Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса TrainKey (бывш. Kith) — далее «Сервис», — доступного по адресу trainkey.ru.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Используя Сервис, вы подтверждаете, что ознакомились с настоящей Политикой и даёте согласие на обработку персональных данных в порядке и на условиях, описанных ниже.

2. Категории обрабатываемых данных

При использовании Сервиса обрабатываются следующие категории данных:

• Регистрационные данные: адрес электронной почты, пароль (хранится в виде хэша).
• Данные профиля: фамилия, имя, отчество, телефон, фотография, ссылки на профили в социальных сетях и мессенджерах.
• Платёжные данные: обрабатываются платёжной системой ЮKassa; Оператор не получает и не хранит реквизиты банковских карт. Фискальные документы хранятся в соответствии с требованиями 54-ФЗ.
• Технические данные: хэш IP-адреса, тип браузера, источник просмотра карточки (NFC / QR / прямая ссылка), действия в личном кабинете.
• Контактные данные третьих лиц (CRM): при использовании функций обмена контактами или импорта адресной книги пользователь самостоятельно вносит персональные данные третьих лиц (см. п. 5.1).
• Данные, оставленные через форму обратной связи: при заполнении формы «Оставить контакт» на публичной странице визитки посетитель добровольно указывает своё имя и, по желанию, email, телефон и сообщение для передачи владельцу визитки (см. п. 5.2).

3. Цели обработки данных

• Регистрация и аутентификация пользователей.
• Оплата и обслуживание подписок через платёжный сервис ЮKassa.
• Создание и отображение цифровых визиток.
• Отправка сервисных уведомлений (статус подписки, окончание пробного периода).
• Обеспечение безопасности Сервиса и предотвращение мошенничества.
• Обработка и хранение контактов, добавленных пользователем в CRM-модуле Сервиса, в рамках поручения пользователя.
• Приём контактных данных, добровольно оставленных посетителем через форму обратной связи на публичной визитке, и их передача владельцу соответствующей визитки.

4. Правовые основания обработки

Обработка персональных данных осуществляется на основании:

• согласия субъекта — даётся при регистрации (п. 1 ч. 1 ст. 6 152-ФЗ);
• исполнения договора — пользовательского соглашения (оферты) на предоставление услуг Сервиса (п. 5 ч. 1 ст. 6 152-ФЗ);
• законных интересов Оператора — обеспечение безопасности и работоспособности Сервиса (п. 7 ч. 1 ст. 6 152-ФЗ).

5. Поручение обработки и привлекаемые лица

Для обеспечения работы Сервиса Оператор поручает обработку персональных данных следующим лицам:

• ООО «ЮКасса» (YooKassa) (РФ) — приём и обработка платежей по подпискам. Реквизиты банковских карт обрабатываются непосредственно ЮKassa и не передаются Оператору. Фискальные документы хранятся в соответствии с 54-ФЗ.
• ООО «ТаймВэб» (Timeweb) (РФ) — предоставление серверной инфраструктуры (дата-центр на территории Российской Федерации), на которой Оператором самостоятельно развёрнуты и обслуживаются база данных, средства аутентификации, хранилище файлов и веб-приложение Сервиса (self-hosted Supabase + Next.js). Хостинг-провайдер предоставляет вычислительные ресурсы и не имеет доступа к содержимому персональных данных. Передача персональных данных сторонним облачным операторам за пределами РФ не осуществляется (см. п. 6).
• ООО «Яндекс» / Yandex Cloud (РФ) — языковая модель YandexGPT, используемая для AI-функций в тарифных планах, предусматривающих такие возможности. Обработка данных осуществляется на территории РФ.

Оператор не продаёт, не сдаёт в аренду и не передаёт персональные данные третьим лицам для маркетинговых целей.

5.1. Данные третьих лиц, вносимые пользователем (CRM)

При использовании функций сохранения контактов, обмена визитками и импорта адресной книги пользователь самостоятельно вносит в Сервис персональные данные третьих лиц (имя, телефон, email и др.).

В части таких данных пользователь выступает самостоятельным оператором персональных данных и принимает на себя ответственность за наличие законного основания их обработки (согласие субъекта, договор и т. п.) в соответствии с 152-ФЗ. TrainKey обрабатывает эти данные исключительно по поручению пользователя и в целях функционирования Сервиса.

5.2. Данные, оставленные через форму обратной связи на визитке

Публичная страница визитки содержит форму «Оставить контакт», через которую посетитель может добровольно передать владельцу визитки свои контактные данные: имя, а также по желанию email, телефон и сообщение.

Обработка этих данных осуществляется на основании согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ), которое выражается путём проставления отметки в форме перед отправкой. Предоставление данных является добровольным; без согласия форма не отправляется. Цель обработки — однократная передача оставленных данных владельцу визитки и их отображение в его личном кабинете.

Оставленные данные доступны исключительно владельцу соответствующей визитки. Субъект вправе в любой момент отозвать согласие и потребовать удаления своих данных, направив запрос на support@trainkey.ru. Сроки хранения — см. п. 8.

6. Хранение и локализация данных

База данных, средства аутентификации, хранилище файлов и веб-приложение Сервиса размещаются на сервере, арендованном Оператором у ООО «ТаймВэб» (Timeweb) в дата-центре на территории Российской Федерации.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории РФ, в соответствии с требованием ч. 5 ст. 18 Федерального закона № 152-ФЗ.

Трансграничная передача персональных данных при использовании Сервиса не осуществляется.

Привлекаемые Оператором лица — ООО «ЮКасса» (приём платежей) и ООО «Яндекс» / Yandex Cloud (AI-функции на базе YandexGPT) — обрабатывают данные на территории Российской Федерации.

7. Файлы cookie и аналогичные технологии

Сервис использует следующие файлы cookie и записи localStorage:

• sb-access-token, sb-refresh-token — необходимые cookie аутентификации Supabase Auth. Без них вход в личный кабинет невозможен. Устанавливаются при входе и удаляются при выходе из аккаунта.
• cookie-consent — запись в localStorage браузера, фиксирующая ваш выбор по баннеру согласия на использование cookie.

Рекламные cookie и cookie третьих сторон для отслеживания между сайтами не используются.

8. Сроки хранения данных

• Данные аккаунта хранятся в течение всего срока действия аккаунта пользователя.
• При удалении аккаунта персональные данные удаляются в течение 30 календарных дней, за исключением сведений, хранение которых обязательно по законодательству РФ (например, документы по платежам — в течение сроков, установленных налоговым и бухгалтерским законодательством, 54-ФЗ).
• Данные, оставленные через форму обратной связи, хранятся до их удаления владельцем визитки, отзыва согласия субъектом или удаления аккаунта владельца.
• Cookie аутентификации действуют в течение срока сессии Supabase Auth; cookie-consent хранится до его явного удаления пользователем.

9. Права субъекта персональных данных

В соответствии со ст. 14 152-ФЗ вы имеете право:

• получить сведения о наличии своих персональных данных, об их обработке, источниках и сроках обработки;
• требовать уточнения, блокирования или уничтожения данных в случае их неполноты, неточности, незаконного получения или утраты необходимости в их обработке;
• удалить аккаунт и связанные персональные данные — функция реализована в Личном кабинете: раздел «Биллинг» → кнопка «Удалить аккаунт». После подтверждения персональные данные удаляются в течение 30 дней (с сохранением обязательных учётных документов). В качестве альтернативы можно направить запрос на support@trainkey.ru;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Для реализации своих прав направьте запрос на support@trainkey.ru с указанием ФИО, email, использованного при регистрации, и существа требования. Ответ предоставляется в срок, установленный 152-ФЗ.

10. Меры защиты данных

Оператор применяет организационные и технические меры защиты персональных данных: хранение паролей в виде хэшей, контроль доступа на уровне строк базы данных (Row Level Security), шифрование передачи данных (HTTPS/TLS), защита от CSRF и XSS, хэширование IP-адресов, ограничение частоты запросов.

11. Изменения Политики

Оператор оставляет за собой право обновлять настоящую Политику. Об изменениях пользователи уведомляются через Сервис или по электронной почте. Продолжение использования Сервиса после вступления изменений в силу означает согласие с обновлённой редакцией Политики.