Политика обработки персональных данных
1. Общие положения
1.1. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее «Закон») и описывает, как сервис Нора на сайте noracrm.me обрабатывает персональные данные.
1.2. Оператор персональных данных пользователей Сервиса: Исполнитель по Пользовательскому соглашению (далее «Нора»).
Оператор: индивидуальный предприниматель Ильин Андрей Павлович, ИНН 100122263909, ОГРНИП 318784700006685, г. Санкт-Петербург.
1.3. Политика опубликована для неограниченного доступа (ч. 2 ст. 18.1 Закона). Термины используются в значениях, указанных в Законе и в Пользовательском соглашении.
2. Две роли Норы
2.1. Нора как оператор. Данные пользователей Сервиса (тех, кто входит в Кабинет) Нора обрабатывает как оператор, для целей из раздела 4.
2.2. Нора как обработчик. Сведения о клиентах, контрагентах и их представителях, которые пользователь вносит в Кабинет или получает через Сервис, обрабатываются по поручению пользователя (ч. 3 ст. 6 Закона). Для этих данных оператором является пользователь: он определяет цели и состав данных и отвечает перед субъектом. Нора действует только по поручению, условия которого изложены в Поручении на обработку.
2.3. Если вы клиент пользователя Норы (например, подписывали у него договор по ссылке или записывались к нему), по вопросам своих данных обращайтесь к этому пользователю. Нора поможет ему выполнить ваш запрос.
3. Какие данные обрабатываются
3.1. Данные пользователей (Нора оператор):
- из учетной записи Google при входе: адрес почты, имя, ссылка на изображение профиля, идентификатор учетной записи Google;
- данные профиля, которые пользователь вносит сам: фамилия, имя, отчество, ИНН, ОГРНИП, налоговый режим, адрес, телефон, почта, банковские реквизиты, изображения подписи и печати;
- сведения о подключенных сервисах: идентификатор чата Telegram, если пользователь привязал бота; ключи доступа к банкам хранятся в зашифрованном виде;
- технические сведения: служебные cookie (раздел 11), время входа и действий, сведения о включении ИИ-функций и числе запросов к ним, а также IP-адрес и сведения о браузере, которые получает инфраструктура при обращении к сайту.
3.2. Данные, которые обрабатываются по поручению пользователя (оператор: пользователь):
- сведения о клиентах и контрагентах пользователя: имена, контакты, реквизиты, сделки, счета, договоры, заметки, задачи, загруженные файлы и документы;
- сведения лиц, которые подписывают документы по ссылке: фамилия, имя, отчество, адрес почты, телефон, если указан, IP-адрес, сведения о браузере, время действий;
- сведения лиц, которые записываются к пользователю по ссылке: имя и контакты, указанные в форме записи.
3.3. Нора не запрашивает специальные категории персональных данных и биометрические данные. Пользователь не вносит такие данные в Сервис без собственного правового основания.
4. Цели обработки
- вход в Сервис, создание и работа Кабинета;
- заключение и исполнение Пользовательского соглашения, в том числе прием оплаты тарифа;
- связь с пользователем: ответы на обращения, уведомления о работе Сервиса и изменениях условий;
- защита Сервиса и Кабинетов от несанкционированного доступа и злоупотреблений;
- исполнение требований закона.
Рекламные рассылки Нора без отдельного согласия пользователя не ведет. Рекламные и аналитические счетчики третьих лиц на сайте не установлены.
5. Правовые основания
- исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона): Пользовательское соглашение;
- исполнение обязанностей, возложенных на оператора законом (п. 2 ч. 1 ст. 6 Закона), например учет оплат;
- законные интересы оператора по защите Сервиса (п. 7 ч. 1 ст. 6 Закона), если при этом не нарушаются права субъекта;
- согласие субъекта (п. 1 ч. 1 ст. 6 Закона), где оно нужно, в том числе включение ИИ-функций в настройках;
- для данных клиентов пользователя: поручение пользователя-оператора (ч. 3 ст. 6 Закона).
6. Как обрабатываются данные
6.1. Обработка автоматизированная: сбор, запись, систематизация, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) в случаях из раздела 7, блокирование, удаление, уничтожение.
6.2. Меры защиты: у каждого Кабинета отдельное хранилище, адрес которого определяется по сеансу входа; соединение только по HTTPS; cookie сеанса недоступна скриптам страницы; запросы на изменение данных проверяются на источник; ключи доступа к банкам хранятся в зашифрованном виде.
6.3. Работники Норы не просматривают данные Кабинетов, кроме случаев, когда это нужно для устранения сбоя по обращению пользователя или требуется по закону.
7. Кому передаются данные
7.1. Нора не продает персональные данные. Данные передаются только лицам, без которых Сервис не работает, и только в нужном объеме:
- Cloudflare, Inc.: облачная инфраструктура, на которой работает Сервис и хранятся данные, а также модели ИИ по умолчанию;
- Google LLC: вход через учетную запись Google; шрифты сайта загружаются с серверов Google Fonts, при этом браузер передает Google IP-адрес;
- Anthropic PBC: только если пользователь включил ИИ-функции и выбрал модель Claude;
- Telegram: только если пользователь привязал бота Норы;
- сервис отправки почты (Cloudflare или Resend): для писем с кодами подписи и уведомлений, если отправка почты подключена;
- банки, которые подключил сам пользователь, и платежный агрегатор при оплате тарифа;
- государственные органы: по запросу, основанному на законе.
7.2. Часть перечисленных лиц находится за пределами Российской Федерации. Передача им данных является трансграничной передачей (ст. 12 Закона) и выполняется в объеме, нужном для работы соответствующей функции.
8. Где хранятся данные
8.1. Данные Кабинетов хранятся в облачной инфраструктуре, на которой работает Сервис.
8.2. Сервис работает на платформе Cloudflare, Inc. (США): база данных каждого Кабинета (Durable Objects), файлы (R2) и служебные записи (KV) размещаются в центрах обработки данных Cloudflare. Конкретное место выбирает сеть Cloudflare, и оно может находиться за пределами Российской Федерации. Запросы к российским банкам, операторам ЭДО и реестрам проходят через сервер в Российской Федерации, который хранит только журнал соединений.
8.3. Передача данных в Cloudflare является трансграничной передачей (ст. 12 Закона).
9. Сроки обработки
9.1. Данные пользователя и данные Кабинета хранятся, пока существует Кабинет. После запроса на удаление Кабинета они удаляются в срок не более 30 календарных дней, кроме сведений, которые Нора обязана хранить по закону, в течение установленного законом срока.
9.2. Cookie сеанса действует до 30 дней или до выхода из Кабинета. Сроки хранения данных клиентов пользователя определяет пользователь как их оператор; он может удалить записи в Кабинете в любое время.
9.3. При отзыве согласия обработка, основанная на согласии, прекращается в срок не более 30 дней, если у Норы нет иного правового основания (ч. 5 ст. 21 Закона).
10. Права субъекта персональных данных
10.1. Субъект вправе:
- получить сведения об обработке своих данных (ст. 14 Закона);
- потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для цели обработки;
- отозвать согласие на обработку, если обработка основана на согласии;
- обжаловать действия оператора в Роскомнадзор или в суд.
10.2. Пользователь может сам исправить данные профиля, удалить записи и выгрузить данные Кабинета. Остальные запросы направляются по адресу из раздела 12. Нора отвечает в течение 10 рабочих дней с даты получения запроса; срок может быть продлен на 5 рабочих дней с уведомлением о причине (ч. 3 ст. 20 Закона).
11. Cookie
11.1. Сайт использует только служебные cookie, без которых вход невозможен:
nora_s: cookie сеанса, хранит подписанный признак входа, действует до 30 дней или до выхода;nora_oa: временная cookie на время входа через Google, действует 10 минут.
11.2. Рекламные и аналитические cookie не используются. Если запретить cookie в браузере, войти в Кабинет не получится.
12. Изменения и контакты
12.1. Нора может изменить Политику, опубликовав новую редакцию на этой странице с указанием даты. О существенных изменениях пользователи узнают в Кабинете или по почте.
12.2. Обращения по персональным данным, запросы на уточнение, выгрузку и удаление: support@noracrm.me. Ответ в срок до 10 рабочих дней.