Политика обработки персональных данных

Оператор обрабатывает персональные данные посетителей сайта, лиц, направивших заявку или отзыв, заказчиков, получателей заказа и представителей заказчиков. Политика опубликована во исполнение требований законодательства Российской Федерации о персональных данных.

Принятие пользовательского соглашения или публичной оферты само по себе не является согласием на обработку персональных данных. Когда согласие необходимо, оно запрашивается отдельно.

В зависимости от выбранного действия оператор может обрабатывать:

• для заявки — имя, номер телефона и необязательный username в Telegram;
• дату мероприятия, число гостей, вес, начинку, дизайн и параметры получения заказа;
• комментарий, ссылку и загруженные изображения-референсы;
• для отзыва — имя автора, необязательный username в Telegram для ответа, тип и дату мероприятия, оценку, текст и изображения;
• для согласованной доставки — адрес и сведения, необходимые для доставки; адрес не запрашивается формой до выбора и согласования доставки;
• идентификатор заявки или отзыва, дату и доказательство согласия, версию и хеш документа;
• IP-адрес только при настроенной доверенной proxy-цепочке, User-Agent, время запроса и обезличенный ключ ограничения частоты отправок;
• сведения, необходимые для исполнения договора и выполнения обязательных юридических или финансовых требований.

Оператор не просит дату рождения, паспортные данные, пол или адрес проживания. Не следует указывать специальные категории данных или сведения третьих лиц в свободном комментарии и файлах без необходимости и законного основания.

• Заявка и обращение: прием заявки, обратная связь, расчет и согласование заказа — отдельное согласие субъекта и действия до заключения договора;
• Исполнение заказа: изготовление, оплата, выдача и согласованная доставка — заключение и исполнение договора;
• Отзывы: прием, модерация и обратная связь при указанном контакте — отдельное согласие на обработку; публикация идентифицирующих категорий — отдельное согласие на распространение;
• Безопасность: защита форм, предотвращение злоупотреблений, расследование инцидентов — законные интересы оператора и исполнение установленных законом обязанностей;
• Обязательный учет: исполнение обязанностей, возложенных законодательством Российской Федерации.

Обработка выполняется автоматизированным и неавтоматизированным способом и включает:

• сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение и использование;
• предоставление доступа уполномоченным лицам, передачу в предусмотренных законом случаях;
• обезличивание, блокирование, ограничение публикации, удаление и уничтожение.

Решения, порождающие юридические последствия для субъекта, не принимаются исключительно автоматизированным способом.

Форма передает данные по HTTPS в API Юмили. После серверной проверки данные шифруются и записываются в локальную базу приложения. Изображения преобразуются в безопасный WEBP без исходных метаданных и хранятся зашифрованными, отдельно от публичного каталога.

Адрес доставки уточняется только после выбора и согласования доставки. После заключения договора данные, объективно необходимые для его исполнения, могут обрабатываться на основании договора независимо от ранее данного согласия в пределах закона.

Новый отзыв получает статус «Отправлен» и не публикуется автоматически. Перед публикацией он проходит модерацию и переводится в состояние обезличивания либо подтвержденного согласия на распространение.

Имя, текст и изображение публикуются только в пределах явно выбранных разрешений. Без разрешения имя заменяется нейтральным обозначением, изображения не выдаются публично, а текст публикуется только после ручного удаления идентификаторов. Отзыв снимается с публикации при отзыве применимого согласия.

Подробные условия размещены на странице Согласие на распространение персональных данных в отзыве.

Сервер сохраняет отдельную запись согласия: идентификатор связанной заявки или отзыва, тип согласия, версию и SHA-256-хеш документа, серверное время принятия, идентификатор формы, выбранные разрешения, а также зашифрованные IP-адрес (если proxy настроен как доверенный) и User-Agent. Значения времени, версии и хеша не принимаются от браузера.

Новые заявки, отзывы, согласия и пользовательские изображения рассчитаны на хранение в зашифрованной SQLite-базе на постоянном volume сервера приложения. Оператор обязан разместить первичную базу данных граждан Российской Федерации на территории Российской Федерации.

Фактический физический регион хостинга, volume и резервных копий определяется договором и настройками инфраструктуры оператора и должен быть подтвержден владельцем до production-развертывания. Репозиторий не содержит доказательства региона или наличия резервного копирования.

К обработке могут привлекаться только фактически выбранные оператором российские хостинг-, storage- и backup-провайдеры по оформленному поручению. Их наименование, регион, договор и меры защиты подлежат проверке оператором.

Автоматическое Telegram-уведомление, если включено, содержит только тип и служебный номер новой записи, фиксированный поясняющий текст и ссылку на соответствующую закрытую карточку панели администратора. Карточка требует отдельной аутентификации. В Telegram не передаются имя, телефон, username, адрес, комментарий, текст отзыва, параметры заказа или файлы. Переход по публичной ссылке Telegram выполняется самим пользователем.

Google Sheets и Google Drive не используются новым потоком заявок и отзывов. До подтверждения правового основания и выполнения требуемых процедур оператор не должен включать передачу персональных данных иностранным сервисам. Наличие legacy-данных и публичных legacy-файлов в ранее использованных сервисах требует отдельной ручной проверки.

• заявки, не ставшие заказами, — 90 дней после последнего взаимодействия, если нет правового спора или legal hold;
• обычные технические и security-логи — 30 дней, кроме сведений, необходимых для расследования инцидента;
• неопубликованные отзывы в статусе «Отправлен», «Отклонен» или «Отозван» — 90 дней после последнего взаимодействия, если отсутствуют иное законное основание или legal hold;
• данные завершенного заказа — только на срок договора, разрешения претензий и обязательного юридического или финансового хранения;
• публичный отзыв — до отзыва согласия, прекращения цели публикации или появления иного основания для снятия.

Очистка production-данных выполняется только отдельной служебной командой, которая по умолчанию работает в dry-run и требует явного флага применения.

Публичная часть сайта не устанавливает HTTP-cookie. В закрытой панели владельца используется строго необходимая HttpOnly session-cookie, которая не содержит имени, пароля или данных клиентов. В localStorage сохраняются только отметка об ознакомлении с уведомлением и тема оформления; в sessionStorage — техническое состояние калькулятора и модального окна. Черновики имени, телефона, комментария и файлов в браузерное хранилище не записываются.

Приложение не записывает в обычные логи имя, телефон, e-mail, Telegram username, комментарий, содержимое или URL пользовательских файлов. Access-логи инфраструктуры и срок их хранения должны быть подтверждены у хостинг-провайдера.

• шифрование полей и файлов AES-256-GCM, отдельный ключ вне репозитория;
• серверная валидация согласия и полей, проверка Origin и ограничение частоты отправок;
• проверка фактического формата изображений, лимита размера и пикселей, удаление метаданных;
• параметризованные запросы, закрытое хранение uploads и отсутствие публичного перечисления;
• редактирование чувствительных значений в логах, безопасные ответы API и защитные HTTP-заголовки;
• ограничение служебного доступа и аудит операций модерации, отзыва и удаления.

Оператор обязан утвердить внутреннюю процедуру реагирования на инциденты и выполнять уведомления в случаях и сроки, установленные применимым законодательством.

Субъект вправе получить сведения об обработке, потребовать уточнения, блокирования, прекращения обработки, удаления или уничтожения данных, отозвать согласие и обжаловать действия оператора.

Обращение направляется на yumilicake@yandex.ru с указанием способа связи и сведений, достаточных для поиска записи. Оператор вправе запросить подтверждение личности, не собирая избыточные данные. Отзыв согласия не затрагивает обработку, которая продолжается на другом законном основании.

При прекращении цели или получении обоснованного требования оператор блокирует применимую обработку, снимает отзыв с публикации, удаляет закрытые файлы и удаляет либо обезличивает данные, если отсутствует обязанность продолжить хранение. Минимальная обезличенная аудит-запись может сохраняться, когда это необходимо для подтверждения выполненной операции.

Вопросы об обработке данных направляются по адресу yumilicake@yandex.ru. Актуальная версия Политики всегда размещена по адресу yumili.ru/privacy. Изменение версии документа не подменяет получение нового согласия, когда оно требуется законом.