Политика конфиденциальности

Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса NAKRYTKA.VIP (далее — «Сервис», «Оператор»). Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Общим регламентом по защите данных ЕС 2016/679 (GDPR), а также применимым законодательством Российской Федерации.

Используя Сервис, вы свободно, своей волей и в своём интересе даёте согласие на обработку Оператором своих персональных данных в порядке и на условиях, изложенных в Политике. Согласие действует до момента его отзыва.

Политика распространяется на все способы сбора данных: регистрация и вход через сайт, мобильное приложение, публичный API, форма обратной связи, тикет-система, маркетинговые рассылки, файлы cookie. Для каждой категории данных определены цели и сроки обработки.

Оператор вправе вносить изменения в Политику. Актуальная редакция размещена на странице Сервиса; дата обновления указана в верхней части. О существенных изменениях Оператор уведомляет пользователей по электронной почте не менее чем за 7 дней до вступления в силу.

Мы собираем минимально необходимый объём данных для предоставления Сервиса:

2.1. Учётные данные

• адрес электронной почты — используется как логин и канал связи;
• имя пользователя (username) — публичный идентификатор внутри Сервиса;
• хэш пароля (bcrypt с солью) — пароль в открытом виде не хранится;
• дата регистрации, последний вход, IP-адрес последнего входа;
• идентификатор реферера (если регистрация по партнёрской ссылке).

2.2. Контактные данные

• имя и фамилия (необязательно, при заполнении профиля);
• номер телефона (необязательно, для восстановления доступа и SMS-уведомлений);
• мессенджеры (Telegram, WhatsApp) при указании пользователем.

2.3. Финансовые данные

• история пополнений и заказов (сумма, валюта, дата, способ, статус);
• идентификаторы транзакций платёжных провайдеров;
• адреса криптокошельков пользователя для пополнения и вывода.

Реквизиты банковских карт (номер, CVV, срок действия) не передаются и не сохраняются на серверах Сервиса. Обработка производится на стороне лицензированного платёжного провайдера, сертифицированного по стандарту PCI-DSS Level 1. Мы получаем только уведомление о платеже.

2.4. Технические данные

• IP-адрес, тип браузера, операционная система, источник перехода;
• cookies, local storage, идентификаторы сессии;
• URL продвигаемой ссылки (в рамках созданных заказов);
• журналы обращений к API (для обеспечения безопасности и лимитов).

2.5. Данные обращений в поддержку

• содержание тикетов и переписки с поддержкой;
• прикреплённые файлы (скриншоты, документы).

Собранные данные используются исключительно для следующих целей:

• идентификация и аутентификация пользователя, восстановление доступа;
• оказание услуг — создание и исполнение заказов, ведение баланса;
• обработка платежей, противодействие мошенничеству, отмыванию доходов;
• ведение тикет-системы и оказание технической поддержки;
• расчёт и выплата партнёрского вознаграждения;
• информирование о статусе заказов, изменениях в работе Сервиса, акциях;
• улучшение качества Сервиса, анализ пользовательского поведения;
• соблюдение требований законодательства (блокировка запрещённого контента, ответ на запросы уполномоченных органов).

Мы не продаём персональные данные третьим лицам. Передача данных подрядчикам (хостинг, платёжные провайдеры, служба доставки email) осуществляется на основании договоров и только в объёме, необходимом для выполнения их функций.

Обработка персональных данных осуществляется на следующих основаниях:

• Согласие субъекта (ст. 6 ФЗ-152, ст. 6 GDPR) — при регистрации, оформлении заказа, подписке на рассылки.
• Исполнение договора — для оказания услуг, указанных в Условиях использования.
• Исполнение законодательных обязательств — для соблюдения требований налогового, финансового, антитеррористического законодательства (115-ФЗ).
• Законные интересы Оператора — обеспечение безопасности Сервиса, предотвращение мошенничества, анализ эффективности.
• Защита жизненно важных интересов — обработка данных в экстренных случаях по запросу компетентных органов.

Для обработки специальных категорий данных (здоровье, раса, религия) или биометрических данных Оператор получает отдельное явное согласие. Сервис не собирает такие данные в обычном режиме работы.

Персональные данные могут передаваться следующим категориям получателей:

• Платёжные провайдеры (ЮMoney, WebMoney, криптопроцессоры) — для обработки платежей; данные передаются по зашифрованному каналу TLS 1.3.
• Хостинг-провайдеры — для размещения серверов Сервиса; доступ ограничен, журналируется.
• Email-сервисы — для транзакционных и маркетинговых рассылок; предоставляется только адрес электронной почты.
• Аналитические сервисы — Яндекс.Метрика, Google Analytics (анонимизированные данные, см. раздел 6).
• Правоохранительные и судебные органы — по официальному запросу в порядке, установленном законом.
• Подрядчики поддержки — для круглосуточного ответа на тикеты; доступ ограничен, обязателен NDA.

Все подрядчики обязаны соблюдать конфиденциальность и обрабатывать данные только в целях, определённых Оператором. Передача данных в третьи страны описана в разделе 12.

Сервис использует cookies для обеспечения работоспособности (сессия, аутентификация), запоминания настроек пользователя (тема, язык) и сбора анонимной статистики посещаемости.

6.1. Категории cookies

• Необходимые — обеспечивают базовую работу Сервиса (session_id, csrf-токен). Не отключаются.
• Функциональные — язык интерфейса, тёмная/светлая тема. Отключаются в настройках браузера.
• Аналитические — Яндекс.Метрика и Google Analytics в режиме анонимизированных IP-адресов. Отключаются через баннер согласия.
• Маркетинговые — пиксели ретаргетинга (при включённом согласии). Позволяют показывать рекламу Сервиса пользователю на других сайтах.

6.2. Управление cookies

При первом посещении Сервиса показывается баннер согласия. Пользователь может в любой момент изменить выбор через кнопку «Настройки cookies» в подвале сайта. Удаление всех cookies приведёт к выходу из аккаунта и сбросу настроек.

6.3. Аналитика

Яндекс.Метрика и Google Analytics используются в режиме «обезличивания IP». Демографические отчёты отключены. Передача данных в Google Analytics регулируется соглашением о передаче данных (Data Processing Amendment).

Реквизиты банковских карт (номер, CVV, срок действия, имя держателя) никогда не передаются на серверы Сервиса. Они вводятся напрямую в виджет платёжного провайдера (ЮKassa, WebMoney Merchant, криптопроцессор), сертифицированного по стандарту PCI-DSS Level 1.

Сервис получает только уникальный идентификатор транзакции и статус платежа (успех/отказ/возврат). Эти данные хранятся 5 лет в соответствии с требованиями бухгалтерского учёта.

Адреса криптокошельков, с которых производились пополнения, сохраняются для идентификации плательщика и противодействия отмыванию доходов. Эти данные не передаются третьим лицам, за исключением официальных запросов уполномоченных органов.

Платёжный провайдер обрабатывает данные в соответствии с собственной политикой конфиденциальности. Оператор не несёт ответственности за действия платёжного провайдера, однако обязуется выбирать подрядчиков, соблюдающих применимое законодательство о защите данных.

Сроки хранения данных зависят от категории:

• учётные данные — весь период действия аккаунта + 3 года после последнего входа (для целей бухгалтерии и поддержки);
• финансовые транзакции — 5 лет в соответствии с Налоговым кодексом РФ;
• история заказов — 3 года;
• тикеты и обращения — 3 года;
• журналы обращений к API — 90 дней;
• cookies — срок действия зависит от категории (session / 1 год / 2 года);
• маркетинговые данные — до отзыва согласия.

После истечения срока данные обезличиваются либо удаляются. Удаление производится в течение 30 календарных дней. В отдельных случаях данные могут храниться дольше по требованию уполномоченных органов или для защиты законных интересов Оператора (например, при расследовании мошенничества).

Пользователь может запросить досрочное удаление данных через форму «Удаление аккаунта» в настройках профиля. При этом удаляются учётные данные и персональная информация; финансовые документы и журналы API сохраняются на установленный законом срок.

Оператор применяет следующие меры защиты персональных данных:

• передача данных только по протоколу TLS 1.3 с современными шифрами;
• шифрование паролей с помощью bcrypt с рабочим фактором 12;
• двухфакторная аутентификация (TOTP) — доступна в настройках;
• разделение среды разработки, тестирования и продакшена;
• журналирование доступа к персональным данным сотрудниками;
• ограничение доступа на основе ролей (RBAC), принцип минимальных привилегий;
• регулярное резервное копирование с шифрованием резервных копий;
• внутренний аудит безопасности не реже одного раза в год;
• обучение сотрудников политике обработки персональных данных;
• план реагирования на инциденты безопасности с уведомлением пользователей в течение 72 часов.

При обнаружении несанкционированного доступа к персональным данным Оператор обязан в течение 72 часов уведомить Роскомнадзор (по ФЗ-152) и затронутых пользователей, а также принять меры по минимизации ущерба.

В соответствии с ФЗ-152 и GDPR пользователь имеет следующие права:

• Право доступа — получить копию персональных данных, обрабатываемых Оператором. Запрос направляется через тикет или email [email protected]; ответ — в течение 30 дней.
• Право исправления — потребовать исправления неточных данных. Большинство полей редактируется в личном кабинете самостоятельно.
• Право удаления («право быть забытым») — потребовать удаления данных, если нет законных оснований для их хранения.
• Право ограничения обработки — при оспаривании точности данных или возражении против обработки.
• Право на портативность — получить данные в структурированном, машиночитаемом формате (JSON, CSV) для передачи другому оператору.
• Право возражения — против обработки, основанной на законных интересах, в том числе против маркетинговых рассылок (отписаться можно также в письме).
• Право отзыва согласия — в любой момент без влияния на законность обработки до отзыва.
• Право на жалобу — в надзорный орган (Роскомнадзор или национальный орган страны ЕС проживания).

Для реализации прав направьте обращение через тикет-систему или на [email protected]. Мы отвечаем в течение 30 дней; в сложных случаях — до 60 дней с уведомлением о продлении.

Сервис не предназначен для использования лицами младше 16 лет. Мы не собираем намеренно персональные данные несовершеннолетних. При выявлении такого факта данные удаляются в кратчайшие сроки.

Регистрация в Сервисе доступна только лицам, достигшим возраста, с которого в соответствии с законодательством страны пользователя допускается самостоятельное совершение сделок (в РФ — 16 лет для большинства сделок с согласия родителей, 18 лет для полного объёма).

Родители или законные представители, обнаружившие, что их ребёнок зарегистрировался в Сервисе, могут запросить удаление данных через [email protected] с приложением документов, подтверждающих родство.

Оператор зарегистрирован в Российской Федерации. Часть подрядчиков (хостинг, email-сервис, аналитика) может располагаться в странах ЕАЭС, ЕС или иных юрисдикциях.

Передача данных в другие страны осуществляется при условии:

• наличия договора с подрядчиком, обязывающего его соблюдать ФЗ-152 и GDPR;
• применения стандартных контрактных положений ЕС (SCC) при передаче за пределы ЕС/ЕЭП;
• оценки адекватности уровня защиты данных в стране получателя;
• в случаях, предусмотренных ст. 12 ФЗ-152 — при наличии согласия пользователя либо международного договора.

Перечень стран, в которые могут передаваться данные, доступен по запросу на [email protected]. Мы не передаём данные в страны, включённые в перечень недобросовестных юрисдикций Роскомнадзора.

Оператор вправе изменять Политику в одностороннем порядке. Новая редакция размещается на странице Сервиса с указанием даты обновления.

Существенные изменения (расширение перечня собираемых данных, новые цели обработки, изменение сроков хранения) доводятся до сведения пользователей по электронной почте не менее чем за 7 календарных дней до вступления в силу.

Продолжение использования Сервиса после вступления изменений в силу означает согласие пользователя с новой редакцией Политики. При несогласии пользователь вправе прекратить использование Сервиса и потребовать удаления данных в порядке, предусмотренном разделом 10.

По любым вопросам, связанным с обработкой персональных данных, обращайтесь:

• Email: sergeyostrowskiy93@gmail.com
• Telegram: @nakrytkavlp
• Почтовый адрес: Беларусь, Минск, Большой Тростенец, для ООО «СММБуст»
• Тема письма: «Запрос по персональным данным»

В обращении укажите ваш email, зарегистрированный в Сервисе, и суть запроса. Для проверки личности мы можем запросить дополнительные сведения. Срок ответа — не более 30 дней.

Надзорный орган по защите персональных данных в Российской Федерации — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), 773-67-77, [email protected].

Последнее обновление: 10 августа 2026 г.