Политика действует для всех страниц и сервисов lovicrm и составлена по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» (далее 152-ФЗ). Действующая редакция всегда по адресу https://lovicrm.ru/privacy.
1. Оператор
Оператор: Каланов Станислав Тимурович, самозанятый (плательщик налога на профессиональный доход), ИНН 561211300536.
Почта для запросов: support@lovicrm.ru.
Регистрационный номер в реестре операторов Роскомнадзора: на стадии получения, после присвоения будет внесён в эту редакцию.
2. Что входит в сервис
Под «Сервисом» в Политике понимаются сайты и программы Оператора:
- lovicrm.ru: публичный сайт и блог;
- lk.lovicrm.ru: вход, список проектов, приглашения, оплата (далее «Кабинет»);
- адрес проекта на lovicrm.ru (например, studio.lovicrm.ru): CRM конкретного проекта;
- api.lovicrm.ru: программный интерфейс, через который сайты пользователей передают заявки;
- наши боты уведомлений в Telegram и MAX.
Всё перечисленное составляет одну информационную систему Оператора в смысле 152-ФЗ.
3. Две роли Оператора
Оператор в отношении данных пользователей Сервиса: тех, кто входит в Кабинет, создаёт проекты, работает в них и платит за подписку.
Лицо, обрабатывающее данные по поручению (ч. 3 ст. 6 152-ФЗ) в отношении данных, которые пользователи вносят в свои проекты: их клиентов, покупателей и собеседников. Оператором этих данных является владелец проекта. Он сам определяет цели обработки и отвечает за законность сбора данных и согласия своих клиентов. Поручение на обработку входит в публичную оферту.
4. Правовые основания
- исполнение договора (публичной оферты), стороной которого является субъект;
- согласие субъекта, выраженное отметкой в форме на сайте или в Кабинете;
- поручение владельца проекта на обработку данных его клиентов;
- обязанности по закону: налоговый учёт, выдача чеков, ответы на запросы государственных органов;
- законный интерес Оператора: защита от спама и взлома, работоспособность Сервиса.
5. Какие данные обрабатываются
5.1. Пользователи Сервиса
- адрес электронной почты (по нему происходит вход);
- одноразовый код входа, только в виде хэша, не дольше 10 минут;
- имя, если пользователь его указал;
- идентификатор чата в Telegram или MAX, если пользователь подключил уведомления в наших ботах;
- сведения о проектах, роли в команде, подписке, платежах и чеках;
- технические данные: токен сессии в cookie, журналы запросов к серверу (адрес IP, время, адрес страницы).
Данные банковских карт Оператор не получает и не хранит: их вводят на странице ЮKassa.
5.2. Клиенты пользователей (данные в проектах)
Обрабатываются по поручению владельца проекта, в объёме, который он сам вносит или подключает:
- имя, фамилия, телефон, почта, имя пользователя или номер в Telegram, WhatsApp, MAX;
- переписка с клиентом из подключённых мессенджеров и почты, заметки команды, файлы;
- сведения о сделках: название, сумма, этап, задачи, причина отказа;
- метки рекламы (UTM, идентификаторы Яндекс Метрики), переданные сайтом вместе с заявкой.
6. Цели обработки
- вход в Кабинет и работа Сервиса по оферте;
- приём заявок с сайтов и из мессенджеров, переписка с клиентами, напоминания и уведомления команде;
- расчёты, автопродление подписки по желанию пользователя, выдача чеков;
- сообщения о подписке и работе Сервиса;
- безопасность: ограничение частоты запросов, защита от подбора кодов и злоупотреблений;
- исполнение требований закона.
Рекламных рассылок без отдельного согласия Оператор не отправляет и данные клиентов пользователей в своих целях не использует.
7. Сроки хранения
| Данные | Срок |
|---|---|
| Учётная запись пользователя | до удаления по запросу (раздел 11) |
| Коды входа | не дольше 10 минут |
| Сессия входа | 60 дней или до выхода |
| Данные в проектах | пока существует проект, затем удаляются вместе с ним |
| Платежи и чеки | 4 года (п. 1 ст. 23 Налогового кодекса РФ) |
| Журналы запросов к серверу | 30 дней |
| Резервные копии базы | ограниченный срок, затем удаляются автоматически |
По окончании срока данные удаляются или обезличиваются так, чтобы человека нельзя было узнать.
8. Кому передаются данные
- Хостинг и хранилище в России: серверы и объектное хранилище S3 для файлов. Данные клиентов хранятся там только в зашифрованном виде.
- ЮKassa (ООО НКО «ЮМани»): приём оплаты и сохранение карты для автопродления, если пользователь его включил.
- Сервис отправки писем (российский почтовый провайдер): коды входа, приглашения, уведомления.
- Мессенджеры, которые подключил владелец проекта (Telegram, WhatsApp, MAX): через них уходят и приходят сообщения его клиентов. Передача идёт по поручению владельца проекта.
- Прокси-серверы (Proxy6.net) для подключения личных аккаунтов мессенджеров: через них проходит зашифрованное соединение с мессенджером.
- ООО «Яндекс», если владелец проекта подключил плагин «Яндекс Метрика и Директ»: данные о сделках для офлайн-конверсий, а при отдельной отметке владельца телефоны и почты клиентов в виде хэша для Яндекс Аудиторий.
- Федеральная налоговая служба: чеки через приложение «Мой налог».
- Государственные органы: в случаях, прямо предусмотренных законом.
Оператор не продаёт персональные данные и не передаёт их для рекламы третьих лиц.
9. Трансграничная передача
Серверы Telegram и WhatsApp находятся за пределами России. Если владелец проекта подключает эти мессенджеры или пользователь подключает уведомления в нашем боте Telegram, сообщения и краткое содержание уведомлений передаются на эти серверы. Передача начинается только после того, как пользователь сам подключил канал, и прекращается, когда он его отключил. Прокси-серверы для личных аккаунтов Telegram и WhatsApp также расположены за рубежом.
Владелец проекта, подключая мессенджер для переписки со своими клиентами, выступает оператором этих данных и сам отвечает за согласие своих клиентов на такую передачу.
10. Cookie
Сервис использует только cookie, без которых он не работает: вход и выбранная тема оформления. Счётчиков аналитики и рекламы на lovicrm.ru нет. Подробно в Политике в отношении cookie.
11. Права субъекта
По ст. 14 152-ФЗ вы вправе:
- узнать, обрабатываются ли ваши данные, и получить сведения об этом;
- потребовать уточнить, заблокировать или удалить данные, если они неполные, устаревшие, неточные или не нужны для цели обработки;
- отозвать согласие на обработку;
- обжаловать действия Оператора в Роскомнадзоре или в суде.
Запрос отправьте на support@lovicrm.ru с почты, по которой входите в Сервис, или укажите данные, по которым вас можно найти. Ответим в течение 10 рабочих дней (ст. 14 152-ФЗ).
Если ваши данные внёс в свою CRM другой пользователь (вы его клиент), обратитесь к нему: оператор этих данных он. Мы поможем ему исполнить ваш запрос.
12. Как защищены данные
- все соединения только по HTTPS;
- данные клиентов в проектах (контакты, переписка, заметки, файлы) шифруются алгоритмом AES-256-GCM, у каждого проекта свой ключ; ключи проектов зашифрованы главным ключом, который хранится отдельно от базы и резервных копий;
- поиск по телефону и почте работает по слепому индексу, без хранения открытых значений;
- паролей нет: вход по одноразовому коду из письма, коды хранятся хэшем, число попыток ограничено;
- cookie входа с флагами HttpOnly, Secure, SameSite=Lax; ключи API хранятся хэшем;
- данные клиентов не попадают в журналы сервера и тексты ошибок;
- доступ к серверам только у Оператора, по ключу.
13. Изменение Политики
Оператор может менять Политику. Новая редакция публикуется по адресу https://lovicrm.ru/privacy с датой редакции. Если меняются состав данных, цели или получатели, мы предложим подтвердить согласие заново.