Политика конфиденциальности

1. Кто является оператором данных

Оператором персональных данных является Индивидуальный предприниматель Чертов Александр Сергеевич (далее — Оператор / ИП Чертов А.С.):

• ОГРНИП: 318463200044309
• ИНН: 463241233831
• Адрес: г. Курск, ул. Радищева, 115а, 3 этаж, офис 1
• Email: chertov.sash@yandex.ru
• Телефон: 8 (919) 170-19-18

1.1. Ответственное лицо за обработку ПДн

Ответственным за обработку персональных данных в соответствии с приказом Роскомнадзора № 996/2013 является сам Оператор — ИП Чертов А.С., контакты указаны выше.

1.2. Способ обработки

Обработка персональных данных осуществляется смешанным способом (автоматизированная обработка с помощью средств вычислительной техники + неавтоматизированная при необходимости).

1.3. Перечень действий с ПДн

В соответствии со ст. 3 п. 3 152-ФЗ Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2. Категории субъектов и какие данные мы собираем

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Клиенты и заявители (форма обратной связи, заявка на просмотр, запрос ипотеки): фамилия, имя, телефон, email, IP-адрес, технические данные браузера (User-Agent), история взаимодействия с сайтом
• Анонимные посетители: IP-адрес, User-Agent, реферер, cookie-идентификаторы (через Яндекс.Метрику и cookie consent banner)
• Подписчики push-уведомлений: webPush endpoint (token), время подписки

3. Цели обработки данных

Ваши данные используются исключительно для:

• Обработки заявок (консультация, запись на показ, подбор ипотеки)
• Информирования об изменениях цен и условий по интересующим объектам (только при явном согласии на marketing-уведомления)
• Аналитики посещаемости и улучшения качества обслуживания (Яндекс.Метрика — только при согласии «Принять все» или «Аналитика»; запись поведения / Webvisor — только при отдельном согласии на эту цель, ст. 9 152-ФЗ)
• Соблюдения требований законодательства РФ
• Защиты сайта от автоматических атак (rate-limit, fail2ban, Yandex Smart Web Security)

4. Основания для обработки данных

Обработка персональных данных осуществляется на следующих основаниях (ст. 6 ч. 1 152-ФЗ):

• Согласие субъекта (ст. 6 ч. 1 п. 1) — для форм заявок, cookie-аналитики, push-уведомлений
• Исполнение договора (ст. 6 ч. 1 п. 5) — для клиентов, заключивших договор оказания услуг
• Законные интересы Оператора (ст. 6 ч. 1 п. 7) — для защиты сайта от атак (логи, fail2ban)

Согласие выражается активным действием (нажатие кнопки «Отправить» с предварительной отметкой чек-бокса согласия в форме / нажатие «Принять все» или «Только необходимые» в cookie-баннере). Вы вправе отозвать согласие в любое время — см. раздел 7.

5. Сроки хранения данных

• Cookie-согласия (журнал pdn_consents) — 3 года с момента выдачи (152-ФЗ ст. 14 ч. 2)
• Cookie на устройстве пользователя — 365 дней (затем автоматический повторный запрос)
• Заявки и обращения — 3 года с момента последнего обращения
• Данные по заключённым договорам — 5 лет (Закон о бухгалтерском учёте № 402-ФЗ)
• Логи доступа (IP, UA) — 30 дней (для расследования инцидентов безопасности)
• Push-токены — до отписки пользователя или 12 месяцев неактивности

По истечении срока данные уничтожаются или обезличиваются (ст. 21 ч. 4 152-ФЗ).

6. Передача данных третьим лицам

БРОНИДОМ хранит ваши персональные данные у себя. Все ПДн пользователей (имя, телефон, email, история обращений) находятся под контролем Оператора (ИП Чертов А.С., ИНН 463241233831) и обрабатываются на инфраструктуре в Российской Федерации (ст. 18 ч. 5 152-ФЗ — локализация). Данные не продаются и не передаются третьим лицам в коммерческих целях без вашего согласия. Передача осуществляется только следующим категориям получателей:

• Облачные сервисы и инфраструктура — для хостинга, защиты от атак и веб-аналитики (Beget VPS, Yandex Cloud, Yandex SWS). Передача необходима для функционирования сайта по договорам обработки на условиях конфиденциальности (правовое основание: ст. 6 ч. 1 п. 5 и п. 7 152-ФЗ; полный список с ИНН и регионом — в реестре получателей)
• Партнёры (мессенджеры) — для служебных уведомлений менеджеру БРОНИДОМ о ваших заявках. В Telegram Bot API передаются только маскированные имя и контакты (подробнее в разделе 10; ст. 6 ч. 1 п. 5 152-ФЗ — исполнение договора)
• Банки-партнёры — только с вашего явного согласия при заполнении ипотечной заявки (отдельный чек-бокс в форме; ст. 6 ч. 1 п. 1 152-ФЗ — согласие). Передача необходима для подбора ипотечной программы и расчёта условий
• Государственные органы РФ — по требованию закона: Роскомнадзор, МВД, ФСБ, прокуратура, суды (ст. 6 ч. 1 п. 2 152-ФЗ — исполнение требования закона; не требует согласия субъекта ПДн)

Застройщикам персональные данные пользователей НЕ передаются. БРОНИДОМ выступает оператором обработки ПДн и хранителем данных, а не посредником передачи. Заявки на конкретные ЖК обрабатываются менеджером БРОНИДОМ внутренне — со стороны застройщика взаимодействие ведёт сотрудник Оператора, а не сам пользователь.

На сайте размещается контент о жилых комплексах (фотографии, 3D-рендеры, описания, цены), который поступает от застройщиков к БРОНИДОМ через автоматизированные фиды (RSS / API). Это контент-поток, относящийся к интеллектуальной собственности (ст. 1259/1270 ГК РФ), а не к персональным данным пользователей. Условия использования контента застройщиков регулируются отдельным документом — «Публичная оферта-лицензия для застройщиков» (ГК РФ ст. 1233/1235/1286.1).

Полный актуальный перечень получателей ПДн с указанием юридического наименования, ИНН, региона и цели передачи доступен на странице «Реестр получателей ПДн». Реестр обновляется автоматически; изменения в составе получателей не требуют пересогласия — основанием каждой передачи является ваше согласие на конкретную цель обработки (отдельный чекбокс в форме ипотечной заявки).

Все третьи лица обязаны соблюдать конфиденциальность и обрабатывать данные в строго определённых Оператором целях (ст. 7 + ст. 6 ч. 3 152-ФЗ).

7. Ваши права

В соответствии с Федеральным законом № 152-ФЗ «О персональных данных» вы имеете право:

• Получить информацию о составе и целях обработки ваших данных (ст. 14)
• Требовать исправления неточных данных (ст. 14 ч. 1 п. 6)
• Требовать удаления ваших данных или прекращения обработки (ст. 14 ч. 1 п. 7) — «право на забвение»
• Отозвать согласие на обработку данных (ст. 9 ч. 2)
• Обратиться с жалобой в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)

Для реализации прав вы можете:

• Использовать форму на странице «Запрос по обработке ПДн» (онлайн-форма для запроса информации, уточнения, удаления данных)
• Использовать форму на странице «Отзыв согласия» (для отзыва согласия по 152-ФЗ ст. 9 ч. 2)
• Направить письменное заявление с приложением копии паспорта на email chertov.sash@yandex.ru
• Отправить почтой по адресу: г. Курск, ул. Радищева, 115а, 3 этаж, офис 1

Срок ответа на запрос — 30 дней с момента получения (ст. 20 ч. 1 152-ФЗ). Срок уточнения / уничтожения некорректных или незаконно полученных данных — 7 рабочих дней (ст. 21 ч. 3).

В соответствии со ст. 24 152-ФЗ субъект ПДн вправе требовать возмещения убытков и компенсации морального вреда в судебном порядке за нарушения, допущенные Оператором.

8. Использование cookies

Сайт использует следующие категории cookies:

8.1. Необходимые (всегда включены)

Без них сайт не работает. Согласие не требуется (ст. 6 ч. 1 п. 7 152-ФЗ — законные интересы):

• PHPSESSID — идентификатор сессии пользователя (срок жизни — до закрытия браузера)
• csrf_token — защита от CSRF-атак (1 час)
• cookie_consent — ваш выбор согласия на cookies (365 дней)

8.2. Аналитические (требуют согласия)

Подключаются только при выборе «Принять все» или «Аналитика» в cookie-баннере (ст. 6 ч. 1 п. 1 152-ФЗ — обработка с согласия субъекта):

• _ym_uid, _ym_d, _ym_isad — Яндекс.Метрика: анализ посещаемости (страницы, переходы, источники трафика, география). Без детальной записи действий пользователя — только агрегированные посещения. Срок хранения определяется политикой Яндекс.

Журнал согласий (включая IP, User-Agent, версию политики) хранится в БД pdn_consents 3 года для аудита Роскомнадзора.

8.3. Запись поведения / Webvisor (требует ОТДЕЛЬНОГО согласия)

Подключается только при отдельном выборе «Запись поведения (Webvisor)» в cookie-баннере. Это отдельная цель обработки (ст. 9 152-ФЗ в редакции с 01.09.2025 — отдельное согласие на каждую цель обработки персональных данных), и согласие на неё запрашивается независимо от обычной аналитики:

• _ym_visorc — Яндекс.Метрика Webvisor: детальная запись действий пользователя на сайте (движения мыши, клики, скроллы, просмотренная область страницы, факт взаимодействия с формами).

Защита содержимого форм (defense-in-depth)

Оператор применяет два независимых уровня технической защиты, чтобы значения, которые вы вводите в поля форм с персональными данными (телефон, email, пароль), не записывались Webvisor'ом:

• На стороне сайта (верифицируется): все поля ввода <input type="tel">, <input type="email">, <input type="password"> размечены HTML-атрибутами class="ym-hide-content" и data-ym-disable-keys="true". Эти атрибуты — официальная инструкция Яндекс.Метрики для маскирования содержимого: библиотека счётчика не извлекает текстовое значение поля и не записывает нажатые клавиши при вводе. Любой пользователь может проверить наличие атрибутов через инструменты разработчика браузера (DevTools → вкладка Elements).
• На стороне счётчика Яндекс.Метрики (admin-настройки счётчика № 109903212): Оператор дополнительно включает опцию «Запретить отправку содержимого полей форм» в кабинете Метрики (defense-in-depth — даже если HTML-атрибут случайно потерян в одной форме, серверный фильтр Яндекс не примет значение).

Что записывается Webvisor'ом для полей форм: только факт взаимодействия (клик в поле, фокус, потеря фокуса, факт нажатия любой клавиши без её идентификации) для понимания узких мест воронки. Полные значения форм отправляются только при их submit (обычным HTTPS POST-запросом) и хранятся на серверах Оператора в Российской Федерации.

Записи Webvisor просматриваются псевдонимизированно — без сопоставления конкретной записи с именем, телефоном или email какого-либо пользователя. У Оператора нет технической возможности связать сессию Webvisor (_ym_visorc) с заявкой из БД (где хранятся имя/контакты).

Цель сбора: улучшение пользовательского интерфейса сайта — выявление сложных мест навигации, неудобных форм, барьеров в воронке заявок.

Отзыв согласия на запись поведения

В соответствии со ст. 9 ч. 2 152-ФЗ (право отозвать согласие в любой момент) и ст. 14 ч. 1 п. 7 152-ФЗ (право требовать прекращения обработки) вы вправе отозвать согласие на запись поведения тремя способами:

• Снимите чекбокс «Запись поведения (Webvisor)» в настройках cookies (открыть настройки) — Webvisor отключится при следующей навигации (новая сессия не создастся).
• Нажмите «Отозвать согласие» — cookie-баннер появится снова, и вы заново выберете категории.
• Напишите запрос на chertov.sash@yandex.ru с пометкой «Отзыв согласия на Webvisor» — Оператор обезличит существующие записи Webvisor в течение 30 дней (152-ФЗ ст. 21 ч. 4 — обязанность прекратить обработку в течение 30 дней с момента отзыва).

Если вы НЕ хотите, чтобы запись поведения велась с самого начала — оставьте чекбокс «Запись поведения (Webvisor)» в настройках cookies снятым. Обычная аналитика (§8.2) работает независимо от этой опции.

8.4. Управление согласием

Вы можете в любой момент:

• Открыть настройки cookies — выбрать категории заново (включая отдельную опцию Webvisor)
• Отозвать согласие — баннер появится снова при следующей загрузке
• Отключить cookies в настройках браузера (часть функций сайта может перестать работать)

9. Аналитика и счётчики

На сайте используется Яндекс.Метрика № 109903212 для анализа посещаемости. Метрика собирает обезличенные данные о поведении пользователей (IP, User-Agent, географию, переходы, клики). Подключается только после явного согласия в cookie-баннере (см. §8.2). Webvisor (детальная запись действий — мыши, кликов, скроллов, заполнения форм) подключается отдельно при выборе соответствующего чекбокса (см. §8.3, основание — ст. 9 152-ФЗ). Подробнее: политика конфиденциальности Яндекс.

10. Трансграничная передача данных

Оператор хранит и обрабатывает все персональные данные граждан РФ на серверах, расположенных на территории Российской Федерации (152-ФЗ ст. 18 ч. 5):

• VPS Beget Cloud (РФ, г. Москва) — основной хостинг, БД MySQL, файловое хранилище
• Yandex Cloud (РФ) — Application Load Balancer, Smart Web Security (WAF/DDoS защита), CDN, Cloud Logging
• Beget Object Storage (РФ, S3-совместимое) — резервное копирование
• ООО «Яндекс» (РФ) — Яндекс.Метрика (только при согласии), Яндекс.Карты API (геокодер)

Единственное исключение — служебные уведомления Оператору через Telegram Bot API:

• При отправке заявки через формы (бронирование квартиры, ипотечная заявка, AI-чат, обратная связь) Оператор получает уведомление через @BroniDom_bot. В уведомлении передаются: имя клиента (как введено в форме) и маскированные контакты (телефон в формате +7***-***-XX-XX, email в формате j***@example.com).
• Telegram Messenger LLC (зарегистрирована в Дубае, ОАЭ; технические серверы — в различных юрисдикциях) выступает как обработчик по поручению Оператора (152-ФЗ ст. 6 ч. 3) для технической доставки служебных уведомлений Оператору.
• Правовое основание передачи: ст. 6 ч. 1 п. 5 152-ФЗ — обработка необходима для исполнения договора, по которому стороной является субъект ПДн (Оператор отвечает на запрос пользователя через мессенджер).
• Согласие субъекта: получено при отправке формы через явный чек-бокс согласия с настоящей Политикой.
• Объём данных: имя + маскированные контакты. Полные контакты хранятся только на серверах Оператора в РФ.
• Альтернативный канал: пользователь может запросить связь через email или телефон (без Telegram) — обращение через форму «Обратная связь» с пометкой «без Telegram».

Иные трансграничные передачи не осуществляются. На сайте не используются: Cloudflare, Sentry, Google Analytics, Facebook Pixel, Twitter Pixel, Anthropic API, OpenAI API и иные иностранные SDK с трансграничной передачей. AI-функциональность (описание ЖК, SEO-контент, чат-консультант) использует Yandex GPT (РФ) и Google Gemini API через GitHub Actions из США (только для генерации контента сайта, без передачи ПДн пользователей — обезличенные технические данные о ЖК и квартирах).

Для отказа от единственной трансграничной передачи (Telegram-уведомления) пользователь может: (1) не отправлять формы; (2) написать на email с пометкой «без Telegram-уведомлений» — Оператор отключит push для конкретного пользователя.

11. Меры защиты данных

Оператор принимает следующие технические и организационные меры защиты:

• Шифрование канала передачи данных (HTTPS / TLS 1.3, HSTS)
• Хранение паролей в виде хешей (bcrypt)
• Защита от автоматических атак (fail2ban — 6 jail'ов, Yandex Smart Web Security WAF/DDoS, rate-limit на формах, Yandex SmartCaptcha на публичных формах)
• Двухфакторная аутентификация (email-2FA) для критических действий
• Регулярное резервное копирование (off-site backup в S3-совместимое хранилище)
• Ограничение доступа к данным по принципу минимальных привилегий
• Логирование действий администраторов
• Внутренняя процедура реагирования на инциденты с ПДн (152-ФЗ ст. 21 ч. 3.1) — операционный регламент Оператора, предоставляется по запросу субъекта или регулирующих органов

12. Не публичная оферта

Информация о ценах, условиях, характеристиках жилых комплексов, скидках и предложениях, размещённая на сайте, носит исключительно справочный характер и не является публичной офертой в смысле ст. 437 Гражданского кодекса РФ. Окончательные условия сделки и стоимость определяются в индивидуальном договоре с застройщиком.

13. Изменения политики

Оператор вправе обновлять настоящую политику. Действующая редакция всегда доступна на этой странице. Существенные изменения публикуются за 14 дней до вступления в силу. Продолжение использования сайта после вступления изменений в силу означает согласие с новой редакцией. Версия каждого согласия фиксируется в журнале pdn_consents.consent_text_version для возможности аудита.

14. Контакты

По всем вопросам, связанным с обработкой персональных данных:

• Email: chertov.sash@yandex.ru
• Телефон: 8 (919) 170-19-18
• Адрес: г. Курск, ул. Радищева, 115а, 3 этаж, офис 1
• Режим работы: Пн–Пт: 9:00–20:00, Сб–Вс: 10:00–18:00

15. Жалобы и надзор

В случае нарушения ваших прав вы вправе обратиться:

• В Роскомнадзор — pd.rkn.gov.ru (электронная форма обращения)
• В суд по месту жительства / месту нахождения Оператора
• В прокуратуру РФ