Юридический документ

Политика обработки персональных данных

Редакция от 08.07.2026

Настоящая Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператор: Индивидуальный предприниматель Лачугина Анна Вадимовна
ИНН: 583502906945 · ОГРНИП: 325580000056167
Адрес: 440039, г. Пенза, Пензенская обл., Россия
Email: sup@zepra.ru
Регистрационный номер уведомления (Роскомнадзор, внесено в реестр операторов ПДн): 58-26-019704
Налоговый режим: УСН «Доходы», ставка 6% (ст. 346.12, 346.13 НК РФ)

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных (далее — ПДн) пользователей сервиса Zepra. Оператор платформы: ИП Лачугина Анна Вадимовна, ИНН 583502906945, ОГРНИП 325580000056167.

Zepra — технологическая платформа (облачный сервис) для онлайн-записи в салоны услуг. Мы обрабатываем ПДн владельцев салонов (ФИО, email, телефон) как Оператор, ПДн мастеров и специалистов салонов — по поручению салона, и ПДн клиентов салонов как Обработчик (по поручению салона, ст. 6 152-ФЗ).

Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «обезличивание», «блокирование», «уничтожение» используются в значениях, определённых ст. 3 и ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1.1. Категории субъектов персональных данных

2. Категории обрабатываемых данных

Мы обрабатываем: ФИО, номер телефона, адрес электронной почты, сведения об оказанных услугах в салонах, технические данные (IP-адрес, файлы cookie).

2.1. Категории ПДн, которые не обрабатываются

Оператор не осуществляет обработку специальных категорий персональных данных (раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь — ст. 10 152-ФЗ) и биометрических персональных данных, используемых для установления личности (ст. 11 152-ФЗ). Фотографии портфолио мастеров обрабатываются исключительно как изображения для демонстрации работ, без извлечения биометрических идентификаторов.

3. Цели обработки

3.1. Цели, категории данных, основания и сроки

Цель Категория ПДн Правовое основание Срок хранения
Регистрация и доступ владельца салона к CRM ФИО, email, телефон Договор-оферта (исполнение договора, п. 5 ч. 1 ст. 6 152-ФЗ) 3 года с момента регистрации; при удалении аккаунта — уничтожение в течение 30 дней; бухгалтерские документы — 5 лет (ст. 29 402-ФЗ)
Онлайн-запись клиента в салон Имя, телефон, история визитов Поручение оператора (салон) + согласие субъекта До отзыва согласия, удаления профиля субъектом или по запросу салона-оператора после прекращения использования сервиса (исполнение — не более 30 дней с даты запроса)
Сервисные уведомления о записи Личный кабинет; идентификатор vk_user_id (при добровольной привязке через бота сообщества VK); email — только для транзакционных уведомлений платформы (подтверждение email, сброс пароля, статус подписки), не для маркетинга Исполнение договора записи (сервисные сообщения; SMS/WhatsApp/Telegram/push не используются) До завершения визита + 30 дней
Верификация салона перед публикацией онлайн-записи ИНН и ОГРН/ОГРНИП оператора (салона); факт подтверждения email владельца; результат автоматической сверки с ЕГРЮЛ/ЕГРИП и реестром НПД (без сохранения полных выписок); ИНН из metadata платежа ЮKassa при оплате подписки Исполнение договора, предотвращение мошенничества (п. 5, 7 ч. 1 ст. 6 152-ФЗ) На период использования сервиса; статус верификации — до удаления салона
Маркетинговые рассылки об акциях Email (при наличии согласия) Отдельное согласие (ст. 6, 9 152-ФЗ; ст. 18 ФЗ «О рекламе»). Без SMS и мессенджеров. До отзыва согласия / отписки
Рассмотрение заявок на подключение салонов Имя представителя, контактный телефон, город, адрес веб-сайта, описание бизнеса Инициация договора пользователем (п. 5 ч. 1 ст. 6 152-ФЗ) До принятия решения по заявке + 1 год; при отказе — до 30 дней
Оплата подписки Zepra Email, сумма платежа, идентификатор транзакции Договор-оферта, 54-ФЗ 5 лет (налоговый учёт)
Доступ мастеров и сотрудников салона к CRM ФИО, телефон, email, график работы, специализация, фото портфолио Отдельное согласие на обработку ПДн при принятии приглашения в личном кабинете (/login, API /api/auth/consent-texts); для владельцев салонов — /pdn-consent-owner; для клиентов при записи — /booking-consent; при публикации профиля мастера — согласие на распространение ПДн (152-ФЗ ст. 10.1) До отзыва согласия или удаления учётной записи мастера
Транзакционные уведомления владельцам салонов Email владельца, текст уведомления (статус подписки, верификация, сбой автопродления) Исполнение договора-оферты (п. 5 ч. 1 ст. 6 152-ФЗ); не являются рекламой До достижения цели + 90 дней (журналы доставки)
Регистрация и верификация участников партнёрской программы (самозанятые и ИП) ИНН; ОГРНИП (для ИП); ФИО; дата рождения; email; реквизиты выплат; результат автоматической сверки с ЕГРИП и реестром НПД ФНС (без сохранения полных ответов реестров) Исполнение договора партнёрской программы, предотвращение мошенничества (п. 5, 7 ч. 1 ст. 6 152-ФЗ); отдельное согласие партнёра До расторжения договора с партнёром + срок исковой давности (3 года)
Верификация несовершеннолетних участников партнёрской программы (14–17 лет) Дата рождения партнёра; ПДн законного представителя из письменного согласия (ФИО, паспортные данные, адрес регистрации); скан подписанного согласия Исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ), ст. 26 ГК РФ; письменное согласие законного представителя (ст. 9 152-ФЗ) До расторжения договора с партнёром + срок исковой давности (3 года); скан согласия — до уничтожения по отзыву или истечении срока хранения
Техническая безопасность и расследование инцидентов IP-адрес, User-Agent, журналы запросов Законный интерес оператора (п. 7 ч. 1 ст. 6 152-ФЗ), обеспечение безопасности 90 дней (журналы доступа), до 1 года при инциденте
Анализ эффективности рекламных кампаний и источников регистрации Маркетинговые UTM-метки (utm_source, utm_medium, utm_campaign и др.), ассоциированные с профилем владельца Договор-оферта (инициация регистрации пользователем, п. 5 ч. 1 ст. 6 152-ФЗ) 3 года с момента регистрации или до удаления аккаунта
VK-напоминания о записи (по желанию клиента) Идентификатор vk_user_id, текст напоминания Исполнение договора записи; добровольная привязка бота (п. 5 ч. 1 ст. 6 152-ФЗ) До отзыва привязки или удаления профиля
In-app напоминания о записи (личный кабинет клиента) Текст напоминания, дата и время записи Исполнение договора записи (п. 5 ч. 1 ст. 6 152-ФЗ) До завершения или отмены записи
Email-напоминания о записи (опционально, по настройке салона) Email клиента, текст напоминания Исполнение договора записи при включённой функции (п. 5 ч. 1 ст. 6 152-ФЗ) До завершения записи; функция может быть отключена на период техобслуживания SMTP
Веб-аналитика (Яндекс.Метрика) Cookie (_ym_uid, _ym_d), обезличенные технические данные Согласие субъекта (ст. 6, 9 152-ФЗ; ФЗ № 420-ФЗ) — только после баннера До отзыва согласия или 13 месяцев без активности
Запись выбора cookie-баннера Запись в localStorage браузера (cookie_consent) Согласие / законный интерес (необходимые cookies) 12 месяцев с даты выбора

4. Правовое основание

Обработка осуществляется на основании договора-оферты, согласий пользователей и ст. 6 152-ФЗ.

В отношении ПДн клиентов салона ИП Лачугина Анна Вадимовна выступает обработчиком по поручению оператора (Салона). Ответственность за наличие согласий клиентов, законность рассылок салона и содержание публичных страниц записи несёт Салон. Zepra не отвечает за услуги салона, действия мастеров и маркетинг салона.

Участники партнёрской программы продвигают сервис самостоятельно и от своего имени. Заказчик (ИП Лачугина Анна Вадимовна) не является рекламодателем материалов партнёров и не несёт ответственности за способ их продвижения, кроме случаев, прямо предусмотренных законом; претензии по рекламе партнёра направляются партнёру и/или на sup@zepra.ru.

4.1. Сроки хранения

Персональные данные подлежат уничтожению в срок, не превышающий 30 дней с даты поступления отзыва согласия или требования об уничтожении, если иное не предусмотрено договором.

Хранение осуществляется на серверах на территории РФ (ООО «ТаймВэб.Клауд» (ОГРН 1227800052215, ИНН 7810945525), размещение: 630510, г. Новосибирск, д.п. Кудряшовский, ул. Светлая, д. 21; резервное хранение — в дата-центрах РФ).

5. Объём обрабатываемых данных (по категориям)

5.1. Для владельцев салонов

5.2. Для клиентов салонов

5.3. Для мастеров и специалистов салонов

5.4. Технические данные

5.5. Законные представители несовершеннолетних партнёров

5.6. Проверка партнёров через государственные реестры

При регистрации и перед выплатой вознаграждения платформа проверяет:

Цель проверки — подтвердить действующий налоговый статус и соответствие указанных реквизитов данным государственных реестров, предотвратить мошенничество и использование чужих данных. Полные ответы государственных реестров не сохраняются; в журнале фиксируются только технические результаты (факт проверки, активность записи, совпадение ФИО, доступность API).

6. Сроки обработки

Персональные данные обрабатываются до достижения целей обработки или до отзыва согласия субъектом. Запрос субъекта на удаление исполняется в срок не более 30 календарных дней.

Автоматическая очистка технических записей (без уничтожения профиля клиента): ожидающие бронирования — 30 дней; служебные обращения по записи — 180 дней; приглашения мастеров — 90 дней. Массовое удаление ПДн клиентов салона при закрытии салона выполняется по запросу владельца салона как оператора ПДн — в срок не более 30 дней с даты запроса.

Текст согласия клиента при записи в конкретный салон публикуется на отдельной странице /booking-consent (параметр ?salon=…) и фиксируется в журнале согласий.

7. Место обработки данных (локализация)

В соответствии с ч. 5 ст. 18 Закона № 152-ФЗ хранение и обработка персональных данных граждан РФ осуществляется на серверах, расположенных на территории Российской Федерации (630510, г. Новосибирск, д.п. Кудряшовский, ул. Светлая, д. 21).

8. Передача данных

Данные клиента передаются только тому салону, в который осуществляется запись, а также обработчикам из раздела 11 — исключительно для работы сервиса.

9. Согласие на обработку персональных данных

В соответствии с ч. 1 ст. 9 Закона № 152-ФЗ (в редакции Федерального закона от 24.06.2025 № 156-ФЗ) согласие субъекта персональных данных оформляется отдельным самостоятельным документом и не включается в настоящую Политику, договор-оферту, пользовательское соглашение или иные документы.

В случае отзыва субъектом персональных данных согласия на обработку Оператор вправе продолжить обработку без согласия при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона № 152-ФЗ (например, исполнение договора, хранение бухгалтерских документов по 402-ФЗ).

Текст согласия на обработку персональных данных: для владельцев салонов — /pdn-consent-owner; для клиентов салонов — /pdn-consent.

Текст согласия на получение рекламных материалов (ст. 18 ФЗ «О рекламе»): /marketing-consent. Согласие на рекламу не объединяется с согласием на обработку ПДн.

Отзыв согласия: письмо на sup@zepra.ru или через личный кабинет клиента (кнопки «Удалить профиль» / «Отписаться от акций»).

10. Хранение данных

Данные хранятся в защищённой базе данных PostgreSQL на VPS в РФ (ООО «ТаймВэб.Клауд» (ОГРН 1227800052215, ИНН 7810945525), 630510, г. Новосибирск, д.п. Кудряшовский, ул. Светлая, д. 21). Файлы изображений (фото портфолио мастеров) хранятся в файловом хранилище на том же сервере в РФ. ПО Supabase используется как self-hosted слой доступа к БД на сервере Оператора. Мы не храним данные банковских карт — они обрабатываются на стороне ЮKassa. Кэш сессий хранится в памяти сервера приложения и удаляется автоматически по истечении срока.

Уничтожение персональных данных осуществляется путём безвозвратного стирания записей в базе данных PostgreSQL (Supabase) без возможности восстановления. Уничтожение подтверждается формированием электронного лога в системном журнале базы данных (таблица pdn_destruction_acts, Приказ РКН № 179), дублированием в системных логах платформы и составлением письменного Акта об уничтожении персональных данных с указанием перечня стёртых категорий данных и уникального идентификатора system_log_hash. Шаблон акта: docs/legal/pdn_destruction_act_template.md. Владелец салона может выгрузить электронный акт через API.

11. Операторы и обработчики

ИП Лачугина Анна Вадимовна (ИНН 583502906945, ОГРНИП 325580000056167) является оператором ПДн владельцев салонов и обработчиком ПДн клиентов салонов (по поручению салона, ст. 6 152-ФЗ). Салон, использующий Zepra, остаётся оператором ПДн своих клиентов.

Перечень третьих лиц, получающих доступ к ПДн в рамках оказания услуг (не являются обработчиками по поручению в смысле ст. 6 ч. 3 152-ФЗ, если иное не указано):

Трансграничная передача персональных данных Оператором не осуществляется. Мониторинг ошибок (Sentry) отключён; диагностика — только в локальных логах на серверах в РФ.

ООО «ТАЙМВЭБ.КЛАУД» предоставляет инфраструктуру VPS (публичная оферта); отдельный договор поручения на обработку ПДн с провайдером не заключается — содержимое БД контролирует Оператор (см. docs/legal/third_party_infrastructure_register.md).

Актуальный перечень операторов может уточняться. Запрос актуального списка: sup@zepra.ru.

11.1. Ответственный за организацию обработки персональных данных

Ответственным за организацию обработки персональных данных у Оператора назначен: Индивидуальный предприниматель Лачугина Анна Вадимовна (контактный email: sup@zepra.ru).

12. Автоматизированная обработка и принятие решений (ст. 16 152-ФЗ)

Оператор не принимает в отношении субъектов персональных данных решений, порождающих юридические последствия или иным образом затрагивающих их права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

Автоматическая сверка ИНН/ОГРН салона с открытыми реестрами ФНС при верификации используется только для проверки реквизитов оператора и не влечёт для клиентов салона отказ в записи, изменение тарифа или иные последствия без участия администратора. По вопросам автоматизированной обработки направьте обращение на sup@zepra.ru.

12.1. Ваши права

В соответствии с действующим законодательством вы вправе:

Для реализации прав (включая право на забвение, ст. 21 152-ФЗ):

  1. Автоматически: войдите в личный кабинет клиента → раздел «Мои записи» → кнопка «Удалить профиль». Персональные данные будут безвозвратно уничтожены; формируется электронный акт уничтожения (Приказ РКН № 179).
  2. По email: направьте запрос на sup@zepra.ru с темой «Удаление персональных данных».

Срок исполнения запроса — до 30 календарных дней.

Выгрузка данных (DSAR, ст. 14 152-ФЗ) производится через личный кабинет клиента (кнопка «Скачать мои данные») или API /api/bookings/me/export-data в формате JSON (?format=json) или TXT (?format=txt, формат по умолчанию). Уничтожение данных фиксируется формированием электронного акта в системе и составлением письменного Акта об уничтожении персональных данных в соответствии с Приказом РКН № 179.

Владельцы салонов: в личном кабинете владельца доступна кнопка «Удалить аккаунт» — обезличивается учётная запись владельца (ФИО, email, телефон, пароль), сессии аннулируются. Данные салона (записи клиентов, история, настройки CRM) и ПДн клиентов салона при этом не уничтожаются автоматически — салон остаётся оператором ПДн своих клиентов; удаление по запросу на sup@zepra.ru с темой «Удаление данных салона» (срок — до 30 календарных дней). Бухгалтерские и платёжные документы по подписке хранятся 5 лет (ст. 29 402-ФЗ).

13. Cookie и аналитика

Подробная информация о файлах cookie — в отдельном документе: Политика обработки cookie.

Необходимые cookies (сессия, безопасность, JWT refresh в HttpOnly-cookie) используются для работы сервиса без отдельного согласия.

Аналитические cookies (Яндекс.Метрика, домен mc.yandex.ru) подключаются только после вашего явного согласия в баннере на сайте (кнопки «Принять все» или включение переключателя «Аналитика» в настройках).

Мы не используем Google Analytics, Google Tag Manager, Meta Pixel, TikTok Pixel и иные иностранные счётчики. Сервисные и маркетинговые email-сообщения платформы направляются только при отдельном согласии в формах регистрации/записи (не через cookie-баннер).

Технологии локального хранения браузера (LocalStorage / SessionStorage) используются исключительно для сохранения вашего выбора настроек конфиденциальности (ключ cookie_consent) и временного запоминания маркетинговых меток UTM (zepra_utm в sessionStorage) при переходе между страницами сайта.

Отозвать согласие на аналитику: нажмите «Настройки cookies» в подвале сайта и выберите «Только необходимые», либо удалите запись cookie_consent в localStorage браузера (Инструменты разработчика → Application → Local Storage) и обновите страницу.

14. Статус организатора распространения информации (149-ФЗ)

Zepra не является мессенджером и не предоставляет свободный обмен сообщениями между пользователями. Клиент может отправить администратору салона только стандартный запрос по записи (перенос, отмена, вопрос, проблема со входом). Платформа не попадает под обязанности организатора распространения информации (ОРИ).

Жалобы на противоправный контент принимаются по email (sup@zepra.ru), через ссылки «Сообщить о нарушении» на страницах записи и через API POST /api/public/content-complaint. Срок рассмотрения — до 24 часов.

14.1. Рекомендательные технологии

Zepra не использует рекомендательные технологии (алгоритмы подбора контента, товаров или услуг на основе профилирования пользователей по 149-ФЗ). Яндекс.Метрика применяется исключительно для обезличенной веб-аналитики после согласия в cookie-баннере.

15. Уведомление Роскомнадзора и сведения из реестра операторов

В соответствии со ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ оператор уведомил Роскомнадзор о намерении осуществлять обработку персональных данных до начала обработки (подача через pd.rkn.gov.ru). Сведения из реестра операторов (ч. 4 ст. 22 152-ФЗ) — общедоступны на pd.rkn.gov.ru.

Цели обработки, заявленные в уведомлении (согласованы с разделом 3 настоящей Политики): (1) подготовка, заключение и исполнение гражданско-правового договора; (2) обеспечение информационной безопасности и журналирование; (3) партнёрская программа Zepra (в т.ч. верификация участников 14–17 лет); (4) веб-аналитика сайта (Яндекс.Метрика) — только с согласия в cookie-баннере; (5) продвижение товаров, работ, услуг — только при отдельном согласии на рекламу.

16. Безопасность (ст. 18.1, 19 152-ФЗ)

Оператор применяет правовые, организационные и технические меры защиты персональных данных, в том числе:

  1. назначен ответственный за организацию обработки ПДн — Индивидуальный предприниматель Лачугина Анна Вадимовна (контакт: sup@zepra.ru);
  2. утверждена и опубликована настоящая Политика обработки ПДн;
  3. согласия субъектов получаются отдельными чекбоксами при регистрации и записи;
  4. разграничение доступа к ПДн (роли пользователей, JWT-авторизация, изоляция данных между салонами);
  5. хранение паролей в хешированном виде;
  6. передача данных по HTTPS (TLS);
  7. журналирование действий с ПДн, маскирование ПДн в логах;
  8. резервное копирование базы данных;
  9. хранение ПДн граждан РФ на серверах в РФ (VPS);
  10. уничтожение ПДн по запросу субъекта и по истечении сроков хранения (Приказ РКН № 179).

Ключи доступа к базе данных (service role) хранятся только на сервере приложения и не передаются клиентам. Секретные токены используются для вебхуков платёжных систем.

17. Уведомления об инцидентах и утечках (ч. 3.1 ст. 21 152-ФЗ)

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор в течение 24 часов направляет в Роскомнадзор первичное уведомление (о факте инцидента, предполагаемых причинах, вреде и принятых мерах), а в течение 72 часов — дополнительное уведомление о результатах внутреннего расследования (Приказ РКН № 187 от 14.11.2022).

Уполномоченные представители платформы могут экспортировать реестр контактных лиц владельцев салонов для подготовки уведомления об инциденте (эндпоинт breach-contacts).

18. Изменения в политике

При существенных изменениях Оператор уведомляет зарегистрированных пользователей по email не менее чем за 14 календарных дней до вступления изменений в силу. Актуальная версия с указанием даты редакции всегда доступна на странице /privacy.

Запросы субъектов персональных данных (доступ, уточнение, блокирование, уничтожение, отзыв согласия) принимаются на sup@zepra.ru или через личный кабинет (см. раздел 12.1). Срок рассмотрения обращения — до 30 календарных дней (ст. 20, 21 152-ФЗ), если иной срок не установлен законом.

19. Контакты

По вопросам конфиденциальности: sup@zepra.ru.