Политика обработки персональных данных

ЧЕРНОВИК — требует проверки юристом. Не является юридической консультацией и не опубликован.

Версия: 0.1 · Дата: 2026-10-02

Актуальная редакция: https://nemol.ru/legal/privacy · Неизменяемая редакция: https://nemol.ru/legal/privacy/v{N} (номер N присваивается при публикации).

1. Общие положения

1.1. Политика описывает, как platform_company (ИНН platform_inn, ОГРН platform_ogrn, адрес: platform_address, далее — «НЕ МОЛЧИ», «мы») обрабатывает персональные данные как оператор. Политика опубликована во исполнение ч. 2 ст. 18.1 Федерального закона № 152-ФЗ «О персональных данных» (далее — «Закон») и доступна без ограничений по адресу https://nemol.ru/legal/privacy.

1.2. Политика применяется к данным, оператором которых является НЕ МОЛЧИ: пользователей Кабинета, плательщиков, партнёров, подписчиков рассылок, посетителей сайта nemol.ru и обратившихся в поддержку.

1.3. Данные посетителей и клиентов бизнесов, которые пользуются НЕ МОЛЧИ, мы обрабатываем не как оператор, а по поручению этих бизнесов (разд. 4).

1.4. Термины понимаются так же, как в Законе и в Лицензионном договоре-оферте (https://nemol.ru/legal/offer).

2. Принципы

2.1. Мы обрабатываем данные законно и для конкретных целей, только в нужном для них объёме и не дольше, чем нужно.

2.2. Мы не используем данные клиентов для обучения моделей искусственного интеллекта и не объединяем данные разных клиентов.

2.3. Мы храним персональные данные граждан Российской Федерации в базах данных на территории Российской Федерации (ч. 5 ст. 18 Закона).

3. Чьи данные, зачем и на каком основании

3.1. Пользователи Кабинета

3.1.1. Кто: владельцы, сотрудники клиентов, приглашённые участники Кабинета.

3.1.2. Данные: имя; адрес электронной почты; номер телефона (если указан или подтверждён); роль и Кабинеты, в которых состоит пользователь; настройки интерфейса; хэш пароля; данные ключей доступа (passkey: идентификатор и открытый ключ); секрет приложения-аутентификатора (в зашифрованном виде); сведения о сессиях и входах — IP-адрес и порт, сведения о браузере и устройстве, приблизительное место по IP-адресу (определяем по локальной базе, без внешних сервисов); журнал действий в Кабинете; идентификатор чата Telegram и имя в Telegram — если подключён Telegram-пульт; подписки на push-уведомления.

3.1.3. Цели: регистрация и ведение учётной записи; вход и защита учётной записи (подтверждение входа с нового устройства, выявление подозрительных входов); исполнение договора с клиентом; поддержка; сервисные уведомления.

3.1.4. Основания: согласие пользователя (п. 1 ч. 1 ст. 6 Закона), данное отдельно (https://nemol.ru/legal/consent-users); для пользователя, который сам является стороной договора (ИП, плательщик НПД), — также исполнение договора (п. 5 ч. 1 ст. 6 Закона). [ЮРИСТУ п. 2: нужна ли отдельная галочка согласия от приглашённых сотрудников клиента или достаточно договора с клиентом.]

3.1.5. Сроки: учётная запись — до её удаления; журнал входов — 12 месяцев; журнал действий в Кабинете — 12 месяцев; запись о согласии — срок действия согласия + 3 года.

3.2. Плательщики и представители клиентов

3.2.1. Кто: лица, оплачивающие лицензию; руководители и представители клиентов; лица, принявшие договор от имени клиента.

3.2.2. Данные: фамилия, имя, отчество; адрес электронной почты; номер телефона; должность и основание полномочий; ИНН (у ИП и плательщиков НПД); наименование и реквизиты клиента; маскированный номер карты (первые 6 и последние 4 цифры), срок действия карты, банк Подписки СБП; идентификатор сохранённого способа оплаты у эквайера; история платежей, счета, кассовые чеки, УПД; параметры Соглашения об автоплатеже; IP-адрес и сведения о браузере при акцепте договора и согласиях.

3.2.3. Полные номера банковских карт мы не храним: их обрабатывает эквайер.

3.2.4. Цели: заключение и исполнение договора; расчёты и автоплатёж; бухгалтерский и налоговый учёт; электронный документооборот; рассмотрение споров и запросов банков.

3.2.5. Основания: исполнение договора (п. 5 ч. 1 ст. 6 Закона); исполнение обязанностей, возложенных законом, — налоговый и бухгалтерский учёт (п. 2 ч. 1 ст. 6 Закона).

3.2.6. Сроки: на срок договора; первичные учётные документы — в сроки, установленные законодательством о бухгалтерском учёте и налогах [ЮРИСТУ: в спеке ориентир 5 лет, не проверено]; Соглашение об автоплатеже и журнал его событий — срок Соглашения + 3 года; заверения и акцепт договора — срок договора + 3 года.

3.3. Партнёры

3.3.1. Кто: индивидуальные предприниматели, плательщики налога на профессиональный доход, представители организаций, участвующих в партнёрской программе.

3.3.2. Данные: фамилия, имя, отчество; ИНН; результат проверки статуса плательщика НПД и налоговый режим; адрес электронной почты, телефон; банковские реквизиты, номер карты или телефона для выплат; акты, чеки НПД, начисления и выплаты; сведения о входах; хэш IP-адреса регистрации (только для выявления самореферальства, хранится 60 дней).

3.3.3. Цели: заключение и исполнение партнёрского договора; учёт привлечённых клиентов; расчёт и выплата вознаграждения; проверка статуса плательщика НПД; налоговый учёт; защита от мошенничества и защита выплат.

3.3.4. Для защиты от мошенничества мы используем только данные, оператором которых являемся (партнёры, плательщики, пользователи Кабинета, способы оплаты, устройства и IP-адреса входа). Данные посетителей бизнесов для этого не используются.

3.3.5. Основания: исполнение договора (п. 5 ч. 1 ст. 6 Закона); исполнение обязанностей по закону (п. 2 ч. 1 ст. 6 Закона).

3.3.6. Сроки: на срок договора; документы — в сроки по законодательству о бухгалтерском учёте и налогах.

3.4. Подписчики рассылок

3.4.1. Кто: лица, согласившиеся получать советы, новости и предложения НЕ МОЛЧИ.

3.4.2. Данные: адрес электронной почты, имя, сведения о согласии (дата, версия текста, где дано).

3.4.3. Цель: отправка информационных и рекламных писем НЕ МОЛЧИ.

3.4.4. Основания: согласие на обработку персональных данных (п. 1 ч. 1 ст. 6 Закона) и отдельное согласие на получение рекламы (ст. 18 Федерального закона № 38-ФЗ). Эти согласия даются отдельно от регистрации.

3.4.5. Сроки: до отзыва согласия; запись о согласии — срок действия согласия + 3 года.

3.5. Посетители сайта nemol.ru

3.5.1. Данные: cookies и аналогичные идентификаторы; IP-адрес; сведения о браузере; партнёрский код из ссылки (без идентификатора устройства); данные, введённые в формы.

3.5.2. Цели: работа сайта; аналитика — только с согласия; учёт партнёрских ссылок.

3.5.3. Основания: необходимые cookies — для работы сайта; аналитические и рекламные cookies — согласие (п. 1 ч. 1 ст. 6 Закона). Подробнее — Политика cookies (https://nemol.ru/legal/cookies).

3.6. Обратившиеся в поддержку

3.6.1. Данные: имя, адрес электронной почты или телефон, содержание обращения.

3.6.2. Цели: ответ на обращение; переадресация обращения бизнесу, если пишет посетитель бизнеса (разд. 4).

3.6.3. Основания: для клиентов и пользователей — исполнение договора (п. 5 ч. 1 ст. 6 Закона). [ЮРИСТУ: основание обработки обращения лица, не состоящего с НЕ МОЛЧИ в договоре.]

3.6.4. Срок: support_retention. [ЮРИСТУ: срок хранения обращений в поддержку в спеке не определён.]

4. Данные посетителей наших клиентов

4.1. Бизнесы используют НЕ МОЛЧИ, чтобы отвечать своим клиентам в чате на сайте и в мессенджерах. По данным посетителей этих бизнесов (имя, контакты, переписка, заявки) оператор — бизнес, которому написал посетитель. НЕ МОЛЧИ обрабатывает эти данные по поручению бизнеса (ч. 3 ст. 6 Закона).

4.2. Цели, сроки и основания обработки определяет бизнес. Они описаны в его политике обработки персональных данных. Ссылка на неё есть в шапке чата на сайте и в первом сообщении в мессенджере.

4.3. Если вы посетитель бизнеса и хотите узнать, какие данные о вас есть, исправить или удалить их, обращайтесь к бизнесу. В чате на сайте есть пункт «Мои данные»; в мессенджере можно написать «удалите мои данные» или «не пишите мне».

4.4. Если вы написали нам, мы переадресуем ваше обращение бизнесу не позднее 1 рабочего дня. По существу отвечает бизнес.

4.5. Данные посетителей хранятся в Российской Федерации. Для формирования ответов могут использоваться сервисы искусственного интеллекта, в том числе иностранные; им передаётся только текст без идентификаторов (подробнее — Политика ИИ, ai_policy_url).

5. Действия и способы обработки

5.1. Мы совершаем с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Обработка — автоматизированная.

5.3. Данные пользователей, плательщиков и партнёров не передаются сервисам искусственного интеллекта.

6. Кому мы передаём данные

6.1. Мы поручаем обработку или передаём данные только в нужном объёме:

Получатель	Какие данные	Зачем	Где
hosting_provider	Все данные из разд. 3	Хостинг	Российская Федерация
email_provider	Адрес электронной почты, содержание писем	Отправка писем	Российская Федерация
sms_provider	Номер телефона, текст SMS	Коды подтверждения телефона, SMS-уведомления (если включены)	Российская Федерация
ЮKassa (yookassa_entity), Т-Касса (tkassa_entity)	Данные плательщика и платежа	Приём платежей, автоплатёж, кассовые чеки	Российская Федерация
Оператор ЭДО edo_operator	Реквизиты, данные подписантов	Обмен УПД и актами	Российская Федерация
Банк bank_name	Реквизиты, данные платежей и выплат	Расчёты, выплаты партнёрам	Российская Федерация
Платформа выплат самозанятым payout_platform	ФИО, ИНН, реквизиты для выплат	Выплаты и чеки НПД	Российская Федерация
ФНС России	ИНН	Проверка статуса плательщика НПД	Российская Федерация
company_lookup_provider	ИНН организации или ИП	Получение реквизитов по ИНН	Российская Федерация
Telegram	Идентификатор чата, имя в Telegram, содержание уведомлений	Telegram-пульт — если пользователь его подключил	За пределами Российской Федерации
Apple (APNs), Google (FCM)	Идентификатор подписки, содержание push-уведомления (в зашифрованном виде)	Push-уведомления — если пользователь их включил	США
Государственные органы	По запросу	Исполнение требований закона	Российская Федерация

6.2. Актуальный перечень получателей данных посетителей бизнесов — в Списке субобработчиков (subprocessors_url).

7. Трансграничная передача

7.1. Трансграничная передача данных наших пользователей происходит, только если пользователь сам подключил Telegram-пульт или push-уведомления. Эта передача заявлена в нашем уведомлении в Роскомнадзор.

7.2. По умолчанию Telegram-пульт и push-уведомления не содержат персональных данных посетителей бизнесов: только событие, канал и краткую сводку без имени, номера и реплик. Больше данных показывается, только если это включил владелец Кабинета после того, как его организация подала своё уведомление о трансграничной передаче.

7.3. Сервисам искусственного интеллекта за пределами Российской Федерации передаётся только текст, из которого удалены идентификаторы. Данные пользователей, плательщиков и партнёров им не передаются.

7.4. Письма мы отправляем на адрес, который указал пользователь. Если этот адрес обслуживает иностранный почтовый сервис, письмо будет храниться у него. [ЮРИСТУ п. 6: квалификация писем на иностранные почтовые сервисы.]

8. Место хранения

8.1. Базы данных находятся в Российской Федерации. Хостинг — hosting_provider; адреса центров обработки данных — dc_addresses.

8.2. Наши узлы за пределами Российской Федерации используются только как транзит для доставки сообщений Telegram и WhatsApp и запросов к сервисам искусственного интеллекта, без хранения данных.

9. Как мы защищаем данные

9.1. Мы назначили ответственного за организацию обработки персональных данных, издали локальные акты, провели оценку вреда, знакомим работников с требованиями и ведём внутренний контроль (ст. 18.1 Закона).

9.2. Мы применяем меры по ст. 19 Закона для 3-го уровня защищённости: размещение в сегменте облака для персональных данных; шифрование каналов связи и хранения чувствительных полей; ключи доступа (passkey) и подтверждение входа с нового устройства; разграничение доступа; журнал аудита; резервное копирование; анализ защищённости; порядок реагирования на инциденты. Доступ наших сотрудников к данным ограничен и протоколируется.

9.3. При инциденте с данными, оператором которых являемся мы, мы уведомляем Роскомнадзор в течение 24 часов и сообщаем результаты расследования в течение 72 часов (ч. 3.1 ст. 21 Закона).

10. Ваши права и как ими воспользоваться

10.1. Вы вправе:

10.1.1. получить сведения об обработке ваших данных (ст. 14 Закона);

10.1.2. потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, незаконно получены или не нужны для цели;

10.1.3. отозвать согласие;

10.1.4. отказаться от рекламных писем;

10.1.5. обжаловать наши действия в Роскомнадзор или в суд.

10.2. Как обратиться: в Кабинете (раздел профиля пользователя); письмом на dpo_email; письмом по адресу platform_address. В запросе укажите, как с вами связаться и как подтвердить, что данные ваши (например, письмо с адреса, указанного в учётной записи).

10.3. Сроки:

10.3.1. ответ на запрос — 10 рабочих дней; мы можем продлить срок на 5 рабочих дней, если сообщим причину;

10.3.2. при отзыве согласия — прекращаем обработку и уничтожаем данные в течение 30 дней, если у нас нет другого законного основания;

10.3.3. при выявлении неправомерной обработки — прекращаем её в течение 3 рабочих дней, а если исправить нельзя, уничтожаем данные в течение 10 рабочих дней.

10.4. Отписаться от рассылки можно по ссылке в любом письме или в настройках уведомлений.

11. Cookies

11.1. Как мы используем cookies на сайте nemol.ru и в Кабинете — в Политике cookies (https://nemol.ru/legal/cookies).

12. Сроки хранения и удаление

12.1. Сводная таблица сроков:

Данные	Срок
Учётная запись пользователя	До удаления учётной записи
Журнал входов	12 месяцев
Журнал действий в Кабинете (аудит)	12 месяцев
Записи о согласиях	Срок действия согласия + 3 года
Соглашение об автоплатеже и журнал его событий	Срок Соглашения + 3 года
Акцепт договора и заверения клиента	Срок договора + 3 года
Учётные документы (счета, УПД, чеки)	По законодательству о бухгалтерском учёте и налогах
Операционные журналы	Не более 30 дней
Резервные копии	Не более 30 дней

12.2. Удаление учётной записи. Учётная запись удаляется. IP-адреса и сведения об устройствах в журналах входов и действий зашифрованы отдельным ключом, принадлежащим этому пользователю. При удалении мы уничтожаем этот ключ. После этого прочитать эти сведения невозможно, а сами строки журналов остаются, чтобы не нарушить их целостность. В журнале Кабинета вместо имени остаётся «Удалённый пользователь» и условный номер.

12.3. Резервные копии с удалёнными данными уничтожаются по расписанию ротации — не позднее 30 дней. Выборочно данные из них не восстанавливаются.

12.4. Записи о согласиях после удаления учётной записи хранятся в виде, не раскрывающем человека, до окончания срока хранения доказательства, затем становятся нечитаемыми.

13. Если НЕ МОЛЧИ будет включён в реестр организаторов распространения информации

13.1. Если НЕ МОЛЧИ будет включён в реестр организаторов распространения информации (ст. 10.1 Федерального закона № 149-ФЗ), мы как самостоятельный оператор будем хранить и предоставлять уполномоченным органам сведения о сообщениях и их содержание в объёме и в сроки, установленные законодательством. Основание — исполнение обязанности, возложенной законом (п. 2 ч. 1 ст. 6 Закона).

13.2. В этом случае такие данные хранятся до истечения установленного законом срока, в том числе после запроса на удаление; данные в рабочей базе удаляются как обычно. Сведения о запросах уполномоченных органов не раскрываются, если закон это запрещает.

13.3. [ЮРИСТУ п. 17: формулировка без «включения в реестр по собственной инициативе».]

14. Ответственный за обработку персональных данных

14.1. Ответственный за организацию обработки персональных данных: dpo_name, dpo_email.

15. Изменение Политики

15.1. Мы можем изменять Политику. Новая редакция публикуется по новому неизменяемому адресу и действует с даты публикации, если в ней не указано иное.

15.2. О существенных изменениях мы сообщаем пользователям баннером в Кабинете и письмом.

15.3. Если меняются цели обработки или состав данных, на которые давалось согласие, мы попросим согласие заново.