ПОЛИТИКА ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
Редакция от 03 октября 2026 года.

1. Общие положения
1.1. Оператор: Индивидуальный предприниматель Сагалаева Ярослава Александровна, ИНН 644651191241, ОГРНИП 325680000033874, адрес: 392522, Россия, Тамбовская область, Инжавинский район, д. Кандауровка, д. 4, e-mail: sagalaevayaroslava@yandex.ru.
1.2. Политика применяется к сайту https://yanamax.ru/, платформе https://app.yanamax.ru/, связанным формам, ботам и сервисным каналам Оператора.
1.3. Политика регулирует обработку данных для работы сайта, Платформы и оказания отдельно согласованных услуг внедрения, сопровождения и работы команды агентства. Отдельно описывается обработка данных третьих лиц по поручению клиента.
1.4. Оператор руководствуется Конституцией Российской Федерации, Федеральным законом № 152-ФЗ «О персональных данных», Федеральным законом № 149-ФЗ и иными применимыми актами.

2. Принципы обработки
Оператор обрабатывает только данные, необходимые для конкретных законных целей; не объединяет несовместимые цели; обеспечивает точность и актуальность данных; хранит данные не дольше, чем этого требуют цели или закон; применяет меры конфиденциальности и безопасности.

3. Категории субъектов
3.1. Посетители сайта.
3.2. Пользователи и потенциальные пользователи Платформы.
3.3. Представители юридических лиц и индивидуальных предпринимателей — клиентов и контрагентов.
3.4. Пользователи, приглашенные владельцем аккаунта: сотрудники, подрядчики, эксперты, менеджеры.
3.5. Лица, обращающиеся в поддержку.
3.6. Получатели рекламных сообщений, давшие отдельное согласие.
3.7. Физические лица, данные которых клиент Платформы размещает в CRM, бронировании, воронках и иных модулях. В отношении таких данных клиент, как правило, самостоятельно является оператором, а ИП Сагалаева Я.А. — лицом, осуществляющим обработку по поручению.

4. Какие данные обрабатываются
4.1. Для регистрации и доступа: имя, фамилия при наличии, e-mail, телефон при необходимости, идентификатор учетной записи, роль и права доступа, технические данные аутентификации.
4.2. Для исполнения договора и расчетов: сведения о выбранном тарифе, статусе подписки, платежах и операциях, реквизиты клиента или его представителя в объеме, необходимом для договора и учета.
4.3. Для поддержки: содержание обращения, контактные данные, технические сведения об ошибке, история действий, необходимая для диагностики.
4.4. Для безопасности и эксплуатации: IP-адрес, дата и время действий, сведения о браузере и устройстве в разумном объеме, технические журналы, идентификаторы сессий и события безопасности.
4.5. Для маркетинга — только при наличии отдельного согласия: e-mail, телефон, идентификатор мессенджера и история согласий/отказов.
4.6. Оператор не собирает специальные категории или биометрические данные пользователей Платформы как обязательное условие доступа.
4.7. Паспортные данные и иные избыточные сведения не запрашиваются для обычной регистрации в Платформе, если их обработка не требуется для отдельной функции или договора.
4.8. При обработке по поручению клиента в CRM могут поступать имя, e-mail, телефон, ссылки на социальные профили и внешние диалоги, идентификаторы мессенджеров и подписчиков бота, сведения о заявках, бронированиях, заказах и оплатах, рабочие статусы и необходимые заметки. Источники — подключенные клиентом формы, Tilda, боты, сервисы бронирования и платежей; иные источники, включая GetCourse, — только после подключения реализованной интеграции.
4.9. Для атрибуции по поручению клиента при наличии основания могут обрабатываться UTM, URL страницы и referrer, даты событий, tracking ID, ClientID Метрики, рекламные click ID и связанные события. Посетитель без канала связи учитывается в техническом/аналитическом слое и не является автоматически контактом отдела продаж. Эти идентификаторы могут относиться к персональным данным; отсутствие имени и использование хеша не подтверждают обезличивание.
4.10. CRM может предоставлять ссылки на внешние мессенджеры, кабинеты ботов и почтовые приложения. Сам переход не создает внутреннюю переписку Платформы. При использовании подключенных каналов отправки обрабатываются только фактически необходимые для отправки данные и возвращаемые сервисом результаты. Наличие контакта не заменяет основания для сообщения или отдельного согласия на рекламу.

5. Цели и основания
5.1. Заключение и исполнение договора, предоставление доступа, идентификация пользователя, управление аккаунтом и тарифом.
5.2. Работа CRM, публикаций, бронирования, аналитики, воронок, ОРД/ЕРИР, задач и иных модулей; выполнение согласованных услуг команды по индивидуальному договору или спецификации. При обработке клиентских баз цель определяет клиент-оператор, а ИП действует в пределах поручения.
5.3. Обработка обращений, техническая поддержка и устранение ошибок.
5.4. Обеспечение информационной безопасности, предупреждение злоупотреблений и ведение технических журналов.
5.5. Исполнение обязанностей по бухгалтерскому, налоговому и иному обязательному учету.
5.6. Реклама и маркетинговые сообщения — только при наличии отдельного предварительного согласия, когда оно требуется.
5.7. Правовыми основаниями являются договор, закон, законные обязанности Оператора и отдельное согласие субъекта в случаях, когда обработка основывается на согласии.

6. Операции с данными
Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа уполномоченным лицам, блокирование, удаление, уничтожение, обезличивание и резервное копирование в объеме, необходимом для соответствующей цели.

7. Локализация и инфраструктура
7.1. При сборе персональных данных граждан Российской Федерации первичные операции записи, систематизации, накопления, хранения, уточнения и извлечения выполняются с использованием баз данных на территории Российской Федерации в случаях, когда это требуется законом.
7.2. Основная серверная инфраструктура Платформы размещается в Российской Федерации у российского поставщика облачной инфраструктуры Selectel.
7.3. Основной контур базы данных и авторизации Платформы размещается на российском сервере. Подключенные клиентом внешние источники и каналы имеют собственную инфраструктуру. При организации файлового хранения и резервного копирования Исполнитель обязан соблюдать требования локализации, защиты и согласованные сроки хранения; включение нового поставщика требует проверки его роли, местонахождения обработки и правового основания.
7.4. Трансграничная передача, если она понадобится для отдельного сервиса, осуществляется только после выполнения применимых требований законодательства и не используется как обязательный первичный контур хранения данных граждан Российской Федерации.

8. AI-функции и автоматизированная обработка
8.1. Платформа может предоставлять функции генерации, анализа, классификации, суммаризации, проверки и преобразования текста и иных материалов с использованием технологий искусственного интеллекта и больших языковых моделей.
8.2. По умолчанию внешним AI/LLM-провайдерам не передаются прямые идентификаторы субъектов персональных данных. До передачи за пределы российского контура Платформа применяет минимизацию и, где это технически возможно, удаление или замену ФИО, телефонов, e-mail, UUID, идентификаторов аккаунтов, реквизитов, токенов и иных данных, позволяющих прямо идентифицировать лицо.
8.3. AI-запросы делятся на три режима:

• контент без персональных данных — допускается обработка внешним AI-провайдером;
• псевдонимизированные данные — оцениваются с учетом возможности идентификации по содержанию; фильтрация идентификаторов сама по себе не означает обезличивание или разрешение трансграничной передачи;
• данные, требующие обработки персональных данных без обезличивания, — направляются только в допустимый российский контур либо обрабатываются после отдельной правовой оценки, определения основания и выполнения требований о трансграничной передаче.

8.4. Передача персональных данных иностранному AI/LLM-провайдеру не осуществляется автоматически только потому, что пользователь включил AI-функцию. Для сценария, где такая передача действительно необходима, Оператор предварительно определяет правовое основание, перечень данных, страну и получателя, выполняет требования статьи 12 Федерального закона № 152-ФЗ и при необходимости получает отдельное согласие субъекта.
8.5. Платформа не предназначена для принятия исключительно на основании автоматизированной обработки решений, порождающих юридические последствия для субъекта персональных данных или иным образом существенно затрагивающих его права и законные интересы. AI может формировать рекомендации, черновики, классификации и оценки риска; окончательное решение в таких случаях принимает человек, если законом или отдельным письменным согласием не предусмотрено иное.
8.6. Оператор не использует содержимое AI-запросов для самостоятельного обучения собственных моделей на персональных данных субъектов без отдельного правового основания.
8.7. При выборе внешнего AI-провайдера Оператор по возможности использует настройки запрета или ограничения хранения запросов и ответов, отключения использования данных для обучения, минимальный срок технического хранения и серверный доступ по отдельным ключам.
8.8. Пользователю запрещено помещать в AI-поле пароли, API-ключи, токены доступа, платежные реквизиты, специальные категории персональных данных, биометрические данные и иные сведения, не необходимые для заявленной AI-функции.
8.9. Технические журналы AI-шлюза не должны содержать полный исходный промпт и ответ, если это не требуется для безопасности или диагностики; журналируются технический идентификатор операции, дата и время, модель, объем запроса, статус и обезличенные сведения, необходимые для учета лимитов и расследования ошибок.

9. Cookies и аналитика
9.1. Сайт может использовать технические cookies, необходимые для работы.
9.2. Необязательные аналитические и маркетинговые технологии применяются с учетом их назначения, правового основания и настроек согласия пользователя.
9.3. До проведения отдельной правовой оценки Оператор не использует иностранный аналитический сервис для передачи в него персональных данных граждан Российской Федерации как часть первичного контура сбора.

10. Передача и поручение обработки
10.1. Оператор может привлекать поставщиков инфраструктуры, связи, электронной почты, платежей и иных технических сервисов в объеме, необходимом для целей обработки, с соблюдением требований законодательства.
10.2. Если обработка поручается другому лицу, договор или иное поручение определяет цели, перечень данных, операции, требования конфиденциальности, локализации, безопасности и уведомления об инцидентах.
10.3. При обработке данных клиентов заказчика через CRM, бронирование, воронки и другие модули клиент определяет цели и правовые основания, а ИП Сагалаева Я.А. выполняет обработку по поручению. Это распространяется на автоматические операции и согласованную работу команды в аккаунте клиента.
10.4. К данным допускаются только уполномоченные работники, которым доступ необходим для задания, с обязательствами конфиденциальности. Объем доступа и срок ограничиваются; по завершении задания или выбытии лица доступ прекращается. Подрядчики, получающие поручение обработки, согласуются с клиентом и принимают применимые обязанности защиты данных.
10.5. Клиентские базы и материалы не используются для собственной рекламы агентства, работы с другими клиентами, перепродажи или обучения моделей без самостоятельного надлежащего основания. Для обработки по поручению состав данных, операции, цели, требования защиты и порядок инцидентов определяются договором и спецификацией. Получение от представителя клиента согласия на его собственные данные не заменяет оснований обработки данных его клиентов.
10.6А. Клиент обеспечивает основания сбора и поручения обработки данных своей базы, предоставляет субъектам необходимую информацию и получает согласия в случаях, предусмотренных законом. Исполнитель, действующий по поручению, не собирает повторное согласие каждого контакта вместо клиента. Договор клиента с Исполнителем и уведомление Роскомнадзора сами по себе не заменяют оснований обработки данных третьих лиц.
10.6. Данные работников и подрядчиков Исполнителя в рамках их отношений с Исполнителем обрабатываются на применимых самостоятельных основаниях. Настоящая пользовательская Политика не заменяет кадровые документы и обязанности работодателя.

11. Сроки хранения и удаление
11.1. Сроки обработки определяются отдельно для доступа к Платформе, услуг команды, исполнения поручения и обязательного учета. Завершение услуг команды не требует удаления аккаунта, если доступ к Платформе продолжается; сохранение аккаунта не разрешает продолжать услуги и доступ команды после окончания поручения. Срок передачи результатов и удаления/возврата данных по поручению определяется договором и спецификацией.
11.2. Данные, которые должны сохраняться по закону, хранятся в течение установленного законом срока.
11.3. Данные из пользовательской корзины могут храниться в течение срока, указанного в интерфейсе, по умолчанию 30 дней, если пользователь не удалит их окончательно раньше.
11.4. Резервные копии могут иметь отдельный ограниченный срок ротации; удаленные данные исчезают из резервных копий по мере их плановой ротации.

12. Меры безопасности
Оператор применяет разграничение прав доступа, аутентификацию, минимизацию прав, сетевые ограничения, защищенные соединения, резервное копирование, журналы событий, обновления ПО, контроль секретов, меры против несанкционированного доступа и иные меры с учетом характера обрабатываемых данных.

13. Права субъекта
Субъект вправе получить сведения об обработке своих персональных данных, потребовать уточнения, блокирования или уничтожения данных в предусмотренных законом случаях, отозвать согласие, если обработка основана на согласии, а также обжаловать действия Оператора.
Обращение направляется на sagalaevayaroslava@yandex.ru. Для защиты данных Оператор вправе запросить сведения, позволяющие подтвердить личность заявителя.

14. Отзыв согласия и отказ от рекламы
14.1. Отзыв согласия на обработку персональных данных направляется на e-mail Оператора или через иной предусмотренный интерфейс.
14.2. Отказ от рекламных сообщений может быть направлен по e-mail, через ссылку отписки, интерфейс Платформы или иным способом, указанным в сообщении. Рекламная рассылка прекращается без неоправданной задержки.
14.3. Отзыв согласия не делает незаконной обработку, выполненную до отзыва, и не прекращает обработку, для которой после отзыва существует иное законное основание.

15. Инциденты

При выявлении инцидента Оператор принимает меры по ограничению последствий и сохранению информации об инциденте. При наличии оснований, предусмотренных Федеральным законом № 152-ФЗ, Оператор уведомляет Роскомнадзор о произошедшем инциденте в установленный законом срок и направляет результаты внутреннего расследования в установленный законом срок.

16. Обновление Политики
Актуальная редакция публикуется на https://yanamax.ru/. Дата редакции указывается в начале документа.