Оператор: ИП Поздняков Андрей Сергеевич Информационная система: «Репост: пересылка сообщений» (бот-мост Telegram ⇄ MAX) — программный комплекс пересылки сообщений между групповыми чатами мессенджеров (далее — Сервис, Бот) Редакция: 1 от (уточняется) Утверждена: приказом ИП Поздняков Андрей Сергеевич от (уточняется) № (уточняется) Адрес публикации: https://repost.itpartner1c.ru/privacy.html
1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных (далее — ПДн) физических лиц, осуществляемой Оператором, и издана во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).
1.2. Политика является общедоступным документом. Оператор обеспечивает неограниченный доступ к ней путём публикации по адресу https://repost.itpartner1c.ru/privacy.html, а также предоставляет её текст по команде /privacy в интерфейсе Бота и по запросу на адрес ITPartner1C@yandex.ru.
1.3. Политика распространяется на все ПДн, которые Оператор получает и обрабатывает в связи с функционированием Сервиса, вне зависимости от того, обратился ли субъект ПДн к Боту самостоятельно.
1.4. Действие Политики не распространяется на обработку ПДн самими мессенджерами Telegram и MAX, а также иными лицами, не находящимися под контролем Оператора. Отношения субъекта с этими лицами регулируются их собственными политиками.
1.5. Правовую основу обработки составляют: Конституция РФ; 152-ФЗ; Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; постановление Правительства РФ от 01.11.2012 № 1119; постановление Правительства РФ от 15.09.2008 № 687; приказ ФСТЭК России от 18.02.2013 № 21; приказы Роскомнадзора от 27.10.2022 № 178, от 28.10.2022 № 179, от 28.10.2022 № 180, от 05.08.2022 № 128, от 19.06.2025 № 140; иные нормативные правовые акты Российской Федерации.
Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «распространение», «предоставление», «трансграничная передача», «блокирование», «уничтожение», «обезличивание», «автоматизированная обработка» используются в значениях, установленных ст. 3 152-ФЗ.
Дополнительно в настоящей Политике применяются следующие термины:
| Параметр | Значение |
|---|---|
| Оператор | Индивидуальный предприниматель Поздняков Андрей Сергеевич |
| ОГРНИП | 319554300076031 |
| ИНН | 552805848794 |
| Адрес (для направления корреспонденции) | Омская область, Омский район, п. Новоомский, ул. Дачная, д. 24 |
| Адрес электронной почты для обращений субъектов ПДн | ITPartner1C@yandex.ru |
| Лицо, ответственное за организацию обработки ПДн | Поздняков Андрей Сергеевич (сам ИП), тел. не публикуется — обращения по e-mail (телефон указан в уведомлении РКН), ITPartner1C@yandex.ru |
| Сведения о включении в реестр операторов | Уведомление об обработке ПДн направлено в Роскомнадзор (уточняется), регистрационный номер (уточняется) |
Оператор осуществляет обработку ПДн как с использованием средств автоматизации, так и без их использования.
Оператор обрабатывает ПДн следующих категорий субъектов:
4.1. Инициаторы подключения и администраторы групповых чатов — лица, добавившие Бота в чат, настраивающие его работу и получающие результаты обработки.
4.2. Участники групповых чатов — все лица, состоящие в групповых чатах, куда добавлен Бот, включая лиц, которые не взаимодействовали с Ботом напрямую: не адресовали ему сообщений, не вызывали его команд и не совершали иных действий, свидетельствующих о намерении воспользоваться Сервисом. ПДн таких лиц попадают в Сервис в силу технической архитектуры мессенджеров: Бот, будучи участником чата, получает сообщения чата в объёме, определяемом настройками чата и правами Бота.
4.3. Пользователи, обращающиеся к Боту в личных сообщениях — лица, направляющие Оператору запросы, обращения, требования об уточнении или уничтожении ПДн.
4.4. Контрагенты Оператора — физические лица и представители юридических лиц (в объёме, необходимом для заключения и исполнения договоров).
Оператор не осуществляет и не планирует осуществлять обработку ПДн более чем 100 000 субъектов, не являющихся работниками Оператора. При приближении к этому порогу Оператор обязан пересмотреть уровень защищённости информационной системы (см. п. 14.3).
5.1. В отношении участников групповых чатов (в том числе не взаимодействовавших с Ботом):
5.2. Дополнительно в отношении инициаторов подключения и пользователей, обратившихся напрямую: номер телефона и (или) адрес электронной почты — если сообщены субъектом добровольно; содержание обращения; сведения о настройках Сервиса.
5.3. Оператор не ставит своей целью и не осуществляет целенаправленный сбор:
5.4. Оператор осознаёт, что тексты сообщений групповых чатов представляют собой свободный текст, в который субъекты могут по своей инициативе включить сведения, относящиеся к специальным категориям ПДн, а равно ПДн третьих лиц. Такие сведения не запрашиваются, не выделяются в отдельные структурированные поля, не используются для целей, отличных от указанных в разделе 6, и подлежат уничтожению в общем порядке по истечении срока хранения текстов (п. 10.1), а по требованию субъекта — досрочно.
5.5. Оператор применяет минимизацию состава данных: в Сервисе не сохраняются данные, не требующиеся для достижения заявленных целей, а также применяется псевдонимизация идентификаторов пользователей в производных выборках и журналах.
| № | Цель | Обрабатываемые данные | Категории субъектов |
|---|---|---|---|
| 6.1 | Обеспечение функционирования Бота в групповом чате: приём, маршрутизация и обработка сообщений, формирование ответов и сводок | п. 5.1, 5.2 | 4.1, 4.2, 4.3 |
| 6.2 | Формирование по запросу администратора чата аналитических и справочных материалов (сводки, поиск по истории, напоминания) | п. 5.1 | 4.1, 4.2 |
| 6.3 | Техническая поддержка, диагностика сбоев, обеспечение работоспособности и восстановление после аварий | метаданные, технические журналы | 4.1, 4.2, 4.3 |
| 6.4 | Обеспечение безопасности Сервиса, противодействие спаму, злоупотреблениям и несанкционированному доступу | метаданные, технические журналы | 4.2, 4.3 |
| 6.5 | Рассмотрение обращений субъектов ПДн и исполнение их требований | п. 5.2, идентификаторы | 4.3 |
| 6.6 | Исполнение обязанностей, возложенных на Оператора законодательством РФ (учёт, отчётность, взаимодействие с уполномоченными органами) | п. 5.2, 5.4 | 4.1, 4.4 |
| 6.7 | Заключение и исполнение договоров с контрагентами | п. 5.2 | 4.4 |
Оператор не использует ПДн для целей рекламы, продвижения товаров и услуг, профилирования в маркетинговых целях, а также не передаёт ПДн третьим лицам для указанных целей.
Обработка ПДн, несовместимая с целями сбора, не допускается. Объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой, не производится.
7.1. Обработка ПДн осуществляется на следующих основаниях:
7.2. Согласие, когда оно требуется, оформляется отдельным документом (отдельной формой), обособленным от иных соглашений, является конкретным, предметным, информированным, сознательным и однозначным, содержит перечень целей и действий с ПДн и может быть отозвано субъектом в любой момент (ч. 1, ч. 4 ст. 9 152-ФЗ, с учётом требований, действующих с 01.09.2025).
7.3. Оператор ведёт учёт правовых оснований по каждой цели обработки. Обработка ПДн участников чатов на основании п. 7 ч. 1 ст. 6 152-ФЗ сопровождается оценкой баланса интересов и мерами минимизации (ограниченный срок хранения текстов, отказ от профилирования, ограничение круга лиц с доступом).
8.1. ПДн поступают в Сервис из следующих источников:
8.2. Информирование субъектов, чьи ПДн получены не от них (ч. 3 ст. 18 152-ФЗ). До начала обработки ПДн, полученных не от субъекта, Оператор обеспечивает предоставление субъекту сведений: наименование (ФИО) и адрес Оператора; цель обработки и её правовое основание; предполагаемые пользователи ПДн; установленные 152-ФЗ права субъекта ПДн; источник получения ПДн.
Указанные сведения предоставляются следующими способами (совокупно):
/privacy, доступной любому участнику чата;8.3. Обязанности инициатора подключения. Лицо, добавляющее Бота в групповой чат, обязано: уведомить участников чата о подключении Бота и о том, какие данные обрабатываются; довести до участников ссылку на настоящую Политику; иметь правовое основание для передачи Оператору сообщений чата. Оператор вправе требовать подтверждения выполнения этих обязанностей и прекратить обслуживание чата при их невыполнении.
8.4. Право участника чата на возражение. Любой участник группового чата вправе потребовать прекращения обработки его ПДн, направив требование на ITPartner1C@yandex.ru либо через команду /optout в личных сообщениях Боту. По такому требованию Оператор в срок не более 10 рабочих дней (рекомендуется — 10 рабочих дней) исключает субъекта из обработки: прекращает сохранение текстов его сообщений, уничтожает ранее сохранённые тексты и обезличивает относящиеся к нему метаданные, за исключением сведений, хранение которых обязательно в силу закона.
9.1. Оператор осуществляет: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ, трансграничную передачу), обезличивание, блокирование, удаление и уничтожение ПДн.
9.2. Оператор не осуществляет распространение ПДн (в том числе не размещает ПДн в открытом доступе) и не оформляет согласий на распространение ПДн по ст. 10.1 152-ФЗ.
9.3. Обработка осуществляется преимущественно автоматизированно. Оператор не принимает на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы (ст. 16 152-ФЗ).
9.4. Обработка ПДн осуществляется на основе принципов законности и справедливости, ограничения обработки достижением конкретных, заранее определённых и законных целей, соответствия объёма и содержания ПДн целям обработки, точности и достаточности данных, а также ограничения срока хранения (ст. 5 152-ФЗ).
9.5. Оператор не использует тексты сообщений групповых чатов для обучения, дообучения или тонкой настройки моделей машинного обучения. Если такое использование будет введено, оно будет возможно исключительно после обезличивания в соответствии с приказом Роскомнадзора от 19.06.2025 № 140 и с внесением изменений в настоящую Политику.
10.1. Тексты сообщений и вложенные файлы хранятся не более 90 (девяноста) календарных дней с момента их получения Сервисом. По истечении этого срока они уничтожаются автоматически, без дополнительного запроса субъекта. Уничтожение производится необратимо, включая удаление из активной базы данных и из резервных копий в срок, установленный п. 10.5.
10.2. Метаданные хранятся дольше текстов — в течение 12 месяцев (рекомендуемое значение — 12 месяцев) с момента их получения. Более длительный срок обусловлен целями 6.3 и 6.4: обеспечение работоспособности Сервиса, расследование инцидентов, противодействие злоупотреблениям, а также необходимостью подтверждения корректности работы Сервиса перед пользователями. Хранение метаданных сверх срока хранения текстов не позволяет восстановить содержание сообщений.
10.3. Агрегированные и обезличенные показатели (счётчики, статистика нагрузки, метрики качества) хранятся без ограничения срока, поскольку не позволяют определить субъекта ПДн. Обезличенные данные хранятся отдельно от исходных ПДн; совместное хранение обезличенных и исходных данных не допускается (приказ Роскомнадзора от 19.06.2025 № 140).
10.4. Данные обращений субъектов ПДн и переписки по ним хранятся 3 года (рекомендуется — 3 года с даты завершения рассмотрения) для подтверждения исполнения Оператором своих обязанностей.
10.5. Резервные копии базы данных хранятся не более 30 дней (рекомендуется — 30 дней) и подлежат ротации. Уничтожение ПДн по требованию субъекта в резервных копиях осуществляется путём их естественной ротации либо — при невозможности ожидания — путём восстановления, удаления записи и повторного создания копии; на период до фактического уничтожения такие ПДн блокируются.
10.6. ПДн уничтожаются также при: достижении цели обработки; утрате необходимости в достижении цели; отзыве согласия (если оно было единственным основанием); выявлении неправомерной обработки — в сроки, установленные ст. 21 152-ФЗ.
10.7. Факт уничтожения ПДн подтверждается актом об уничтожении и (или) выгрузкой из журнала регистрации событий в информационной системе, оформляемыми в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.
11.1. Локализация. Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение ПДн граждан Российской Федерации осуществляются Оператором с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Сведения о размещении: (уточняется), ЦОД (уточняется).
11.2. Исходящие сетевые вызовы. В силу ограничений доступности сетевой инфраструктуры мессенджеров с российских IP-адресов исходящие соединения Сервиса к API мессенджеров и иных внешних сервисов устанавливаются через вспомогательный сетевой узел (релей), расположенный за пределами территории Российской Федерации — Нидерланды (основной узел), Казахстан (резервный), провайдер (уточняется).
11.3. В отношении релея Оператором установлен следующий режим, зафиксированный в конфигурации и в организационно-распорядительных документах:
11.4. Оператор квалифицирует передачу ПДн через релей как трансграничную передачу и исполняет соответствующие обязанности (раздел 12).
12.1. Трансграничная передача ПДн осуществляется:
Внешние сервисы обработки текста (языковые модели, LLM) Оператором не используются.
12.2. До начала трансграничной передачи Оператор направил в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу ПДн по форме, установленной уполномоченным органом (ст. 12 152-ФЗ), — (уточняется).
12.3. Государства, на территорию которых осуществляется передача, включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн, утверждённый приказом Роскомнадзора от 05.08.2022 № 128. Передача в государства, не включённые в указанный перечень, Оператором не осуществляется; при возникновении такой необходимости передача будет начата не ранее получения соответствующего решения уполномоченного органа.
12.4. Объём трансгранично передаваемых данных минимизирован: за пределы РФ передаются только те данные, которые технически необходимы для взаимодействия с внешним API, в режиме транзита, без сохранения.
13.1. Оператор не продаёт ПДн, не передаёт их в маркетинговых целях и не раскрывает третьим лицам, за исключением случаев, указанных ниже.
13.2. ПДн могут передаваться:
13.3. В случаях, когда обработка ПДн поручается третьему лицу, такое поручение оформляется договором в соответствии с ч. 3 ст. 6 152-ФЗ. Договор содержит: перечень действий с ПДн, цели обработки, обязанность лица соблюдать конфиденциальность и обеспечивать безопасность ПДн, требования к защите ПДн, обязанность по уведомлению об инцидентах. Оператор несёт ответственность перед субъектом за действия лица, которому поручена обработка.
13.4. Реестр лиц, которым поручена обработка ПДн, ведётся Оператором и предоставляется по запросу уполномоченного органа.
14.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и ст. 19 152-ФЗ, в том числе:
14.2. Технические меры включают: разграничение и учёт доступа к ПДн на основе утверждённого перечня лиц, доступ которых необходим для выполнения служебных обязанностей; идентификацию и аутентификацию пользователей, многофакторную аутентификацию администраторов; шифрование данных при передаче (TLS) и шифрование резервных копий; регистрацию событий безопасности; антивирусную защиту; контроль состава программного обеспечения и своевременное устранение уязвимостей; управление криптографическими ключами и токенами доступа; сегментацию сети и ограничение доступа к релею по спискам IP-адресов; резервное копирование и проверку восстановимости; обеспечение сохранности носителей ПДн и режим безопасности помещений.
14.3. Уровень защищённости. Информационная система Оператора отнесена к 4-й (УЗ-4) уровню защищённости персональных данных в соответствии с Требованиями, утверждёнными постановлением Правительства РФ от 01.11.2012 № 1119, исходя из типа актуальных угроз (3-й (третий)), категории обрабатываемых ПДн (иные категории) и числа субъектов, не являющихся работниками Оператора (менее 100 000). Обоснование содержится в акте определения уровня защищённости от (уточняется).
Оператор учитывает, что третий уровень защищённости устанавливается, в частности, при актуальности угроз 3-го типа и обработке специальных категорий ПДн менее чем 100 000 субъектов-неработников, при обработке биометрических ПДн, при обработке иных категорий ПДн более чем 100 000 субъектов-неработников, а также при актуальности угроз 2-го типа в отношении общедоступных или иных категорий ПДн указанного объёма. При наступлении любого из этих обстоятельств уровень защищённости и состав мер подлежат пересмотру.
14.4. Средства защиты информации, применяемые для нейтрализации актуальных угроз, проходят процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации (п. 13 «г» Требований, утв. ПП РФ № 1119). Средства криптографической защиты информации, если они применяются для нейтрализации актуальных угроз, применяются с учётом требований приказа ФСБ России от 10.07.2014 № 378.
14.5. Аттестация информационной системы по требованиям безопасности информации Оператором не проводится: аттестация обязательна для государственных информационных систем, иных информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений, а также муниципальных информационных систем; для негосударственного оператора обязательной является оценка эффективности принимаемых мер (п. 14.1).
15.1. Сервис не предназначен для использования лицами, не достигшими 18 лет. Оператор не осуществляет целенаправленный сбор ПДн несовершеннолетних.
15.2. Оператор не располагает технической возможностью достоверно установить возраст участников групповых чатов. Инициатор подключения обязан не добавлять Бота в чаты, участниками которых заведомо являются несовершеннолетние, без наличия согласия их законных представителей.
15.3. При получении информации о том, что в Сервис поступили ПДн несовершеннолетнего при отсутствии надлежащего правового основания, Оператор незамедлительно блокирует такие данные и уничтожает их в порядке п. 10.6.
16.1. Субъект ПДн имеет право:
16.2. Порядок направления запроса. Запрос направляется на адрес ITPartner1C@yandex.ru либо почтой по адресу Омская область, Омский район, п. Новоомский, ул. Дачная, д. 24 и должен содержать: номер основного документа, удостоверяющего личность субъекта (или его представителя), сведения о дате выдачи и выдавшем органе либо иные сведения, подтверждающие факт обработки ПДн Оператором; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, идентификатор или @-имя в мессенджере и идентификатор чата); подпись субъекта или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью.
16.3. Сроки. Оператор предоставляет ответ в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления. Уточнение ПДн производится в течение 7 рабочих дней с даты представления подтверждающих сведений; уничтожение неправомерно обрабатываемых ПДн — в течение 10 рабочих дней; уничтожение при отзыве согласия — в течение 30 дней (если иное не предусмотрено договором).
16.4. Особенности для участников групповых чатов. Оператор идентифицирует субъекта по идентификатору пользователя мессенджера. Уничтожение ПДн участника чата означает удаление текстов его сообщений из систем Оператора и обезличивание относящихся к нему метаданных; на содержимое самого группового чата в мессенджере это не влияет — удаление сообщений в мессенджере осуществляется средствами мессенджера самим субъектом или администратором чата.
16.5. Оператор вправе отказать в предоставлении сведений в случаях, предусмотренных ч. 8 ст. 14 152-ФЗ, направив мотивированный ответ.
17.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов, Оператор:
17.2. При наличии признаков компьютерного инцидента (компьютерной атаки) Оператор дополнительно осуществляет взаимодействие с НКЦКИ (ГосСОПКА) в установленном порядке.
17.3. Оператор ведёт внутренний учёт инцидентов, проводит расследование каждого случая и по его результатам актуализирует модель угроз и состав защитных мер.
18.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её публикации по адресу https://repost.itpartner1c.ru/privacy.html, если иное не определено в самой редакции. Существенные изменения доводятся до пользователей сообщением Бота в обслуживаемых групповых чатах не менее чем за 10 календарных дней (рекомендуется — 10 календарных дней) до вступления в силу.
18.2. Предыдущие редакции Политики хранятся Оператором и предоставляются по запросу.
18.3. Контроль исполнения требований настоящей Политики возложен на лицо, ответственное за организацию обработки ПДн.
18.4. Лица, виновные в нарушении требований законодательства о персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации, включая административную ответственность по ст. 13.11 КоАП РФ и уголовную ответственность по ст. 272.1 УК РФ.
18.5. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.