Политика обработки персональных данных

Редакция от 31 октября 2026 г.

1. Общие положения

1.1. Настоящая Политика определяет, какие персональные данные, зачем, на каком основании и как долго обрабатывает оператор, указанный в разделе 2, при работе сайта mtb-digital.tech, и какие права есть у людей, чьи данные обрабатываются. Политика издана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и опубликована в открытом доступе по адресу /legal/privacy.

1.2. Термины «персональные данные», «обработка», «оператор», «уничтожение», «трансграничная передача» и другие используются в значениях, установленных статьёй 3 Закона. Термины «Сайт», «Аккаунт», «Кабинет», «Программа», «Ключ», «Активация», «Сервер», «Разработка», «Подписка», «Баланс», «Банк» используются в значениях Публичной оферты (/legal/offer).

1.3. Политика распространяется на персональные данные, которые оператор получает через Сайт (включая поддомены app. и api.), Кабинет, программный интерфейс проверки лицензий, электронную почту и Telegram-бота.

1.4. Политика не распространяется на данные, которые клиенты размещают на своих Серверах: их оператором является сам клиент (раздел 5 Правил использования серверов, /legal/acceptable-use).

1.5. Оператор обрабатывает персональные данные на принципах законности, ограничения обработки конкретными целями, соответствия объёма данных целям, точности и ограничения сроков хранения (статья 5 Закона).

2. Оператор

2.1. Оператор — индивидуальный предприниматель Анушкин Сергей Сергеевич, ИНН 100125473164, ОГРНИП 326784700364330 (далее — «Оператор»).

2.2. Адрес для обращений по вопросам персональных данных: legal@mtb-digital.tech. Почтовый адрес для письменных обращений сообщается по запросу на этот адрес.

2.3. Организацию обработки персональных данных Оператор осуществляет лично.

3. Чьи данные обрабатываются

3.1. Оператор обрабатывает персональные данные:

пользователей — лиц, зарегистрировавших Аккаунт на Сайте;
заказчиков — пользователей, которые купили Программу или Сервер, оплатили Этап Разработки или пополнили Баланс, в том числе представителей организаций и индивидуальных предпринимателей;
лиц, обратившихся к Оператору по электронной почте или в Telegram, в том числе с претензиями и запросами о своих данных;
третьих лиц, сведения о которых заказчик сам передал в заявке, Чате заказа или файлах, — в объёме, который передал заказчик, и только для выполнения заказа.

3.2. У посетителей Сайта, которые не регистрируются и не пишут Оператору, Оператор не собирает данных, кроме технических сведений, необходимых для открытия страниц (пункт 9.4).

3.3. Сайт не предназначен для лиц младше 18 лет. Если Оператор узнает, что Аккаунт зарегистрировал несовершеннолетний без согласия законного представителя, он удаляет такой Аккаунт.

3.4. Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические персональные данные.

4. Какие данные, зачем и на каком основании

4.1. Оператор обрабатывает только данные, перечисленные в таблице, и только для указанных целей.

Цель	Данные	Правовое основание
1. Регистрация Аккаунта, вход в Кабинет	адрес электронной почты; пароль в виде хэша (сам пароль не хранится); даты регистрации и подтверждения почты; дата, время и редакция согласия на обработку персональных данных; сессии входа (хэш токена и срок действия)	исполнение договора — Оферты в части Аккаунта (п. 5 ч. 1 ст. 6 Закона); согласие (/legal/consent)
2. Предоставление Программ: выдача файлов и Ключей, проверка Активаций	идентификатор Аккаунта, адрес почты; сведения о покупках (продукт, тариф, статус, даты); Ключ; сведения об Активациях: отпечаток устройства, который вычисляет Программа, IP-адрес при Активации и последней проверке, время последней проверки; факты скачивания файлов	исполнение договора (п. 5 ч. 1 ст. 6 Закона)
3. Предоставление Серверов (когда продаются Серверы)	идентификатор Аккаунта, адрес почты; параметры и состояние Сервера; пароль root (в зашифрованном виде); открытый SSH-ключ, если заказчик его указал; настройки портов; журнал действий с Сервером и журнал установки Программ	исполнение договора (п. 5 ч. 1 ст. 6 Закона)
4. Разработка: рассмотрение заявки, Смета, выполнение и приёмка Этапов	идентификатор Аккаунта, адрес почты; содержание заявки и бюджет; Смета; переписка в Чате заказа; файлы, которые приложили стороны	заключение договора по инициативе заказчика и его исполнение (п. 5 ч. 1 ст. 6 Закона)
5. Приём платежей, автоматические списания по Подписке, Баланс, возвраты	идентификатор Аккаунта (передаётся Банку как идентификатор покупателя), адрес почты; сведения о счетах и платежах (сумма, назначение, дата, статус, номер операции в Банке); полученные от Банка маскированный номер карты (первые 6 и последние 4 цифры), срок действия карты, идентификаторы привязанной карты и рекуррентного платежа; сведения о согласии на автоматические списания (дата и время, сумма, периодичность); операции по Балансу	исполнение договора (п. 5 ч. 1 ст. 6 Закона)
6. Формирование кассовых чеков, налоговый учёт	адрес почты для направления чека; наименование, сумма и дата расчёта	исполнение обязанностей по закону (п. 2 ч. 1 ст. 6 Закона; Федеральный закон № 54-ФЗ, Налоговый кодекс РФ, Федеральный закон № 17-ФЗ)
7. Идентификация заказчиков Серверов (когда продаются Серверы)	сведения об операции оплаты: дата, сумма, номер операции, последние 4 цифры карты	исполнение обязанности по закону (п. 2 ч. 1 ст. 6 Закона; ч. 5 ст. 10.2-1 Федерального закона № 149-ФЗ; постановление Правительства РФ от 29.11.2023 № 2011)
8. Служебные уведомления о покупках, платежах, заказах, Серверах и новых версиях	адрес почты; идентификатор чата Telegram — если пользователь сам привязал Telegram	исполнение договора (п. 5 ч. 1 ст. 6 Закона); для Telegram — согласие пользователя, выраженное привязкой
9. Ответы на обращения (в том числе в разделе «Поддержка» Кабинета), претензии и запросы о персональных данных	адрес почты, имя (если указано), содержание переписки и вложений, привязанная к обращению покупка, сведения, нужные для ответа	исполнение договора; исполнение обязанностей по закону (Закон, Закон РФ «О защите прав потребителей»); законный интерес Оператора (п. 2, 5, 7 ч. 1 ст. 6 Закона)
10. Безопасность Аккаунтов и инфраструктуры, предотвращение злоупотреблений	IP-адрес в счётчиках попыток входа, регистрации и запросов к API лицензий; журнал событий (действия с покупками, платежами, Серверами, заказами, Балансом)	законный интерес Оператора в защите Аккаунтов пользователей и своих систем (п. 7 ч. 1 ст. 6 Закона)
11. Исполнение требований закона и государственных органов, защита прав Оператора в спорах	данные из целей 1–10 в объёме, необходимом в конкретном случае	п. 2, 3, 7 ч. 1 ст. 6 Закона

4.2. Оператор не использует персональные данные для рекламы, не направляет рекламные рассылки и не передаёт данные для этих целей третьим лицам. Если Оператор начнёт направлять рекламу, он запросит отдельное предварительное согласие.

4.3. Предоставить адрес почты и пароль необходимо для регистрации и исполнения договора: без них Оператор не может создать Аккаунт, направить кассовый чек и уведомления. Иные данные (SSH-ключ, Telegram, бюджет заявки, вложения) пользователь предоставляет по желанию.

5. Как обрабатываются данные

5.1. Оператор выполняет с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение. Обработка ведётся с использованием средств автоматизации и без них.

5.2. Данные получаются от самого пользователя (при регистрации, покупке, в переписке), от Программ при проверке Ключа и от Банка (сведения о платежах).

5.3. Доступ к персональным данным имеет Оператор. Если Оператор привлечёт работников или исполнителей, они получат доступ только в объёме, нужном для их задач, и обязуются соблюдать конфиденциальность.

6. Кому передаются данные

6.1. АО «ТБанк» (ИНН 7710140679, 127287, г. Москва, ул. Хуторская 2-я, д. 38А, стр. 26) — приём платежей картой и формирование кассовых чеков. Оператор передаёт Банку адрес почты, идентификатор Аккаунта, сумму и назначение платежа. Данные карты пользователь вводит на странице Банка, и Банк обрабатывает их как самостоятельный оператор по своим правилам; Оператор получает от Банка только сведения, указанные в цели 5. Кассовые чеки через Банк передаются оператору фискальных данных и в ФНС России, как требует Федеральный закон № 54-ФЗ.

6.2. Хостинг. Сервер, на котором работают Сайт, базы данных и почта, Оператор арендует (раздел 7). Хостеру персональные данные не передаются, и их обработку Оператор ему не поручает. Сторонний почтовый сервис Оператор не использует: уведомления отправляются и письма на адреса домена mtb-digital.tech (в том числе support@mtb-digital.tech и legal@mtb-digital.tech) принимаются собственным почтовым сервером Оператора.

6.3. Telegram — только если пользователь сам привязал Telegram в Кабинете: Оператор отправляет через сервис Telegram служебные уведомления в чат пользователя. При этом в Telegram передаются идентификатор чата и текст уведомления (название продукта или заказа, сумма, статус заказа или Сервера, адрес и порт для подключения к Серверу). Служебные оповещения самому Оператору в Telegram, если он их включил, содержат только вид события и ссылку на страницу администрирования — без адреса почты и иных данных пользователя. Серверы Telegram находятся за пределами Российской Федерации; это трансграничная передача (раздел 8). Отвязать Telegram можно в Кабинете или командой /stop в боте.

6.4. Государственные органы — только по основаниям и в порядке, предусмотренным законом.

6.5. Оператор не продаёт персональные данные и не передаёт их иным лицам, кроме указанных в этом разделе.

7. Где хранятся данные

7.1. Базы данных с персональными данными граждан Российской Федерации находятся на территории Российской Федерации — на виртуальном сервере в центре обработки данных в г. Москве, который Оператор арендует у индивидуального предпринимателя Еремеева Владислава Сергеевича (ОГРНИП 322253600090871, ИНН 254304076648; сервис One Dash, https://rdp-onedash.ru) (часть 5 статьи 18 Закона). Там же хранятся файлы заказов, электронная почта Оператора и резервные копии.

7.1.1. Сервер администрирует сам Оператор: вход на него возможен только по ключу Оператора, вход по паролю отключён. Хостер обеспечивает работу оборудования и сети, а с данными на сервере не работает: Оператор их ему не передаёт и не поручает их обработку.

7.2. Резервные копии базы данных и файлов создаются ежедневно на том же сервере и хранятся до 14 дней, после чего удаляются. Поэтому удалённые из базы данные могут оставаться в резервных копиях до 14 дней. Копию за пределами этого сервера, также на территории Российской Федерации, Оператор сейчас настраивает; когда она заработает, её срок хранения будет указан здесь.

8. Трансграничная передача

8.1. Трансграничная передача персональных данных возможна только в Telegram и только если пользователь сам привязал Telegram (пункт 6.3) и дал на это согласие (раздел 2 Согласия на обработку персональных данных). Получатели — Telegram Messenger Inc. и аффилированные с ним лица, в том числе в Объединённых Арабских Эмиратах и на Британских Виргинских островах; эти государства не входят в перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных.

8.2. Оператор начинает такую передачу только после направления в Роскомнадзор уведомления о трансграничной передаче и истечения сроков его рассмотрения, установленных статьёй 12 Закона. Без привязки Telegram данные за пределы Российской Федерации не передаются.

9.1. Сайт использует два файла cookie, оба необходимы для работы Кабинета:

__Host-mtb_session — нужен, чтобы пользователь оставался в Кабинете после входа: содержит случайный токен сессии, недоступен скриптам страницы (httpOnly), передаётся только по защищённому соединению и только самому Сайту. Сессия действует 30 дней (для администратора — 12 часов), заканчивается раньше, если Кабинетом не пользовались 7 дней, и сразу — при выходе из Аккаунта. Без него вход в Кабинет невозможен;
mtb_reconsent_later — запоминает, что пользователь отложил ответ на новую редакцию согласия; содержит только номер редакции и удаляется при закрытии браузера или следующем входе.

9.2. Список избранных продуктов хранится в браузере пользователя (localStorage, ключ mtb:favorites) и содержит только идентификаторы продуктов. Оператор не сохраняет его у себя и не связывает с Аккаунтом; идентификаторы передаются Сайту только для показа страницы «Избранное».

9.3. Сайт не использует системы веб-аналитики, рекламные и иные сторонние cookie, счётчики и пиксели. Шрифты и другие ресурсы загружаются с самого Сайта.

9.4. При открытии страниц браузер передаёт Сайту технические сведения (IP-адрес, адрес страницы, тип браузера). Оператор не сохраняет их, кроме счётчиков попыток, указанных в цели 10. Почтовый сервер и система защиты от подбора паролей ведут технические журналы (IP-адреса, адреса отправителя и получателя писем), которые хранятся не дольше 5 недель.

9.5. Удалить cookie и данные localStorage можно в настройках браузера. После удаления cookie сессии потребуется снова войти в Кабинет.

10. Сроки обработки и уничтожение

10.1. Сроки хранения:

Данные	Срок
Аккаунт (адрес почты, хэш пароля, даты)	до удаления Аккаунта
Сессия входа	30 дней с входа (для администратора — 12 часов), 7 дней без использования или до выхода из Аккаунта
Ссылка подтверждения почты	действует 24 часа
Сведения о покупках, счетах, платежах, Балансе, согласиях на автоматические списания, идентификации заказчиков Серверов	5 лет после окончания года, в котором совершена операция (срок хранения документов для налогового учёта), а при споре — до его завершения
Активации Ключа (отпечаток устройства, IP-адрес, время последней проверки)	до освобождения Активации, сброса активаций или прекращения лицензии
Пароль root и SSH-ключ Сервера	до удаления Сервера
Заявки, переписка и файлы заказов	3 года после завершения или отмены заказа
Сметы (этапы и их стоимость)	вместе со сведениями о платежах по ним
Обращения в поддержку и переписка по ним	3 года после закрытия обращения
Идентификатор чата Telegram	до отвязки Telegram или удаления Аккаунта
Переписка по электронной почте	3 года после последнего сообщения
Счётчики попыток с IP-адресом	от 1 минуты до 1 часа
Технические журналы почтового сервера и защиты от подбора паролей	не дольше 5 недель
Журнал событий	5 лет

10.2. По достижении целей обработки, при отзыве согласия или по требованию субъекта Оператор прекращает обработку и уничтожает данные в сроки, указанные в разделе 11, если у него нет другого законного основания продолжить обработку (например, обязанности хранить сведения о платежах для налогового учёта). Данные, которые нельзя уничтожить сразу, блокируются до истечения срока хранения.

10.3. При удалении Аккаунта Оператор уничтожает адрес почты, хэш пароля, сессии, Активации и идентификатор Telegram, а сведения, которые обязан хранить по закону, хранит в течение сроков из пункта 10.1 и использует только для этих целей.

10.4. Уничтожение подтверждается актом и выгрузкой из журнала событий в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

11. Права субъекта персональных данных

11.1. Субъект персональных данных вправе:

получить сведения об обработке своих данных: факт обработки, цели, основания, способы, перечень данных, источник их получения, сроки, сведения о лицах, которым данные передаются, о трансграничной передаче и другие сведения, указанные в части 7 статьи 14 Закона;
потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
отозвать согласие на обработку;
потребовать прекратить обработку своих данных;
обжаловать действия Оператора в Роскомнадзор или в суд.

11.2. Запрос направляется на legal@mtb-digital.tech или почтой по адресу Оператора. Запрос должен позволять установить субъекта и подтверждать его отношения с Оператором (часть 3 статьи 14 Закона). Запрос с адреса почты Аккаунта, в котором указан этот адрес, Оператор считает достаточным для этого. Запрос через представителя сопровождается документом о полномочиях.

11.3. Оператор отвечает в сроки, установленные Законом:

сведения об обработке — в течение 10 рабочих дней с получения запроса; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением субъекта;
уточнение неточных данных — в течение 7 рабочих дней с получения подтверждающих сведений;
прекращение неправомерной обработки — в течение 3 рабочих дней с её выявления, уничтожение данных, если обработку нельзя сделать правомерной, — в течение 10 рабочих дней;
требование прекратить обработку — в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней;
отзыв согласия — прекращение обработки и уничтожение данных в течение 30 дней, если нет другого законного основания для обработки;
если уничтожить данные в указанный срок невозможно — блокирование и уничтожение не позднее 6 месяцев.

11.4. Оператор вправе отказать в запросе в случаях, предусмотренных частью 8 статьи 14 Закона, сообщив мотивированный отказ.

12. Как защищаются данные

12.1. Оператор принимает правовые, организационные и технические меры защиты персональных данных (статьи 18.1 и 19 Закона), в том числе:

все соединения с Сайтом защищены шифрованием (HTTPS);
пароли хранятся только в виде хэша (argon2); токены сессий, Активаций и ссылки подтверждения почты — в виде хэшей;
cookie сессии недоступен скриптам страницы и передаётся только по защищённому соединению;
число попыток входа, регистрации и запросов к API ограничено;
когда продаются Серверы: пароли root Серверов хранятся в зашифрованном виде (AES-256-GCM), ключ шифрования хранится отдельно от базы данных, а Серверы клиентов изолированы от платформы Сайта и друг от друга;
файлы Программ и заказов хранятся вне публичного каталога и выдаются по временным ссылкам, привязанным к пользователю;
каждый пользователь видит в Кабинете только свои данные; доступ к администрированию разграничен;
полные номера банковских карт Оператор не получает и не хранит;
ежедневно создаются резервные копии;
значимые действия записываются в журнал событий.

12.2. Оператор оценивает вред, который может быть причинён субъектам при нарушении Закона, и пересматривает меры защиты при изменении систем.

13. Утечка персональных данных

13.1. При выявлении неправомерной или случайной передачи персональных данных (утечки) Оператор:

в течение 24 часов с момента выявления уведомляет Роскомнадзор об инциденте, его предполагаемых причинах и вреде, принятых мерах и контактном лице (часть 3.1 статьи 21 Закона; порядок — приказ Роскомнадзора от 14.11.2022 № 187);
в течение 72 часов сообщает Роскомнадзору результаты внутреннего расследования и сведения о виновных, если они установлены;
принимает меры по устранению последствий;
сообщает пострадавшим пользователям по почте, что произошло и что им стоит сделать (например, сменить пароль).

14. Заключительные положения

14.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на Сайте. Предыдущие редакции предоставляются по запросу на legal@mtb-digital.tech.

14.2. Вопросы о Политике и обработке персональных данных направляются на legal@mtb-digital.tech.

14.3. Реквизиты Оператора указаны на странице /legal/requisites.