Политика обработки персональных данных
Черновик для юриста от 29.10.2026, не действующая редакция. Текст описывает, как сервис работает в прототипе. Реквизиты и пункты в [квадратных скобках] заполняются после регистрации ИП или ООО и проверки юристом.
1. Общие положения
1.1. Политика объясняет, какие персональные данные обрабатывает [Наименование оператора: ИП или ООО] (далее оператор) на сайте «Нормативный проводник» https://normprovod.ru, зачем, как долго и как их защищает. Политика издана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Политика действует для всех посетителей сайта и пользователей личного кабинета. Сотрудники оператора, которые вносят данные в справочник через раздел администрирования, обрабатываются по отдельному внутреннему документу.
1.3. Оператор не принимает решений, порождающих юридические последствия для пользователя, исключительно на основании автоматизированной обработки его данных.
2. Какие данные мы обрабатываем
2.1. При регистрации и в личном кабинете:
- адрес электронной почты (он же логин);
- имя или как к пользователю обращаться;
- название компании, если пользователь его указал;
- кто пользователь: импортёр, таможенный декларант или другое;
- пароль храним только в виде необратимого хэша (scrypt), сам пароль не храним;
- дата и версия согласия на обработку персональных данных.
2.3. При пользовании сервисом:
- сохранённые проверки: товар из справочника и ответы на уточняющие вопросы;
- номера сертификатов и деклараций, за которыми пользователь следит, и его подписи к ним;
- журнал проверок: что проверяли и в какой день, чтобы считать бесплатный дневной лимит.
2.5. Технические данные: cookie сессии (раздел 7). IP-адрес используется только для защиты от подбора паролей и хранится в оперативной памяти сервера не дольше минуты.
2.6. Мы не просим и не обрабатываем специальные категории персональных данных (здоровье, убеждения и тому подобное) и биометрические данные. Номера сертификатов и деклараций персональными данными не являются.
3. Зачем мы обрабатываем данные и на каком основании
3.1. Регистрация и вход в личный кабинет, работа сервиса: подбор документов, проверка сертификатов, сохранение проверок, слежение за документами. Основание: согласие пользователя (пункт 1 части 1 статьи 6 152-ФЗ) и исполнение пользовательского соглашения, стороной которого является пользователь (пункт 5 части 1 статьи 6).
3.2. Учёт бесплатного лимита и защита сервиса от злоупотреблений. Основание: исполнение пользовательского соглашения и законный интерес оператора в работоспособности сервиса.
3.3. Оказание платных услуг и расчёты, когда они будут подключены. Основание: исполнение договора по публичной оферте.
3.4. Ответы на обращения пользователя. Основание: согласие пользователя.
3.5. Рекламные рассылки мы не ведём. Если появятся, попросим отдельное согласие.
4. Как мы обрабатываем данные
4.1. Обработка автоматизированная: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление и уничтожение.
4.2. Базы данных с персональными данными граждан России находятся на серверах в России (часть 5 статьи 18 152-ФЗ). Хостинг: [наименование хостинг-провайдера, адрес центра обработки данных].
4.3. Трансграничную передачу персональных данных оператор не осуществляет. [Для разработки: до запуска шрифты сайта загружаются со своего сервера, а не с Google Fonts, иначе IP-адрес посетителя уходит за границу.]
4.4. Передача третьим лицам: только хостинг-провайдеру для хранения данных по договору с оператором и, после подключения оплаты, платёжному сервису [наименование] в объёме, нужном для платежа. Номера банковских карт оператор не получает и не хранит.
4.5. Чтобы проверить сертификат, сервис отправляет номер документа в единый реестр Евразийской экономической комиссии. Персональные данные пользователя в этот запрос не входят.
5. Сколько храним
5.1. Данные аккаунта храним, пока аккаунт существует. Когда пользователь удаляет аккаунт в личном кабинете, профиль, сохранённые проверки, список документов и журнал проверок удаляются из рабочей базы сразу.
5.2. Из резервных копий данные исчезают не позднее чем через [30] дней после удаления аккаунта.
5.3. При отзыве согласия оператор прекращает обработку и удаляет данные в течение 30 дней (часть 5 статьи 21 152-ФЗ), если нет другого законного основания для хранения.
5.4. Сессия входа действует 30 дней, после этого запись о ней удаляется.
6. Права пользователя
6.1. Пользователь вправе получить сведения об обработке своих данных, уточнить их, потребовать блокирования или уничтожения, если данные неполные, устаревшие или обрабатываются незаконно, отозвать согласие и обжаловать действия оператора в Роскомнадзоре или суде.
6.2. Многое можно сделать самому в личном кабинете: исправить профиль, скачать все свои данные одним файлом и удалить аккаунт.
6.3. Запрос можно направить на почту [почта для обращений по персональным данным]. Оператор отвечает в течение 10 рабочих дней (статья 14 152-ФЗ), срок может быть продлён на 5 рабочих дней с объяснением причины.
7. Cookie
7.1. Сайт использует только технические cookie, без которых не работает вход: np_cid (сессия личного кабинета, 30 дней) и np_sid (сессия сотрудника в разделе администрирования). Обе недоступны скриптам страницы и не передаются на другие сайты.
7.2. Аналитику и рекламные cookie сайт не использует. Если подключим, сначала спросим согласие.
8. Как мы защищаем данные
8.1. Пароли хранятся только в виде хэша scrypt. Доступ к сессии защищён cookie с флагами HttpOnly и SameSite=Strict, при работе сайта по HTTPS также Secure.
8.2. Сервис отклоняет изменяющие запросы с чужих сайтов, ограничивает число попыток входа и регистрации, а при смене пароля закрывает остальные сессии.
8.3. Доступ к базе есть только у сервера приложения и назначенных администраторов. [Ответственный за организацию обработки персональных данных: ФИО, должность.]
9. Изменение политики
9.1. Действующая редакция всегда опубликована на этой странице. О существенных изменениях оператор сообщает пользователям на почту или в личном кабинете.