Политика конфиденциальности

Оператор персональных данных - ИП Лейбук Владимир Сергеевич (далее - «Оператор»):

Оператор

ИП Лейбук Владимир Сергеевич

ИНН

643206517209

ОГРНИП

325508100674435

Обращения по вопросам обработки персональных данных, в том числе отзыв согласия, направляйте по контактам, которые будут опубликованы вместе с реквизитами, а пользователи Сервиса - также через чат поддержки в личном кабинете.

2.1. Как оператор - в отношении данных посетителей сайта, пользователей Сервиса (владельцев аккаунтов и их сотрудников) и представителей контрагентов.

2.2. По поручению (ч. 3 ст. 6 Закона) - в отношении данных клиентов салонов, клиник и мастеров (далее - «Клиенты»), которые владелец аккаунта (далее - «Пользователь») загружает в Сервис или получает через подключённые каналы связи. Оператором данных Клиентов является Пользователь: он определяет цели обработки, получает необходимые согласия и отвечает перед Клиентами. Оператор обрабатывает такие данные только для оказания услуг Сервиса, на условиях поручения, предусмотренного Пользовательским соглашением, соблюдает конфиденциальность и требования ст. 19 Закона и не использует эти данные в собственных целях, в том числе для рекламы и обучения собственных моделей.

3.1. Посетители сайта:

• технические данные: IP-адрес, сведения о браузере и устройстве, адреса посещённых страниц, дата и время;
• данные необходимых cookie и локального хранилища (вход, безопасность, выбор по cookie);
• данные статистики посещений Яндекс Метрики - только если посетитель нажал «Принять» в cookie-баннере.

3.2. Пользователи и их сотрудники:

• фамилия, имя, отчество (или имя), телефон, e-mail, должность и роль в аккаунте;
• данные учётной записи: логин, хеш пароля, коды подтверждения, привязанный Telegram для входа;
• сведения об организации: наименование, ИНН, ОГРН/ОГРНИП, адрес, филиалы, режим работы;
• журнал действий в Сервисе: дата, время, IP-адрес, действие;
• сведения о платежах и счетах. Данные банковских карт обрабатывает платёжный сервис ЮKassa; полный номер карты Оператор не получает и не хранит.

3.3. Клиенты Пользователей (обработка по поручению):

• имя, телефон, дата рождения (если указана), идентификаторы в мессенджерах MAX, Telegram, ВКонтакте и в чате на сайте;
• переписка, голосовые сообщения и их расшифровки, вложения;
• записи и визиты: услуги, мастера, филиалы, даты, стоимость, статусы подтверждения, неявки;
• задачи администратора, теги, заметки, сведения о курсах и абонементах;
• согласия на сообщения и рекламу, дата и способ их получения и отзыва.

3.4. Сведения о здоровье - специальная категория персональных данных (ст. 10 Закона): противопоказания, реакции на препараты, медицинские пометки в карточке клиента. Сервис хранит их только по решению владельца аккаунта: блок медицинских пометок заполняется, только если Пользователь решил его вести. Доступ к нему есть только у сотрудников с отдельным правом «Медицинские пометки»; каждый просмотр и изменение записываются в журнал просмотров (в журнал попадают названия полей, а не их содержание). Медицинские пометки не передаются в модели искусственного интеллекта. Пользователь как оператор обязан иметь основание для обработки таких сведений - письменное согласие Клиента (п. 1 ч. 2 ст. 10 Закона) либо иное основание, предусмотренное ч. 2 ст. 10 Закона.

3.5. Оператор не обрабатывает биометрические персональные данные, сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, интимной жизни и судимости. Сервис не предназначен для лиц младше 18 лет; данные несовершеннолетних Клиентов Пользователь вносит только с согласия их законных представителей.

• регистрация, вход, ведение аккаунта и команды Пользователя;
• заключение и исполнение договора (Пользовательское соглашение, публичная оферта): выставление счетов, приём оплаты, бухгалтерский и налоговый учёт;
• оказание услуг Сервиса: единое окно сообщений, карточка клиента и задачи после визита, автоматические сообщения и сценарии, ИИ-администратор, отчёты, интеграция с системами онлайн-записи (YCLIENTS) и внешний API;
• техническая поддержка, служебные уведомления о работе Сервиса и об оплате;
• обеспечение безопасности: защита от несанкционированного доступа, журнал действий, расследование инцидентов;
• статистика посещаемости сайта - только с согласия посетителя;
• исполнение требований законодательства Российской Федерации.

• договор, стороной которого является субъект, и действия до его заключения по запросу субъекта (п. 5 ч. 1 ст. 6 Закона) - данные Пользователей;
• согласие субъекта (п. 1 ч. 1 ст. 6 Закона) - формы на сайте, аналитические cookie;
• исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 Закона), - бухгалтерский и налоговый учёт, ответы на запросы государственных органов;
• законные интересы Оператора при условии соблюдения прав субъекта (п. 7 ч. 1 ст. 6 Закона) - безопасность Сервиса и журнал действий;
• поручение оператора - Пользователя (ч. 3 ст. 6 Закона) - данные Клиентов.

Рекламные сообщения Клиентам допускаются только при их предварительном согласии (ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»). Сервис учитывает согласия и отписку при каждой отправке; ответственность за наличие согласия несёт Пользователь как рекламораспространитель.

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных - с использованием средств автоматизации и без них, с передачей по сети Интернет.

Решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки Оператор не принимает (ст. 16 Закона): оценки диалогов и подсказки ИИ-администратора - рекомендации для Пользователя, решения принимают люди.

Текущее размещение сервера: Нидерланды (Амстердам). До загрузки реальных персональных данных граждан Российской Федерации Оператор должен обеспечить требуемую локализацию баз данных на территории Российской Федерации (ч. 5 ст. 18 Закона). Размещение этого экземпляра за пределами РФ само по себе не подтверждает выполнение этого требования; до переноса используйте тестовые данные.

Оператор передаёт данные третьим лицам только в объёме, необходимом для выбранной Пользователем функции, и по договорам, обязывающим получателя соблюдать конфиденциальность и требования Закона:

• хостинг-провайдер в регионе, указанном в разделе «Где хранятся данные», - размещение и работа Сервиса;
• SMS-агрегаторы (по выбору Пользователя) - номер телефона Клиента и текст сообщения для доставки SMS;
• платёжный сервис ЮKassa - данные плательщика для приёма оплаты и формирования кассового чека (54-ФЗ);
• провайдеры моделей искусственного интеллекта - по умолчанию только российские (YandexGPT - Yandex Cloud, GigaChat - Сбер, или открытая модель, размещение которой Оператор проверяет перед подключением) - текст переписки для оценки диалогов, подсказок и расшифровки голосовых сообщений. Перед отправкой в модель телефоны, e-mail, номера карт и ссылки с токенами заменяются условными метками. Зарубежные модели используются только по решению владельца аккаунта, который выбирает их в настройках и подтверждает трансграничную передачу, и только после уведомления Оператором Роскомнадзора о трансграничной передаче (ст. 12 Закона); по умолчанию они выключены;
• мессенджеры и каналы связи (MAX, Telegram, ВКонтакте, чат на сайте) - сообщения, которые Пользователь отправляет Клиентам. Эти сервисы обрабатывают данные по своим правилам, часть из них может хранить данные за пределами РФ; выбор канала остаётся за Пользователем и Клиентом;
• системы онлайн-записи (YCLIENTS и другие, подключённые Пользователем) - синхронизация клиентов, записей и статусов;
• почтовый сервис - служебные письма (коды входа, уведомления, счета);
• ООО «Яндекс» (Яндекс Метрика) - статистика посещений сайта, только с согласия посетителя;
• государственные органы - по законным запросам.

• данные аккаунта и сотрудников - в течение действия договора и 3 лет после его прекращения (срок исковой давности);
• первичные учётные документы (счета, акты, сведения о платежах) - 5 лет (ст. 29 Федерального закона № 402-ФЗ «О бухгалтерском учёте»);
• журнал действий в Сервисе - не менее 12 месяцев;
• данные Клиентов - пока действует аккаунт Пользователя; после прекращения договора или по запросу Пользователя - удаление в течение 30 дней, из резервных копий - при их плановой перезаписи;
• заявки с сайта, по которым договор не заключён, - не более 1 года;
• согласие на аналитические cookie - до его отзыва.

При достижении целей обработки, отзыве согласия или выявлении неправомерной обработки данные уничтожаются в сроки, установленные ст. 21 Закона, если иное не требуется законом.

Необходимые cookie и локальное хранилище браузера используются для входа в кабинет, защиты от подделки запросов и запоминания выбора по cookie; без них сайт не работает. Аналитические cookie (Яндекс Метрика) подключаются только после нажатия «Принять» в cookie-баннере, без вебвизора и карты кликов, и только на публичных страницах сайта. Изменить выбор можно ссылкой «Настройки cookie» в подвале сайта или очистив данные сайта в браузере.

• разграничение доступа по ролям и филиалам, скрытие телефонов Клиентов от сотрудников по настройке Пользователя;
• отдельное право доступа к медицинским пометкам и журнал их просмотров;
• журнал действий сотрудников, шифрование соединения (TLS), хранение паролей в виде хеша, подтверждение входа владельца кодом;
• резервное копирование, контроль обновлений и учёт машинных носителей;
• назначение ответственного за организацию обработки, внутренние документы по обработке и оценка вреда (ст. 18.1, 19 Закона).

О неправомерной передаче персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах расследования - в течение 72 часов (ч. 3.1 ст. 21 Закона), а также сообщает о происшествии затронутым Пользователям.

Субъект вправе (ст. 14-17 Закона):

• получить сведения об обработке своих данных;
• потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
• отозвать согласие на обработку;
• обжаловать действия Оператора в Роскомнадзор или в суд.

Оператор отвечает на запрос в течение 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ст. 14, 20 Закона). Клиентам салонов, клиник и мастеров по вопросам своих данных следует обращаться к соответствующему Пользователю как к оператору; если такое обращение поступит Оператору, он передаст его Пользователю и окажет ему необходимое содействие.

• направить заявление по контактам, которые будут опубликованы вместе с реквизитами, а пользователи Сервиса - также через чат поддержки в личном кабинете с темой «Отзыв согласия», указав фамилию, имя и контакт, использованный при передаче данных;
• аналитические cookie - кнопкой «Настройки cookie» в подвале сайта, затем «Только необходимые»;
• рекламные сообщения салона - по ссылке отписки в сообщении или словом «стоп» в ответ.

После отзыва согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней (ч. 5 ст. 21 Закона), если у него нет иного законного основания для обработки. Отзыв не влияет на законность обработки до его получения.

Вопросы об обработке персональных данных направляйте по контактам, которые будут опубликованы вместе с реквизитами, а пользователи Сервиса - также через чат поддержки в личном кабинете. Полные реквизиты Оператора - на странице «Реквизиты».

Оператор вправе изменять Политику. Новая редакция действует с момента публикации на этой странице, если в ней не указано иное. Действующая редакция всегда доступна по адресу /privacy.