OPmax

Политика обработки персональных данных сервиса «OPmax»

Политика опубликована во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки персональных данных и меры по их защите в сервисе «OPmax».

1. Оператор

Оператором персональных данных является физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (самозанятый): Милешин Адель Амирович, ИНН 165504198046, адрес для корреспонденции: 420076, Республика Татарстан, г. Казань, ул. Альфии Авзаловой, д. 15, кв. 138, email для обращений по вопросам персональных данных: info@opmax.ru (далее — «Оператор», «мы», «Сервис»).

Форма деятельности не уменьшает объём обязанностей по 152-ФЗ: самозанятый является оператором персональных данных наравне с организациями и ИП.

Ответственный за организацию обработки персональных данных назначен внутренним приказом Оператора (ст. 22.1 152-ФЗ).

2. Область действия и категории субъектов

Политика действует в отношении всех персональных данных, обрабатываемых в связи с работой сайта opmax.ru и сервиса «OPmax» — конструктора коммерческих предложений (КП). Обработка ведётся в отношении трёх категорий субъектов, для которых различаются состав данных и правовые основания:

• Пользователи — лица, зарегистрировавшиеся в Сервисе для создания КП;
• Контактные лица клиентов Пользователя — лица, чьи данные Пользователь может внести в карточки компаний;
• Получатели — лица, открывающие публичные страницы КП по ссылке от Пользователя.

3. Данные Пользователей

Правовые основания: согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ), оформляемое отдельным документом в соответствии с ч. 1 ст. 9 152-ФЗ (в редакции Федерального закона от 24.06.2025 № 156-ФЗ), и исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ), — Публичной оферты.

Рекламные и маркетинговые рассылки Оператором не осуществляются. При их появлении обработка данных для этой цели будет начата не ранее получения отдельного согласия на рассылку (ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе») и внесения соответствующих изменений в настоящую Политику; отказ от рассылки будет возможен в любой момент и не повлияет на оказание услуг.

4. Данные в карточках компаний (клиенты Пользователя)

В карточках компаний хранятся: название юридического лица, отрасль, город, ИНН юрлица, ролевой email (info@, sales@ и т. п.). Эти сведения относятся к организации, а не к конкретному физическому лицу, и сами по себе персональными данными не являются (ст. 3 152-ФЗ). Форма ввода email технически отклоняет адреса вида «имя.фамилия@» — это снижает риск внесения персональных данных, но не исключает его полностью (например, в свободных текстовых полях).

Если Пользователь вносит в Сервис данные конкретного человека (ФИО контактного лица, личный телефон, личный email), оператором таких данных является Пользователь, а Сервис осуществляет обработку по его поручению (ч. 3 ст. 6 152-ФЗ) — исключительно в объёме, необходимом для оказания услуг, с соблюдением конфиденциальности и безопасности. Обязанности и ответственность Пользователя определены разделом 9 Публичной оферты.

5. Данные Получателей КП

Получатель не регистрируется в Сервисе и, как правило, не знаком с ним — он открывает присланную Пользователем ссылку. Мы обрабатываем минимум данных и раскрываем это в отдельном уведомлении для Получателей, доступном с каждой публичной страницы КП.

5.1. Аналитика взаимодействия со страницей КП (собирается автоматически)

• идентификатор сессии kp_sid (localStorage);
• cookie kp_ab_<slug> сроком 90 дней — закрепление варианта A/B-теста;
• события: факт открытия, глубина прокрутки, время на разделах, класс устройства (настольное или мобильное).

IP-адрес посетителя не собирается и не сохраняется; географическое положение посетителя, включая город и регион, не определяется.

Межсайтового отслеживания, рекламных и внешних аналитических систем (Яндекс.Метрика, Google Analytics, пиксели) на страницах КП и сайте нет; данные третьим лицам в рекламных целях не передаются.

Правовое основание — п. 7 ч. 1 ст. 6 152-ФЗ: обработка необходима для осуществления законных интересов Оператора и Пользователя (аналитика вовлечённости получателя — базовая функция Сервиса) и не нарушает права и свободы субъекта. Соблюдение баланса интересов обеспечивается минимизацией данных (нет IP, нет профилирования, нет передачи третьим лицам), прозрачностью (уведомление на странице КП) и возможностью отказаться от аналитических cookie и событий (кнопка «Отключить аналитику» в уведомлении на странице КП).

Оценка риска. Единообразной практики о применимости «законного интереса» к поведенческим идентификаторам нет; Роскомнадзор в разъяснениях о метрических программах склоняется к необходимости согласия, при этом оценивает прежде всего техническую реализацию (передаются ли данные третьим лицам до волеизъявления посетителя). Наша модель — без IP, без внешних систем, с возможностью отказа — построена как «минимально необходимая обработка», однако не является гарантированно бесспорной; этот вопрос вынесен на проверку практикующим юристом (см. чек-лист запуска).

5.2. Имя, указанное при акцепте предложения

Нажимая «Принять предложение», Получатель может добровольно указать своё имя. В отношении этих данных Оператором является Сервис (а не Пользователь): данные собираются напрямую у субъекта через нашу форму, цель и порядок хранения определяем мы.

Правовое основание — согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ), выражаемое отдельной, не проставленной заранее отметкой непосредственно в момент ввода имени (текст — в документе «Согласия»; ч. 1 ст. 9 152-ФЗ). Без отметки имя не сохраняется; акцепт без указания имени фиксируется анонимно на основании п. 5.1.

Цель — фиксация факта, времени и лица, принявшего КП (доказательство для Пользователя-отправителя). Имя доступно только Пользователю, отправившему это КП.

6. Оплата

Платежи обрабатывает платёжный сервис ЮKassa (в том числе СБП). Реквизиты карт (номер, срок действия, CVC) Оператору не передаются и им не хранятся — их обрабатывает ЮKassa как самостоятельный оператор. Оператор получает только статус и сумму платежа и данные, необходимые для формирования чека.

7. Передача данных третьим лицам

Данные не продаются и не передаются третьим лицам в рекламных целях. Иная передача возможна только по законному требованию уполномоченных государственных органов. Об обработке текстов ИИ-функциями см. раздел 8.

8. ИИ-функции и трансграничная передача

Персональные данные за пределы Российской Федерации не передаются.

Как это обеспечивается. Для генерации текста коммерческих предложений Сервис использует стороннюю языковую модель; серверы провайдера расположены за пределами Российской Федерации. Оператор вправе привлекать нескольких провайдеров и переключаться между ними, в том числе автоматически при недоступности одного из них — актуальный перечень поддерживается во внутренних документах Оператора и предоставляется по запросу субъекта персональных данных. К модели передаётся только деловой текст брифа: отрасль, задача, характеристики предложения. Перед отправкой каждый запрос проходит автоматическую проверку: при обнаружении признаков персональных данных (телефонных номеров, адресов электронной почты, конструкций, характерных для указания имён физических лиц, а также личных идентификаторов — номеров документов, удостоверяющих личность, ИНН физического лица, страхового номера индивидуального лицевого счёта) отправка блокируется — запрос не уходит, а Пользователю предлагается удалить такие данные из текста. Проверка выполняется до выбора провайдера и до какого-либо переключения между ними, поэтому изложенное в равной мере относится к любому из них. Персональные данные, таким образом, к передаче не предназначены и техническими средствами из неё исключаются.

Дополнительные меры:

• договорный запрет Пользователям вносить персональные данные третьих лиц в поля, обрабатываемые ИИ-функциями (раздел 10 Оферты);
• постоянное предупреждение в интерфейсе рядом с полем ввода брифа;
• ведение технического журнала срабатываний фильтра (дата, время, тип признака) без сохранения содержания заблокированного текста — для контроля работоспособности меры;
• периодическая проверка и доработка правил фильтрации — как по пропускам, так и по ложным срабатываниям, с сохранением результатов проверок и даты их проведения;
• периодическая сверка фактического перечня используемых провайдеров языковых моделей с настоящей Политикой;
• название компании-клиента в модель не передаётся вовсе: в запрос подставляется нейтральный токен-заполнитель, а настоящее название вставляется уже при формировании готового коммерческого предложения на стороне Сервиса. Это устраняет отдельный риск: у клиентов — индивидуальных предпринимателей название компании содержит фамилию, имя и отчество человека. Мера закреплена автоматическим тестом.

Честная оговорка. Фильтр — техническая мера, снижающая риск до минимального, но не абсолютная: данные, введённые в нестандартной форме, теоретически могут не распознаться. Оператор принимает все разумные меры для предотвращения таких случаев и совершенствует фильтр по мере выявления новых сценариев. Утверждение о полном отсутствии подобного риска Оператор не делает.

Пересмотр позиции. Если состав или назначение ИИ-функций изменятся так, что за пределы РФ будет передаваться информация, относящаяся к физическим лицам (например, имена получателей КП, содержание переписки, аналитика по конкретным людям), Оператор до начала такой обработки подаёт в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (ст. 12 152-ФЗ) и вносит изменения в настоящую Политику.

9. Локализация баз данных

Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных на территории РФ (сервер Timeweb, г. Москва) — в соответствии с ч. 5 ст. 18 152-ФЗ. Все персональные данные Пользователей и Получателей хранятся и обрабатываются на территории РФ; за её пределы передаются только деловые тексты, не содержащие персональных данных, в порядке раздела 8.

10. Cookie и локальное хранилище

Состав, сроки и назначение cookie и записей localStorage, а также способы отказа описаны в Уведомлении об использовании cookie. Внешних аналитических и рекламных систем нет.

11. Сроки хранения и уничтожение

• Данные Пользователя — до удаления аккаунта, отзыва согласия или достижения целей обработки, если более длительный срок не требуется законом (например, для документов об оплате — в течение сроков, установленных налоговым законодательством).
• При удалении аккаунта данные удаляются из основной базы незамедлительно; в зашифрованных резервных копиях — до их плановой перезаписи, не более 30 календарных дней.
• Аналитика Получателей (п. 5.1) хранится, пока Пользователь хранит соответствующее КП, и удаляется вместе с ним; имя Получателя (п. 5.2) — до удаления КП, отзыва согласия или требования субъекта об уничтожении.
• Cookie kp_ab_<slug> — 90 дней; записи localStorage — до очистки браузером или самим посетителем.
• Технический журнал срабатываний фильтра ИИ-функций (без содержания текста) — 12 месяцев.

Уничтожение персональных данных фиксируется в соответствии с требованиями Роскомнадзора к подтверждению уничтожения (Приказ от 28.10.2022 № 179).

12. Меры защиты (ст. 18.1, 19 152-ФЗ)

Шифрование каналов связи (TLS); хранение паролей только в виде необратимого хеша (scrypt); двухфакторная аутентификация по выбору Пользователя; шифрование резервных копий и периодическая проверка восстановления; разграничение доступа; автоматическая блокировка отправки текста с признаками персональных данных в стороннюю языковую модель и ведение журнала срабатываний этой защиты; учёт и фиксация версий согласий; внутренний приказ о назначении ответственного за организацию обработки. Полный состав мер не раскрывается публично в объёме, снижающем их эффективность.

При установлении факта неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

13. Права субъектов персональных данных

Субъект вправе (ст. 14, 20, 21 152-ФЗ):

• получить сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или получены незаконно;
• отозвать согласие на обработку;
• обжаловать действия Оператора в Роскомнадзор или в суд.

Пользователь может самостоятельно выгрузить свои данные и удалить аккаунт в разделе «Аккаунт» Личного кабинета. Любой субъект (включая Получателей КП) может направить обращение на info@opmax.ru. Сведения об обработке предоставляются в течение 10 рабочих дней с момента обращения (срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя — ст. 20 152-ФЗ). При отзыве согласия обработка прекращается и данные уничтожаются в срок, не превышающий 30 дней (ч. 5 ст. 21 152-ФЗ), за исключением данных, хранение которых обязательно по закону.

14. Изменения политики

Действующая редакция размещается на https://opmax.ru/legal/privacy с указанием номера редакции и даты. При существенных изменениях состава данных или целей обработки Пользователи уведомляются через Сервис или email; новые согласия запрашиваются, когда этого требует закон.

Оператор: Милешин Адель Амирович, ИНН 165504198046 · Обращения по персональным данным: info@opmax.ru · Полные реквизиты: https://opmax.ru/legal/contacts

Публичная оферта · Согласие · Cookie · Получатели · Контакты и реквизиты · На главную