Сбордок ← На главную

Проект редакции. До публичного запуска документ проходит ревизию практикующим юристом по 152-ФЗ; реквизиты оператора будут заполнены после регистрации юридического лица.

Политика обработки персональных данных

Редакция от 2026-06-12. Версия 0.1-draft.

1. Общие положения

1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (в действующей редакции), Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21 и приказами Роскомнадзора № 178, 179, 180 (2022).

1.2. Оператор — [ООО «Сбордок» — уточняется при регистрации юрлица], ОГРН [ОГРН — после регистрации], ИНН [ИНН — после регистрации], адрес: [юридический адрес — после регистрации], email: privacy@сбордок.рф.

1.3. Политика публикуется в открытом доступе по адресу сбордок.рф/privacy во исполнение ч. 2 ст. 18.1 152-ФЗ.

2. Категории субъектов и обрабатываемых персональных данных

2.1. Пользователи сервиса (специалисты, собирающие документы):

  • имя и email, полученные от Яндекс ID при входе, ссылка на аватар;
  • IP-адрес и User-Agent — хранятся только в виде криптографических хешей (SHA-256);
  • cookies, необходимые для работы сессии;
  • журналы действий в сервисе (audit-log).

Пароли не обрабатываются и не хранятся: вход выполняется только через внешних OAuth-провайдеров.

2.2. Конечные субъекты (лица, заполняющие формы Пользователей):

  • состав данных определяет Пользователь при создании формы; типовой состав: ФИО, контактные данные, сведения и файлы документов (паспорт, СНИЛС, ИНН, справки о доходах);
  • IP-адрес и User-Agent — только в виде SHA-256-хешей; журналы действий.

2.3. Специальные категории ПД (ст. 10 152-ФЗ) и биометрические ПД (ст. 11 152-ФЗ) не обрабатываются. Пользователям запрещено настраивать формы для сбора таких данных; конструктор форм технически блокирует поля с признаками таких категорий.

3. Цели обработки

  1. Заключение и исполнение договора с Пользователем (п. 5 ч. 1 ст. 6 152-ФЗ).
  2. Идентификация Пользователя и предоставление доступа к сервису.
  3. Хранение и обеспечение доступа Пользователя к документам Конечных субъектов — по поручению Пользователя в соответствии с ч. 3 ст. 6 152-ФЗ.
  4. Техническая поддержка и сервисные уведомления.
  5. Соблюдение требований законодательства РФ.
  6. Маркетинговые коммуникации — только при наличии отдельного согласия (в текущей версии сервиса рассылки не ведутся).

4. Правовые основания

  • п. 1 ч. 1 ст. 6 152-ФЗ — согласие субъекта персональных данных;
  • п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора;
  • п. 2 ч. 1 ст. 6 152-ФЗ — исполнение обязанностей, возложенных законом;
  • ч. 3 ст. 6 152-ФЗ — поручение Пользователя (в отношении данных Конечных субъектов).

В отношениях с Конечными субъектами Пользователь выступает самостоятельным оператором ПД, а сервис — лицом, осуществляющим обработку по поручению оператора (раздел 10 Публичной оферты).

5. Перечень действий с персональными данными

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление доступа Пользователю в установленных случаях), блокирование, удаление, уничтожение — с использованием средств автоматизации.

6. Локализация баз данных (ч. 5 ст. 18 152-ФЗ)

6.1. Запись, систематизация, накопление, хранение, уточнение и извлечение ПД граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

6.2. Инфраструктура: [облачный провайдер, договор № …] — серверы и объектное хранилище в регионе РФ. Резервные копии — на территории РФ.

7. Передача третьим лицам

7.1. Оператор поручает обработку в части, необходимой для оказания услуг: хостинг-провайдеру […], оператору транзакционных email-уведомлений […] — с заключением договоров-поручений по ч. 3 ст. 6 152-ФЗ.

7.2. Трансграничная передача персональных данных не осуществляется. Аутентификация выполняется через Яндекс ID (ООО «ЯНДЕКС», инфраструктура РФ); иные внешние провайдеры идентификации не используются.

8. Сроки хранения

  • черновики заполнений и загруженные файлы Конечных субъектов — на бесплатном тарифе 30 дней, на платных 90 дней с момента создания, после чего удаляются автоматически;
  • переданные специалисту заполнения — на период обслуживания и [90 дней после — уточняется с введением тарифов];
  • данные аккаунта Пользователя — на период действия договора и 3 года после;
  • тексты версий согласий — бессрочно (эталон для подтверждения состава согласия);
  • журналы аудита — [срок — на юр-ревизию].

Уничтожение осуществляется в порядке Приказа РКН № 179 от 28.10.2022; факт удаления фиксируется записью retention.purge в журнале аудита.

9. Меры защиты (ст. 19 152-ФЗ)

  • TLS-шифрование каналов связи, HSTS;
  • хранение токенов, IP и User-Agent только в виде SHA-256-хешей;
  • разграничение доступа: специалист видит только свои формы и заполнения;
  • журналирование всех значимых действий (append-only audit-log);
  • проверка содержимого загружаемых файлов (whitelist форматов + сигнатуры);
  • просмотр документов специалистом без скачивания, короткоживущие ссылки (≤ 5 минут);
  • назначен ответственный за организацию обработки ПД: [ФИО — после регистрации юрлица].

10. Cookies

10.1. Сервис использует строго необходимые cookies: сессия Пользователя, токен черновика Конечного субъекта, защита от подделки запросов. Правовое основание — исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ), отдельное согласие не требуется.

10.2. Аналитические и маркетинговые cookies в текущей версии не используются. При их подключении они будут включаться только после отдельного согласия через баннер cookies (с возможностью отказа).

11. Права субъектов персональных данных

Субъект ПД вправе (ст. 14, 15, 17, 20, 21 152-ФЗ): получать сведения об обработке своих ПД; требовать уточнения, блокирования или уничтожения ПД; отзывать согласие на обработку; обжаловать действия Оператора в Роскомнадзор или в суд.

12. Порядок обращений

12.1. Запросы направляются на email privacy@сбордок.рф или почтой на адрес Оператора.

12.2. Срок ответа — 10 рабочих дней (ч. 1 ст. 20 152-ФЗ); срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

13. Реестр операторов

[Регистрационный номер в Реестре операторов РКН — публикуется после подачи уведомления по форме Приказа РКН № 180 через pd.rkn.gov.ru.]

14. Изменения

Актуальная редакция Политики постоянно доступна по адресу сбордок.рф/privacy. Дата редакции указана в начале документа.