OPmax

Политика обработки персональных данных сервиса «OPmax»

Политика опубликована во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки персональных данных и меры по их защите в сервисе «OPmax».

1. Оператор

Оператором персональных данных является индивидуальный предприниматель Милешин Адель Амирович, ОГРНИП 326169000248910, ИНН 165504198046, адрес для корреспонденции: 420076, Республика Татарстан, г. Казань, ул. Альфии Авзаловой, д. 15, кв. 138, email для обращений по вопросам персональных данных: info@opmax.ru (далее — «Оператор», «мы», «Сервис»).

Ответственный за организацию обработки персональных данных назначен внутренним приказом Оператора (ст. 22.1 152-ФЗ).

2. Область действия и категории субъектов

Политика действует в отношении всех персональных данных, обрабатываемых в связи с работой сайта opmax.ru и сервиса «OPmax» — конструктора коммерческих предложений (КП). Обработка ведётся в отношении трёх категорий субъектов, для которых различаются состав данных и правовые основания:

• Пользователи — лица, зарегистрировавшиеся в Сервисе для создания КП;
• Контактные лица клиентов Пользователя — лица, чьи данные Пользователь может внести в карточки компаний;
• Получатели — лица, открывающие публичные страницы КП по ссылке от Пользователя.

3. Данные Пользователей

Правовые основания: согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ), оформляемое отдельным документом в соответствии с ч. 1 ст. 9 152-ФЗ (в редакции Федерального закона от 24.06.2025 № 156-ФЗ), и исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ), — Публичной оферты.

Сведения об источнике перехода на сайт и варианте главной страницы обрабатываются на основании законного интереса Оператора в оценке каналов привлечения и вариантов сайта (п. 7 ч. 1 ст. 6 152-ФЗ): только внутри Сервиса, без передачи третьим лицам и без профилирования. Удалить эти сведения можно по запросу на info@opmax.ru — на работу учётной записи это не влияет.

Рекламные и маркетинговые рассылки Оператором не осуществляются. При их появлении обработка данных для этой цели будет начата не ранее получения отдельного согласия на рассылку (ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе») и внесения соответствующих изменений в настоящую Политику; отказ от рассылки будет возможен в любой момент и не повлияет на оказание услуг.

4. Данные в карточках компаний (клиенты Пользователя)

В карточках компаний хранятся: название юридического лица, отрасль, город, ИНН юрлица, ролевой email (info@, sales@ и т. п.). Эти сведения относятся к организации, а не к конкретному физическому лицу, и сами по себе персональными данными не являются (ст. 3 152-ФЗ). Форма ввода email технически отклоняет адреса вида «имя.фамилия@» — это снижает риск внесения персональных данных, но не исключает его полностью (например, в свободных текстовых полях).

Если Пользователь вносит в Сервис данные конкретного человека (ФИО контактного лица, личный телефон, личный email), оператором таких данных является Пользователь, а Сервис осуществляет обработку по его поручению (ч. 3 ст. 6 152-ФЗ) — исключительно в объёме, необходимом для оказания услуг, с соблюдением конфиденциальности и безопасности. Обязанности и ответственность Пользователя определены разделом 9 Публичной оферты.

5. Данные Получателей КП

Получатель не регистрируется в Сервисе и, как правило, не знаком с ним — он открывает присланную Пользователем ссылку. Мы обрабатываем минимум данных. Что считается при просмотре КП, кто это видит и как отказаться — в разделе «Что считается при просмотре КП» на странице Cookie (opmax.ru/legal/cookies#viewing).

5.1. Аналитика взаимодействия со страницей КП (собирается автоматически)

• идентификатор сессии kp_sid (localStorage);
• cookie kp_ab_<slug> сроком 90 дней — закрепление варианта A/B-теста;
• события: факт открытия, глубина прокрутки, время на разделах, класс устройства (настольное или мобильное).

IP-адрес посетителя в аналитику КП не записывается; он попадает в служебный журнал веб-сервера (защита от подбора паролей и потоков запросов) и стирается примерно через сутки. Город и регион посетителя не определяются.

Межсайтового отслеживания, рекламных и внешних аналитических систем (Яндекс.Метрика, Google Analytics, пиксели) на страницах КП и сайте нет; данные третьим лицам в рекламных целях не передаются.

Правовое основание — п. 7 ч. 1 ст. 6 152-ФЗ: обработка необходима для осуществления законных интересов Оператора и Пользователя (аналитика вовлечённости получателя — базовая функция Сервиса) и не нарушает права и свободы субъекта. Соблюдение баланса интересов обеспечивается минимизацией данных (IP не попадает в аналитику, нет профилирования, нет передачи третьим лицам в рекламных целях), прозрачностью (короткое уведомление при первом открытии КП и подробное описание на странице Cookie) и возможностью отказаться от подсчёта: кнопка «Отключить аналитику» есть в уведомлении при первом открытии и на странице Cookie; отказ действует во всех КП в этом браузере.

5.2. Принятие предложения

При нажатии «Принять предложение» Сервис фиксирует только факт и время нажатия вместе с идентификатором сессии из п. 5.1. Имя, должность и иные данные Получателя при этом не запрашиваются и не сохраняются. Основание, срок хранения и способ отказа — те же, что в п. 5.1.

6. Оплата

Платежи обрабатывает платёжный сервис ЮKassa (в том числе СБП). Полный номер карты, срок её действия и CVC Оператору не передаются и им не хранятся — их обрабатывает ЮKassa как самостоятельный оператор; от ЮKassa Оператор получает статус и сумму платежа. Если Пользователь дал отдельное согласие на автопродление при оплате (Публичная оферта, пп. 6.3 и 6.6), способ оплаты сохраняет ЮKassa, а Оператор хранит только выданный ею идентификатор способа оплаты и его подпись (платёжная система и последние 4 цифры карты); без такого согласия способ оплаты не сохраняется.

Чек по каждому платежу Оператор формирует сам в приложении «Мой налог» (ст. 14 Федерального закона от 27.11.2018 № 422-ФЗ): в чек вносятся сумма и наименование услуги, а если покупатель — индивидуальный предприниматель или юридическое лицо, его ИНН и наименование. Ссылка на чек хранится в Сервисе, направляется на email Пользователя и показывается в Личном кабинете.

7. Передача данных третьим лицам

Данные не продаются и не передаются третьим лицам в рекламных целях. Иная передача возможна только по законному требованию уполномоченных государственных органов. Об обработке текстов ИИ-функциями см. раздел 8.

8. ИИ-функции и трансграничная передача

Персональные данные за пределы Российской Федерации не передаются.

Как это обеспечивается. Для генерации текста коммерческих предложений Сервис использует стороннюю языковую модель; серверы провайдера расположены за пределами Российской Федерации. Оператор вправе привлекать нескольких провайдеров и переключаться между ними, в том числе автоматически при недоступности одного из них — актуальный перечень поддерживается во внутренних документах Оператора и предоставляется по запросу субъекта персональных данных. К модели передаётся только деловой текст брифа: отрасль, задача, характеристики предложения. Перед отправкой каждый запрос проходит автоматическую проверку: при обнаружении признаков персональных данных (телефонных номеров, адресов электронной почты, конструкций, характерных для указания имён физических лиц, а также личных идентификаторов — номеров документов, удостоверяющих личность, ИНН физического лица, страхового номера индивидуального лицевого счёта) отправка блокируется — запрос не уходит, а Пользователю предлагается удалить такие данные из текста. Проверка выполняется до выбора провайдера и до какого-либо переключения между ними, поэтому изложенное в равной мере относится к любому из них. Персональные данные, таким образом, к передаче не предназначены и техническими средствами из неё исключаются.

Дополнительные меры:

• договорный запрет Пользователям вносить персональные данные третьих лиц в поля, обрабатываемые ИИ-функциями (раздел 10 Оферты);
• постоянное предупреждение в интерфейсе рядом с полем ввода брифа;
• ведение технического журнала срабатываний фильтра (дата, время, тип признака) без сохранения содержания заблокированного текста — для контроля работоспособности меры;
• периодическая проверка и доработка правил фильтрации — как по пропускам, так и по ложным срабатываниям, с сохранением результатов проверок и даты их проведения;
• периодическая сверка фактического перечня используемых провайдеров языковых моделей с настоящей Политикой;
• название компании-клиента в модель не передаётся вовсе: в запрос подставляется нейтральный токен-заполнитель, а настоящее название вставляется уже при формировании готового коммерческого предложения на стороне Сервиса. Это устраняет отдельный риск: у клиентов — индивидуальных предпринимателей название компании содержит фамилию, имя и отчество человека. Мера закреплена автоматическим тестом.

Честная оговорка. Фильтр — техническая мера, снижающая риск до минимального, но не абсолютная: данные, введённые в нестандартной форме, теоретически могут не распознаться. Оператор принимает все разумные меры для предотвращения таких случаев и совершенствует фильтр по мере выявления новых сценариев. Утверждение о полном отсутствии подобного риска Оператор не делает.

Пересмотр позиции. Если состав или назначение ИИ-функций изменятся так, что за пределы РФ будет передаваться информация, относящаяся к физическим лицам (например, имена получателей КП, содержание переписки, аналитика по конкретным людям), Оператор до начала такой обработки подаёт в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (ст. 12 152-ФЗ) и вносит изменения в настоящую Политику.

9. Локализация баз данных

Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных на территории РФ (сервер Timeweb, г. Москва) — в соответствии с ч. 5 ст. 18 152-ФЗ. Все персональные данные Пользователей и Получателей хранятся и обрабатываются на территории РФ; за её пределы передаются только деловые тексты, не содержащие персональных данных, в порядке раздела 8.

10. Cookie и локальное хранилище

Состав, сроки и назначение cookie и записей localStorage, а также способы отказа описаны в Уведомлении об использовании cookie. Внешних аналитических и рекламных систем нет. Собственные метки источника прихода (lp_src, lp_entry) описаны там же; к учётной записи они привязываются только при регистрации (раздел 3).

11. Сроки хранения и уничтожение

• Данные Пользователя — до удаления аккаунта, отзыва согласия или достижения целей обработки, если более длительный срок не требуется законом (например, для документов об оплате — в течение сроков, установленных налоговым законодательством).
• При удалении аккаунта данные удаляются из основной базы незамедлительно; в зашифрованных резервных копиях — до их плановой перезаписи, не более 30 календарных дней.
• Аналитика Получателей (п. 5.1), включая отметку о принятии предложения (п. 5.2), хранится, пока Пользователь хранит соответствующее КП, и удаляется вместе с ним.
• Cookie kp_ab_<slug>, lp_src и lp_entry — 90 дней; записи localStorage — до очистки браузером или самим посетителем.
• Сведения об источнике перехода на сайт и варианте главной страницы в учётной записи — до удаления учётной записи или по запросу Пользователя.
• Идентификатор способа оплаты ЮKassa и его подпись (платёжная система и последние 4 цифры карты) — до отказа Пользователя от автопродления, отвязки способа оплаты или удаления учётной записи.
• Технический журнал срабатываний фильтра ИИ-функций (без содержания текста) — 12 месяцев.

Уничтожение персональных данных фиксируется в соответствии с требованиями Роскомнадзора к подтверждению уничтожения (Приказ от 28.10.2022 № 179).

12. Меры защиты (ст. 18.1, 19 152-ФЗ)

Шифрование каналов связи (TLS); хранение паролей только в виде необратимого хеша (scrypt); адрес электронной почты подтверждается по ссылке из письма; двухфакторная аутентификация по выбору Пользователя; шифрование резервных копий и периодическая проверка восстановления; разграничение доступа; автоматическая блокировка отправки текста с признаками персональных данных в стороннюю языковую модель и ведение журнала срабатываний этой защиты; учёт и фиксация версий согласий; внутренний приказ о назначении ответственного за организацию обработки. Полный состав мер не раскрывается публично в объёме, снижающем их эффективность.

При установлении факта неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

13. Права субъектов персональных данных

Субъект вправе (ст. 14, 20, 21 152-ФЗ):

• получить сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или получены незаконно;
• отозвать согласие на обработку;
• обжаловать действия Оператора в Роскомнадзор или в суд.

Пользователь может самостоятельно выгрузить свои данные и удалить аккаунт в разделе «Аккаунт» Личного кабинета. Любой субъект (включая Получателей КП) может направить обращение на info@opmax.ru. Сведения об обработке предоставляются в течение 10 рабочих дней с момента обращения (срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя — ст. 20 152-ФЗ). При отзыве согласия обработка прекращается и данные уничтожаются в срок, не превышающий 30 дней (ч. 5 ст. 21 152-ФЗ), за исключением данных, хранение которых обязательно по закону.

14. Изменения политики

Действующая редакция размещается на https://opmax.ru/legal/privacy с указанием номера редакции и даты. При существенных изменениях состава данных или целей обработки Пользователи уведомляются через Сервис или email; новые согласия запрашиваются, когда этого требует закон.

Оператор: ИП Милешин Адель Амирович, ОГРНИП 326169000248910, ИНН 165504198046 · Обращения по персональным данным: info@opmax.ru · Полные реквизиты: https://opmax.ru/legal/contacts

Публичная оферта · Согласие · Cookie · Получатели · Контакты и реквизиты · На главную