Политика в отношении обработки персональных данных

Редакция от 4 сентября 2026 года

1. Принципы обработки

Обработка ограничивается конкретными, заранее определёнными и законными целями. Не собираются сведения, не требующиеся для обработки обращения или исполнения договора. Срок хранения ограничивается достижением цели и требованиями законодательства.

2. Субъекты и состав данных

Посетители сайта, заявители, потенциальные и действующие покупатели. Обрабатываются имя, телефон и/или иной контакт, содержание обращения, параметры желаемой сборки и сведения о доставке в объёме, сообщённом пользователем. Для информационной безопасности могут обрабатываться маскированный IP, HMAC-идентификатор IP, user-agent, дата, время и тип события. Пароли, TOTP-коды и резервные коды в журнал не записываются.

3. Цели

1. приём и обработка заявки;
2. обратная связь и подготовка предложения;
3. заключение и исполнение договора;
4. организация доставки;
5. предотвращение несанкционированного доступа и расследование инцидентов;
6. аналитика посещаемости после отдельного согласия.

4. Правовые основания

Согласие субъекта, действия по запросу субъекта до заключения договора, заключение и исполнение договора, а также иные основания, установленные законодательством Российской Федерации.

5. Действия с данными

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача при наличии законного основания, блокирование, удаление и уничтожение. Обработка может быть автоматизированной и неавтоматизированной.

6. Формы и согласие

Отправка формы возможна только после самостоятельной установки пользователем флажка согласия на обработку персональных данных. Сервер повторно проверяет наличие согласия и фиксирует версию документа, дату/время и технический HMAC-идентификатор источника без хранения полного IP в заявке.

7. Cookie и аналитика

Необязательная аналитика Яндекс Метрики не загружается до отдельного согласия на аналитические cookie. Решение пользователя хранится локально в браузере с номером версии. Отказ не препятствует работе каталога и формы заявки. Подробности: политика cookie .

8. Локализация

При сборе персональных данных граждан Российской Федерации рабочая база записи, систематизации, накопления, хранения, уточнения и извлечения должна находиться на территории Российской Федерации в случаях, когда это требует закон. Проект не может определить географию сервера программно с достаточной юридической надёжностью, поэтому оператор обязан проверить хостинг и резервное копирование отдельно.

9. Технические меры

• AES-256-GCM для заявок, административных сессий, состояния 2FA и журнала безопасности;
• TOTP с 6-значным кодом и одноразовыми резервными кодами;
• резервные коды хранятся только как HMAC-хэши и удаляются из набора после использования;
• CSRF-защита административных операций, SameSite=Strict и HttpOnly session-cookie, Secure-cookie при рабочем HTTPS;
• ограничение количества попыток входа и заявок;
• security headers, Content Security Policy и запрет встраивания административной части;
• ограниченные сроки хранения и журналирование событий безопасности.

10. Сроки хранения

Срок хранения необработанных заявок задаётся параметром LEAD_RETENTION_DAYS (в поставляемой конфигурации — 180 дней) и должен быть скорректирован под реальные бизнес-процессы. Данные, необходимые для договора, бухгалтерского/налогового учёта или защиты прав, могут обрабатываться на ином законном основании и в соответствующие сроки вне этой технической базы заявок.

11. Передача третьим лицам

Для обработки заявок сайт передаёт данные в CRM Битрикс24 и в почтовый сервис, используемый для уведомлений на адрес berezkapcbuild@mail.ru. Передаваемый объём ограничивается данными конкретной заявки. Для иных получателей, включая службы доставки, оператор отдельно определяет правовое основание, роль получателя, условия поручения обработки, локализацию и необходимость оценки трансграничной передачи.

12. Права субъекта

Субъект может направить запрос о наличии и обработке данных, потребовать уточнения, блокирования, прекращения обработки или удаления в предусмотренных законом случаях, а также отозвать согласие. Оператор вправе запросить сведения для подтверждения личности и связи обращения с конкретной заявкой.

13. Инциденты

При неправомерной или случайной передаче/доступе к персональным данным оператор действует по требованиям закона и внутреннему плану реагирования. Шаблон плана и журнал инцидентов находятся в папке compliance/ проекта.

14. Актуализация

Политика пересматривается при изменении целей, состава данных, подрядчиков, инфраструктуры или требований законодательства. Новая редакция публикуется на этой странице.