ГрантИИк
← На главную

Политика обработки персональных данных

Документ, определяющий политику оператора в отношении обработки персональных данных (ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ)

Редакция 3.2 от 30.09.2026 · Оператор: Индивидуальный предприниматель Малёва Ульяна Игоревна, ОГРНИП 326508100567710, ИНН 741303417720

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые оператором — Индивидуальный предприниматель Малёва Ульяна Игоревна (ОГРНИП 326508100567710, ИНН 741303417720, адрес для корреспонденции: 141008, Московская область, г. Мытищи, ул. Мира, д. 37, далее — «Оператор») — при использовании сервиса «ГрантИИк» (далее — «Сервис»).

Политика применяется ко всем персональным данным, которые Оператор получает от пользователей Сервиса и иных субъектов персональных данных. Политика опубликована в свободном доступе на странице /privacy и доступна с любой страницы Сервиса, где происходит сбор персональных данных.

Правовые основания обработки: Федеральный закон от 27.07.2006 № 152-ФЗ, Гражданский кодекс РФ, Федеральный закон от 27.07.2006 № 149-ФЗ, а также согласие субъекта и договор об оказании услуг.

2. Понятия

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных. Обработка — любое действие или совокупность действий, совершаемых с персональными данными. Обезличивание — действия, в результате которых невозможно определить принадлежность данных конкретному субъекту без использования дополнительной информации.

3. Категории обрабатываемых данных и источники

  • Учётные данные: адрес электронной почты, пароль (хранится только в виде необратимого хэша, не в открытом виде), фамилия и имя (указываются пользователем добровольно). Источник — форма регистрации и настройки профиля.
  • Данные авторизации через Яндекс ID и VK ID: идентификатор аккаунта у провайдера, адрес электронной почты, имя, ссылка на аватар. Источник — OAuth-провайдер, выбранный самим субъектом.
  • Содержимое заявок: название и описание проекта, полные тексты разделов заявки, извлечённый из загруженных файлов текст, результаты проверок и сообщения консультации. Источник — действия пользователя в Сервисе.
  • Данные о расчётах: состояние внутреннего кошелька в учётных единицах «грантик», история операций (сумма, вид услуги, дата). Данные банковских карт Оператору не передаются и не хранятся: платёж проводится на стороне платёжного сервиса.
  • Технические данные: файлы cookie и записи локального хранилища браузера, IP-адрес, сведения о браузере, устройстве и посещённых страницах Сервиса. Источник — автоматический сбор при обращении к Сервису.
  • Данные о лидах командного тарифа: наименование организации, адрес электронной почты, планируемое число заявок. В базу данных Оператора не сохраняются — пересылаются письмом на внутренний адрес.

Специальные категории персональных данных (ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ) Оператором не обрабатываются.

4. Цели обработки и правовые основания

  • Регистрация, аутентификация, защита аккаунта. Основание: согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ), исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ).
  • Предоставление услуг Сервиса — подготовка, автозаполнение, анализ и проверка заявок, хранение результатов. Основание: исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ).
  • Расчёты через внутренний кошелёк, возврат средств, формирование чеков. Основание: исполнение договора, исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ).
  • Сервисные сообщения — сброс пароля, уведомление о готовности отчёта, изменение условий. Основание: исполнение договора.
  • Обеспечение работоспособности, диагностика сбоев, информационная безопасность, предотвращение злоупотреблений. Основание: законный интерес Оператора (п. 7 ч. 1 ст. 6 152-ФЗ), обязанности по ст. 19 152-ФЗ.
  • Продуктовая аналитика и статистика посещений — улучшение Сервиса; собирается журналом сервера и счётчиком Яндекс.Метрики. Основание: согласие субъекта, получаемое отдельно в уведомлении о cookies.

Обработка в целях рекламных рассылок Оператором не осуществляется. Если такие рассылки будут введены, для них будет запрашиваться отдельное согласие, не объединённое с настоящим.

5. Перечень действий с персональными данными

Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется смешанным способом — с использованием средств автоматизации и без их использования.

6. Передача данных третьим лицам и поручение обработки

Оператор вправе поручить обработку персональных данных третьим лицам на основании договора, содержащего обязанность соблюдать конфиденциальность и обеспечивать безопасность данных (ч. 3 ст. 6 152-ФЗ). Обработчики действуют только по поручению Оператора и только в целях, указанных в настоящей Политике:

  • ООО «Яндекс Клауд» (Yandex Cloud): тексты заявок и извлечённый текст файлов передаются провайдеру ИИ для выполнения проверок и подсказок. Передача данных для обучения моделей отключена параметром x-data-logging-enabled: false.
  • ООО «ЮKassa» (НКО «ЮMoney»): при пополнении кошелька Оператор передаёт сумму, описание платежа и адрес возврата; получает уведомление о статусе платежа. Платёжный сервис сертифицирован по стандарту PCI DSS. Данные банковской карты вводятся пользователем на стороне платёжного сервиса.
  • Провайдер сервисной электронной почты: адрес электронной почты пользователя передаётся для доставки писем о сбросе пароля, приветственного письма и уведомления о готовности отчёта. Письмо о готовности отчёта не содержит текста заявки, баллов и комментариев.
  • Яндекс ID и VK ID: при выборе входа через OAuth Оператор получает идентификатор, адрес электронной почты, имя и ссылку на аватар. Данные используются только для аутентификации и создания аккаунта.
  • ООО «Яндекс» (Яндекс.Метрика): при согласии на аналитические cookie-данные счётчик получает обезличенные технические сведения о посещении — cookie-идентификатор, адреса просмотренных страниц, источники переходов и действия на сайте. Тексты заявок, имена файлов и содержимое полей счётчику не передаются.

Оператор не продаёт и не раскрывает персональные данные и содержимое заявок иным лицам, кроме случаев, прямо предусмотренных законодательством Российской Федерации (запросы уполномоченных органов в установленном порядке).

7. Локализация и трансграничная передача

При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

Трансграничная передача персональных данных за пределы территории Российской Федерации Оператором не осуществляется. Все обработчики, указанные в разделе 6, находятся на территории Российской Федерации.

8. Сроки хранения и уничтожение

  • Учётные данные — до удаления аккаунта пользователем или прекращения деятельности Сервиса.
  • Содержимое заявок и результаты проверок — до удаления пользователем или удаления аккаунта.
  • Данные о расчётах — в течение срока, установленного законодательством о бухгалтерском учёте и налогах, но не менее пяти лет с года операции.
  • Журналы технических данных и журналы событий информационных систем — не более 90 дней, если иной срок не установлен законом.
  • Журнал согласий (факт, версия документа, дата, время) — в течение срока обработки и трёх лет после её прекращения, как доказательство законности обработки.

При достижении целей обработки, отзыве согласия, требовании субъекта или удалении аккаунта Оператор прекращает обработку и уничтожает данные в сроки, установленные ст. 21 152-ФЗ (не более 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней), за исключением данных, хранение которых обязательно в силу закона. Уничтожение оформляется актом с приложением выгрузки из журнала регистрации событий; акт и выгрузка хранятся три года.

9. Меры по обеспечению безопасности

  • пароли хранятся в виде криптографического хэша (bcrypt);
  • аутентификационный токен хранится в cookie с атрибутами HttpOnly, SameSite=Strict и Secure и недоступен из JavaScript;
  • передача данных между браузером и сервером осуществляется по протоколу HTTPS;
  • доступ к персональным данным ограничен кругом уполномоченных лиц;
  • загружаемые файлы проверяются по типу и размеру (не более 20 МБ), исходные файлы не сохраняются на диск — в базу данных попадает только извлечённый текст;
  • применяются организационные и технические меры по ст. 19 152-ФЗ, включая определение уровня защищённости информационных систем, назначение ответственного за организацию обработки персональных данных (ст. 22.1 152-ФЗ), оценку вреда субъектам и оценку эффективности принятых мер не реже одного раза в три года;
  • при инциденте, повлёкшем нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов и сообщает результаты внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

10. Автоматизированная обработка

Часть обработки выполняется автоматизированно, в том числе с использованием технологий искусственного интеллекта при подготовке и проверке заявок. Результаты носят рекомендательный характер и не порождают для субъекта юридических последствий. Исключительно автоматизированное принятие решений, влекущее юридические последствия, не осуществляется; субъект вправе возразить и потребовать рассмотрения вопроса человеком.

11. Права субъекта персональных данных

  • получать информацию об обработке своих персональных данных (ст. 14 152-ФЗ);
  • требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или незаконно получены;
  • отозвать согласие на обработку — в порядке, указанном в разделе 12, и в Согласии на обработку персональных данных;
  • возразить против обработки, осуществляемой на основании законного интереса;
  • обжаловать действия Оператора в Роскомнадзоре или в суде;
  • требовать возмещения убытков и компенсации морального вреда.

12. Порядок обращения к Оператору

Обращения направляются на адрес grantiik@yandex.ru либо письмом на адрес для корреспонденции: 141008, Московская область, г. Мытищи, ул. Мира, д. 37. Обращение должно содержать сведения, позволяющие идентифицировать субъекта (адрес электронной почты аккаунта, фамилия и имя), и существо требования.

Оператор рассматривает обращение и предоставляет информацию в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (ч. 1 ст. 20 152-ФЗ). Ответ направляется в той же форме, в которой получено обращение, либо в форме, указанной субъектом.

Удалить аккаунт и все связанные с ним данные можно самостоятельно в разделе «Настройки» личного кабинета — действие необратимо и равнозначно отзыву согласия.

13. Изменение Политики

Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с указанием версии и даты вступления в силу. При существенном изменении состава обрабатываемых данных или целей обработки Оператор запрашивает у пользователей новое согласие.

14. Контактная информация

  • Оператор: Индивидуальный предприниматель Малёва Ульяна Игоревна
  • ОГРНИП: 326508100567710
  • ИНН: 741303417720
  • Зарегистрировавший орган: Межрайонная ИФНС России № 23 по Московской области
  • Адрес для корреспонденции: 141008, Московская область, г. Мытищи, ул. Мира, д. 37
  • Телефон: +7 985 044 33 28
  • Email: grantiik@yandex.ru
  • Группа ВКонтакте: vk.com/grantiik_ru

Ответственный за организацию обработки персональных данных — индивидуальный предприниматель (сам Оператор). Запросы уполномоченного органа по защите прав субъектов персональных данных направляются на адрес grantiik@yandex.ru.