Политика конфиденциальности

Настоящая Политика конфиденциальности описывает порядок обработки персональных данных пользователей сервиса МастерРядом в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иным применимым законодательством Российской Федерации.

1. Общие положения

Оператором персональных данных является индивидуальный предприниматель Дмитриев Артем Романович (далее — «Оператор»), реквизиты которого указаны в разделе «Контакты для обращений» настоящей Политики и в разделе «Реквизиты» Пользовательского соглашения.

Используя сервис, вы подтверждаете, что прочитали настоящую Политику и согласны с описанным в ней порядком обработки данных. При несогласии — пожалуйста, не используйте сервис.

Действие Политики распространяется на сайт masterryadom.ru, мобильную PWA-версию и связанные с сервисом каналы (push-уведомления, email).

2. Категории данных, которые мы обрабатываем

2.1. Данные клиентов

контактные данные: номер телефона, email;
имя, фамилия, отчество (если указаны), дата рождения (если указана);
фотография профиля (если загружена пользователем или получена через ВКонтакте или Яндекс при OAuth-входе);
история бронирований, переписка с мастером в чате бронирования, отзывы об оказанных услугах;
выбранный город (хранится в cookie на устройстве пользователя).

2.2. Данные мастеров и студий

всё перечисленное в п. 2.1;
адрес работы и его геолокационные координаты;
описание услуг, цены, длительность, портфолио (фото- и видеоматериалы);
расписание работы, выходные, перерывы;
статистика (количество бронирований, оборот) — в обезличенном агрегированном виде;
реквизиты для оформления подписки (передаются непосредственно платёжному провайдеру — см. раздел 6).

2.3. Данные клиентов, обрабатываемые мастерами в CRM-модуле

Мастера, использующие функционал CRM на Платформе, могут вести записи о своих клиентах: текстовые заметки, теги, фотографии (в том числе фотографии «до/после» процедуры). Эти данные обрабатываются мастером как самостоятельным оператором для собственных целей ведения клиентской базы.

МастерРядом предоставляет техническую инфраструктуру для хранения и отображения этих данных, не использует их в собственных целях и не передаёт третьим лицам, кроме как для обеспечения работы инфраструктуры (см. раздел 6 — хостинг и хранилище медиа). Доступ к CRM-данным имеет только мастер, создавший запись, а также администраторы Платформы — для технической поддержки и расследования инцидентов.

Клиент, узнавший, что мастер ведёт о нём CRM-запись, вправе обратиться напрямую к мастеру с требованием предоставить копию данных, исправить или удалить их. Платформа содействует таким обращениям при наличии обоснованного запроса.

2.4. Технические данные

IP-адрес, User-Agent браузера, тип устройства, разрешение экрана;
cookies (см. раздел 7);
логи действий пользователя (для безопасности и расследования инцидентов);
идентификатор push-подписки (endpoint браузера для доставки push-уведомлений).

2.5. Данные при входе через сторонние сервисы

ВКонтакте: VK ID, имя, фотография аватара, OAuth-токены доступа (хранятся в зашифрованном виде для возможности отзыва).
Яндекс (Яндекс ID): идентификатор пользователя, email, имя, фотография аватара, OAuth-токены доступа (хранятся в зашифрованном виде для возможности отзыва).

3. Цели обработки

регистрация и аутентификация пользователей;
предоставление функционала Платформы (поиск, бронирование, расписание, чат);
обработка платежей и подписок, исполнение обязательств перед мастерами и студиями;
отправка сервисных уведомлений (подтверждение записи, напоминание, изменение статуса);
анализ использования Платформы для улучшения сервиса (в обезличенном агрегированном виде);
предотвращение мошенничества, спама и иных нарушений (включая использование cookies для определения подозрительной активности);
выполнение требований налогового, потребительского и иного применимого законодательства РФ.

4. Правовые основания

Согласие субъекта — при регистрации, добровольной загрузке данных, подключении сторонних сервисов;
Исполнение договора — для предоставления функционала, предусмотренного Пользовательским соглашением;
Законный интерес Оператора — обеспечение информационной безопасности, предотвращение мошенничества, защита прав и интересов;
Требования законодательства РФ — налогового, бухгалтерского, о защите прав потребителей.

5. Способы и сроки обработки

Обработка осуществляется как с использованием средств автоматизации, так и без таковых. Данные хранятся в течение всего срока действия учётной записи. После удаления учётной записи данные обезличиваются в соответствии с порядком, описанным в разделе 8 (право на удаление); часть данных может быть сохранена в течение 3 (трёх) лет в обезличенном или агрегированном виде для исполнения требований налогового и потребительского законодательства, а также для возможного разрешения споров.

Резервные копии баз данных хранятся в течение 30 дней и автоматически перезаписываются.

6. Передача третьим лицам

Платформа интегрирована со следующими третьими лицами, которым в рамках предоставления сервиса передаются необходимые персональные данные. Список приведён исчерпывающим; за исключением требований законодательства РФ (правоохранительные органы, суд) данные иным лицам не передаются.

6.1. ЮКасса (АО «ЮMoney»)

Платёжный провайдер для оплаты подписок мастеров и студий, а также для онлайн-оплаты услуг (если эта возможность включена исполнителем). Передаются: ФИО плательщика, сумма платежа, идентификатор подписки, идентификатор идемпотентности. Реквизиты банковских карт обрабатываются непосредственно ЮКассой в соответствии с требованиями PCI DSS; Платформа их не получает и не хранит.

6.2. ООО «Яндекс» (Яндекс ID)

Авторизация через Яндекс ID. Яндекс передаёт нам идентификатор пользователя, email, имя, аватар и OAuth-токены доступа. Токены хранятся для возможности завершения OAuth-сеанса и автоматического отзыва при удалении учётной записи.

6.3. ВКонтакте (ООО «В Контакте»)

Авторизация через VK ID. ВКонтакте передаёт нам идентификатор пользователя, имя, аватар и OAuth-токены доступа. Токены хранятся для возможности завершения OAuth-сеанса и автоматического отзыва при удалении учётной записи.

6.4. ООО «Яндекс» (Карты, Геокодер, Suggest)

Картографические сервисы. Передаются: адреса и координаты для отображения профилей мастеров на карте, поисковые запросы для подсказок при заполнении адреса, обратное геокодирование (определение города по координатам).

6.5. OpenAI (OpenAI Ireland Ltd.)

Используется для функционала визуального поиска по портфолио: загруженные мастерами фотографии портфолио передаются в OpenAI API для построения векторных эмбеддингов и автоматической классификации (тип услуги, категория). По условиям OpenAI API данные, переданные через API, не используются для обучения моделей. Эмбеддинги хранятся на стороне Платформы; исходные изображения — в нашем хранилище (см. п. 6.7).

Если мастер не желает, чтобы его портфолио передавалось в OpenAI, он может отключить соответствующие фото из визуального поиска в настройках портфолио.

6.6. Мастера и студии (как самостоятельные операторы для CRM-данных)

Как описано в п. 2.3, мастера, использующие CRM-модуль, обрабатывают данные о своих клиентах как самостоятельные операторы для целей ведения собственной клиентской базы. МастерРядом выступает в этом случае как обработчик данных по поручению мастера (предоставляет техническую инфраструктуру) и не использует CRM-данные в своих целях.

6.7. ООО «Яндекс.Облако» (Yandex Cloud — S3-хранилище)

Объектное хранилище, в котором физически размещаются медиа-файлы пользователей: аватары, портфолио, фотографии-референсы к бронированиям, CRM-фотографии. Серверы расположены на территории Российской Федерации.

6.8. Веб-Push (через VAPID)

При подписке на push-уведомления Платформа использует стандартный протокол Web Push с ключами VAPID. Доставка осуществляется через серверы push-провайдеров браузера (Google, Mozilla, Apple, Yandex и т. п.) — мы передаём им зашифрованное содержимое уведомления и endpoint вашей подписки. Содержимое доступно только вашему браузеру.

7. Cookies и аналогичные технологии

Платформа использует следующие типы cookies:

bh_session — сессионный токен авторизации. Свойство httpOnly, срок жизни около 2 часов. Без этого cookie невозможна авторизация.
bh_refresh — токен обновления сессии. Свойство httpOnly, срок жизни 30 дней. Используется для продления входа без повторной аутентификации.
vk_id_state, vk_id_verifier, yandex_oauth_state, yandex_oauth_verifier — защита входа через VK ID и Яндекс ID от подмены запроса (CSRF и PKCE). Свойство httpOnly, срок жизни — несколько минут, удаляются сразу после возврата с сайта провайдера.
vk_id_consent, yandex_oauth_consent — переносят отмеченные вами на странице входа согласия через переход на сайт провайдера и обратно. Свойство httpOnly, подписаны, срок жизни — несколько минут.
mr-city-slug — выбор города для отображения каталога. Функциональный cookie, срок жизни 1 год. Не httpOnly (читается в том числе клиентским кодом).
mr-theme — выбранная тема оформления (светлая или тёмная), чтобы верхняя полоса экрана (время, заряд, сеть) сразу была в цвет темы. Функциональный cookie, срок жизни 1 год, не httpOnly. Пока тему не переключали (она следует настройке устройства), cookie не ставится.
mr_cookie_notice — отметка о том, что вам было показано уведомление об использовании cookie, и о его версии. Нужен, чтобы уведомление не появлялось повторно. Функциональный cookie, срок жизни 1 год, не httpOnly.
models-intro-seen — отметка о том, что вы уже видели вводный экран раздела «Модели». Функциональный cookie, срок жизни 1 год, не httpOnly.
Service Worker и push subscription endpoint — для работы PWA-версии и push-уведомлений. Сохраняются в IndexedDB и Cache Storage браузера.
Локальное хранилище браузера (localStorage) — выбранный город, просмотренные истории, последняя выбранная роль в кабинете и скрытие подсказок интерфейса. Эти данные не передаются на сервер.

Cookies для рекламной аналитики и таргетинга на момент текущей редакции Политики Платформа не использует. При появлении таких cookies в будущем мы предварительно запросим ваше согласие через отдельный баннер.

8. Права субъекта данных

В соответствии со статьями 14–22 152-ФЗ субъект персональных данных имеет право:

получать информацию об обработке своих данных;
требовать уточнения, исправления или блокирования данных;
требовать удаления данных (право на забвение);
отозвать согласие на обработку данных в любой момент;
обжаловать действия Оператора в Роскомнадзор или в суд.

Самостоятельное удаление аккаунта. Каждый пользователь может удалить свою учётную запись через раздел «Настройки → Удалить аккаунт» в личном кабинете. При удалении: контактные и идентификационные данные (телефон, email, ФИО, дата рождения, адрес, аватар, связи с ВКонтакте и Яндексом, push-подписки, OTP-коды, избранное) удаляются или обезличиваются в момент запроса. Уведомления старше 30 дней удаляются; платежи сохраняются в обезличенном виде для исполнения требований налогового законодательства. Профиль помечается как удалённый и более не отображается на Платформе.

Для обращений по правам субъекта данных, не покрываемых самостоятельным удалением, пишите на privacy@masterryadom.ru. Срок ответа — не более 30 календарных дней с момента получения обращения.

9. Хранение и защита

Данные обрабатываются на серверах, расположенных на территории Российской Федерации (Yandex Cloud), что соответствует требованию о локализации персональных данных российских граждан (статья 18 152-ФЗ).

Применяемые меры защиты:

шифрование передачи данных по протоколу TLS;
хеширование паролей и OTP-кодов алгоритмом HMAC-SHA256;
ролевая модель доступа: сотрудники имеют доступ только к данным, необходимым для выполнения их функций;
журналирование действий администраторов;
rate-limiting и автоматическое выявление подозрительной активности на чувствительных эндпоинтах;
регулярные резервные копии и проверка их восстановимости.

10. Изменение политики

Оператор вправе изменять настоящую Политику. Актуальная редакция всегда размещается по адресу /privacy. О существенных изменениях — затрагивающих состав обрабатываемых данных, цели обработки или круг третьих лиц — пользователи уведомляются за 30 календарных дней до вступления изменений в силу через email и информационный баннер на сайте.

11. Контакты для обращений

Индивидуальный предприниматель: Дмитриев Артем Романович

ИНН: [ИНН]

ОГРНИП: [ОГРНИП]

Адрес регистрации: [Юридический адрес]

Email по вопросам обработки персональных данных: privacy@masterryadom.ru
Юридические вопросы: legal@masterryadom.ru
Служба поддержки: support@masterryadom.ru

Срок ответа на обращение — не более 30 календарных дней с момента получения.