Настоящая Политика подготовлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе Tapcard.
1. Оператор
Оператором персональных данных является Белоусова Евгения Александровна, плательщик налога на профессиональный доход (422-ФЗ), ИНН 615428373104, адрес: Россия, г. Сочи (далее — «Оператор»).
Контакт для вопросов о персональных данных: info@tapcard.su.
2. Цели обработки
- предоставление доступа к Сервису и его функциям;
- создание и публикация цифровой визитки;
- обеспечение работы реферальной программы;
- проведение оплат через ЮKassa и аналогичные платёжные системы;
- отправка системных уведомлений (восстановление пароля и т.п.);
- ведение аналитики посещений визиток (в обезличенном виде);
- выполнение обязательств по 54-ФЗ при приёме платежей.
3. Категории обрабатываемых данных
3.1. Данные регистрации:
- email;
- хеш пароля (исходный пароль не хранится);
- IP-адрес регистрации (для защиты от дублей и self-referral);
- дата создания учётной записи.
3.2. Данные карточки (вводятся самим Пользователем):
- имя, фамилия, должность, компания, био;
- контактный телефон и email (опционально);
- фото профиля (опционально);
- ссылки на социальные сети.
3.3. Платёжные данные:
- номер заказа, сумма, статус, идентификатор платёжного метода ЮKassa (полный номер карты Оператору не передаётся — он остаётся у ЮKassa);
- реквизиты для выплат (карта или СБП-номер) — хранятся в БД в зашифрованном виде по AES-256-GCM, доступны только администратору по явному запросу.
3.4. Аналитические данные посещений:
- обезличенный хеш IP-адреса (с дневной ротацией соли — восстановить оригинальный IP после смены соли невозможно);
- User-Agent;
- страна / город (на уровне города, без точной геолокации);
- реферер (URL источника перехода).
4. Правовые основания
- Согласие субъекта (ч. 1 ст. 6 152-ФЗ) — даётся при регистрации через отметку чекбокса.
- Исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ) — в части, необходимой для оказания услуг по Оферте.
- Закон требует обработки (п. 2 ч. 1 ст. 6 152-ФЗ) — в части налоговой и фискальной отчётности (54-ФЗ).
5. Сроки хранения
- Учётная запись — пока активна. После удаления учётной записи персональные данные удаляются в течение 30 дней.
- Платёжные записи — 5 лет (требование 54-ФЗ).
- Аналитика посещений — 365 дней, после чего удаляется еженедельной задачей.
- Реквизиты для выплат — пока не прошёл 1 год после последней выплаты, затем удаляются.
6. Третьи лица
Персональные данные могут передаваться третьим лицам только в объёме, необходимом для оказания услуг:
- ЮKassa (ООО «НКО «ЮMoney», ИНН 7750005725) — для приёма платежей. Передаются: email, сумма, идентификатор заказа.
- Resend (если настроен) — для отправки технических email-уведомлений. Передаётся email-адрес.
- Регистраторы доменов (REG.RU, Namecheap) — если пользователь регистрирует собственный домен. Передаются контактные данные регистранта в объёме, требуемом ICANN.
- Yandex SmartCaptcha (если настроен) — для защиты от ботов на форме регистрации. Передаётся IP-адрес и токен прохождения.
Передача за пределы РФ не осуществляется.
7. Меры безопасности
- пароли хранятся в виде Argon2id-хешей;
- сессии — на основе подписанных JWT в HttpOnly Secure cookie;
- реквизиты для выплат и регистрационные данные доменов шифруются AES-256-GCM с серверным ключом;
- трафик защищён TLS 1.2/1.3 (Let's Encrypt), включён HSTS и заголовки X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy;
- доступ к административным разделам — только для пользователей с ролью ADMIN с ведением audit-лога всех изменений;
- ежедневное резервное копирование БД.
8. Права субъекта персональных данных
В соответствии с главой 3 152-ФЗ Пользователь имеет право:
- получить информацию об обрабатываемых персональных данных;
- требовать уточнения, блокирования или удаления своих данных;
- отозвать согласие на обработку;
- обратиться с жалобой в Роскомнадзор или в суд в случае нарушения настоящей Политики.
Запросы направляются на info@tapcard.su и обрабатываются в срок до 30 дней.
9. Cookie-файлы
Сервис использует исключительно технические cookie, необходимые для работы сессии (cookie с именем tapcard_session) и предпочтения темы (light/dark). Маркетинговые и аналитические cookie третьих лиц не используются.
10. Изменения Политики
Действующая редакция Политики публикуется по адресу tapcard.su/privacy. Существенные изменения сопровождаются уведомлением Пользователя по email не менее чем за 14 дней.