. 6 Закона):

• согласие субъекта — Согласие на обработку персональных данных (https://kartochkai.ru/pd-consent) (п. 1);
• исполнение обязанностей, возложенных на Оператора законом, в том числе Федеральным законом № 54-ФЗ «О применении контрольно-кассовой техники…», Федеральным законом № 402-ФЗ «О бухгалтерском учёте», Налоговым кодексом РФ, Законом РФ «О защите прав потребителей», Законом (п. 2);
• заключение и исполнение договора, стороной которого является субъект, — Оферты (п. 5);
• осуществление прав и законных интересов Оператора: обеспечение безопасности Сервиса, защита от злоупотреблений, подтверждение юридически значимых действий — при условии, что права субъекта при этом не нарушаются (п. 7).

3. Субъекты, цели, данные и сроки

3.1. Оператор обрабатывает персональные данные посетителей сайта, Пользователей, представителей Пользователей — ИП и юридических лиц, а также лиц, направивших обращения, в том числе заявления о нарушении прав.

3.2. Цели, данные, основания и сроки обработки:

3.3. Оператор не обрабатывает специальные категории и биометрические персональные данные. Сервис предназначен для лиц не моложе 18 лет; персональные данные несовершеннолетних сознательно не обрабатываются и при выявлении уничтожаются.

3.4. Рекламные рассылки без отдельного предварительного согласия не направляются (ст. 18 Федерального закона «О рекламе»). Уведомления о списаниях и об изменении документов являются сервисными сообщениями, а не рекламой.

4. Порядок и условия обработки

4.1. Персональные данные поступают от самого субъекта через формы на сайте и в Сервисе; от VK ID или Яндекс ID при входе — с разрешения субъекта идентификатор учётной записи, имя, e-mail и номер телефона; автоматически — через cookie и технические журналы; от ЮKassa — статус платежа, идентификатор и маскированные сведения о способе оплаты; от Маркетплейса при Интеграции — идентификатор и наименование кабинета продавца.

4.2. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка смешанная — с использованием средств автоматизации и без них.

4.3. Решения, порождающие юридические последствия для субъекта или иным образом затрагивающие его права, исключительно на основании автоматизированной обработки персональных данных не принимаются (ст. 16 Закона). Автоматическая проверка Контента на соответствие Правилам допустимого использования анализирует изображения товаров, а не персональные данные; по запросу Пользователя её решения пересматривает сотрудник.

4.4. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных на территории РФ (ч. 5 ст. 18 Закона) — в инфраструктуре Yandex Cloud.

4.5. Трансграничная передача персональных данных не осуществляется.

4.6. Оператор поручает обработку персональных данных или передаёт их следующим лицам (наименования, ИНН и адреса указаны в Согласии на обработку персональных данных):

• ООО «Яндекс.Облако» — хостинг;
• ООО НКО «ЮМани» (ЮKassa) — приём платежей, автоматические списания, кассовые чеки, возвраты;
• ООО «Яндекс» — Яндекс Метрика, только при согласии на аналитику;
• [SMS-провайдер] — отправка SMS-уведомлений;
• [e-mail-провайдер] — отправка писем.

ООО «ВК» (VK ID) и ООО «Яндекс» (Яндекс ID) предоставляют данные для входа как самостоятельные операторы по своим правилам.

Поручение даётся по договору, который обязывает соблюдать конфиденциальность, принципы и правила обработки и меры защиты по ст. 19 Закона (ч. 3 ст. 6 Закона). Данные кассовых чеков передаются оператору фискальных данных и в ФНС России в соответствии с Федеральным законом № 54-ФЗ. Государственным органам персональные данные предоставляются только в случаях и в порядке, предусмотренных законом.

4.7. ИИ-провайдеры. Для работы ИИ-функций Сервис передаёт ИИ-провайдерам, в том числе иностранным, только изображения товаров и характеристики товаров. Номер телефона, e-mail, имя и иные идентификаторы Пользователя им не передаются. Перед передачей Сервис удаляет из файлов метаданные (EXIF и аналогичные), включая геолокацию и сведения об устройстве съёмки. Правила допустимого использования запрещают загружать изображения людей и документы с персональными данными; Оператор вправе автоматически проверять изображения до передачи ИИ-провайдерам и отклонять изображения, на которых обнаружены люди или документы. Если такие данные всё же выявлены, Оператор не использует их, удаляет и не допускает их дальнейшей передачи.

4.8. Оператор и лица, получившие доступ к персональным данным, не раскрывают их третьим лицам без согласия субъекта, если иное не предусмотрено законом.

5. Cookie и веб-аналитика

5.1. Необходимые cookie и аналогичные технологии (localStorage, кеш PWA) обеспечивают вход и сессию, безопасность, запоминание выбора в уведомлении о cookie и работу приложения при нестабильном соединении. Они используются без согласия, так как без них Сервис не работает.

5.2. Аналитические cookie — Яндекс Метрика. Счётчик загружается только после нажатия кнопки «Принять» в уведомлении о cookie. ООО «Яндекс» обрабатывает данные по поручению Оператора на условиях использования сервиса Яндекс Метрика (https://yandex.ru/legal/metrica_termsofuse/). Оператор не передаёт в Яндекс Метрику номер телефона, e-mail и имя Пользователя; функция записи сеансов (Вебвизор) не используется.

5.3. Отказаться от аналитики можно кнопкой «Отклонить» в уведомлении о cookie, отозвать ранее данное согласие — по ссылке «Настройки cookie» внизу страницы сайта. Кроме того, cookie можно удалить или заблокировать в настройках браузера. Отказ от аналитики не влияет на работу Сервиса.

6. Права субъекта персональных данных

6.1. Субъект вправе:

• получать сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона);
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели;
• отозвать согласие и потребовать прекратить обработку;
• обжаловать действия Оператора в Роскомнадзор или в суд.

6.2. Изменить или удалить данные профиля, отозвать согласие и удалить учётную запись можно в Личном кабинете. Запросы также принимаются на [e-mail поддержки] и по адресу [адрес для корреспонденции]. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона; для подтверждения участия в отношениях с Оператором достаточно указать e-mail или номер телефона учётной записи. Оператор вправе попросить подтвердить владение учётной записью входом в Сервис через VK ID или Яндекс ID.

6.3. Сроки (ст. 20 и 21 Закона):

• ответ на запрос — 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления;
• уточнение данных — 7 рабочих дней с даты получения подтверждающих сведений;
• прекращение неправомерной обработки — 3 рабочих дня с даты выявления; уничтожение данных, если обеспечить правомерность обработки невозможно, — 10 рабочих дней;
• прекращение обработки по требованию субъекта — 10 рабочих дней с возможностью продления на 5 рабочих дней, кроме случаев, предусмотренных Законом;
• уничтожение после отзыва согласия или достижения цели обработки — 30 дней.

7. Прекращение обработки и уничтожение данных

7.1. Обработка прекращается при достижении целей, истечении срока, отзыве согласия при отсутствии иных оснований, выявлении неправомерной обработки, прекращении деятельности Оператора.

7.2. При удалении учётной записи Оператор уничтожает связанные с ней персональные данные в течение 30 дней. Данные, которые Оператор обязан хранить по закону (платёжные и учётные документы), блокируются, хранятся в установленные сроки и затем уничтожаются.

7.3. Если уничтожить данные в установленный срок невозможно, Оператор блокирует их и уничтожает в срок не более 6 месяцев (ч. 6 ст. 21 Закона).

7.4. Уничтожение персональных данных подтверждается документами по требованиям Роскомнадзора.

8. Меры защиты персональных данных

8.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона, в том числе:

• назначает ответственного за организацию обработки, издаёт локальные акты, проводит оценку вреда и внутренний контроль;
• определяет угрозы безопасности и уровень защищённости информационной системы в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и применяет соответствующие меры;
• ограничивает и протоколирует доступ к персональным данным, применяет двухфакторную аутентификацию для административного доступа;
• шифрует данные при передаче (TLS), а API-ключи Маркетплейсов — также при хранении;
• выполняет резервное копирование на территории РФ и устраняет уязвимости;
• размещает Сервис в инфраструктуре Yandex Cloud на территории РФ.

8.2. При выявлении неправомерной или случайной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов об инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона), а также взаимодействует с ГосСОПКА в установленном порядке.

9. Заключительные положения

9.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации, если в ней не указано иное; о существенных изменениях Пользователи уведомляются в Личном кабинете или по e-mail. Предыдущие редакции хранятся в архиве и предоставляются по запросу.

9.2. Вопросы об обработке персональных данных направляйте на [e-mail поддержки] или по адресу [адрес для корреспонденции].