Политика обработки персональных данных

Оператор сервиса: Тихомиров Никита Витальевич. Контактный телефон: 8 980 068 4940. Обращения принимаются через чат поддержки на сайте, форму запроса данных на этой странице и Telegram-бот @MoyaZapis_support_bot.

Политика применяется к сайту, PWA, публичным страницам записи, виджетам, страницам отмены/переноса/отзыва, профилю клиента, кабинету подключённой организации, супер-админке, чату поддержки, AI-чату, AI-примерке, уведомлениям и связанным backend-функциям.

Платформа является самостоятельным оператором данных аккаунтов, обращений в поддержку, безопасности, собственных журналов, заявок на подключение и иных целей, которые она определяет самостоятельно.

Подключённая организация является самостоятельным оператором данных своих клиентов, сотрудников и мастеров, когда определяет цели записи, оказания услуги, клиентской истории, рассылок, отзывов и внутренней аналитики. Для технического выполнения этих операций платформа действует по поручению организации в пределах отдельного договора или условий подключения.

Когда организация передаёт или публикует через платформу данные мастеров, сотрудников, администраторов или подрядчиков, включая имя, фото, специализацию, расписание, контакты, публичную карточку, портфолио и отзывы, она отвечает за информирование этих лиц, правовое основание, сроки и отзыв публикации. Платформа обрабатывает такие данные в пределах поручения и не становится кадровым архивом организации.

Если платформа использует данные организации для собственной самостоятельной цели, не входящей в поручение, она отвечает за такую обработку как самостоятельный оператор. Роли сторон нельзя менять одной общей оговоркой или перекладывать на пользователя.

Сервис может обрабатывать имя, логин, email, телефон, выбранную услугу, сотрудника или мастера, дату и время визита, историю записей, статусы посещения, причины переноса/неявки, отзывы, рейтинги, комментарии, технические идентификаторы, IP и user-agent в журналах безопасности, настройки уведомлений, маркетинговые согласия и данные клиентского профиля.

При включении Web/PWA Push обрабатываются адрес push endpoint, его хеш, открытый ключ подписки p256dh, ключ auth, тип кодирования, срок подписки, user-agent, время и результат доставки. Эти значения нужны для зашифрованной доставки уведомления конкретному браузеру и не используются как рекламный профиль.

Для рекламных баннеров платформа хранит только агрегированные счётчики показов и кликов по дню, баннеру и организации без client ID, телефона, email, рекламного cookie или истории поведения конкретного посетителя.

Клиентский профиль может содержать фото профиля, несколько телефонов с метками, Telegram, VK-уведомления, иные вручную указанные контакты, заметки пользователя и историю записей, если пользователь заполнил эти данные самостоятельно или они появились в связи с записью.

Комментарии к записи, причины отмены, переноса или неявки, заметки профиля и статуса визита являются свободным текстом и могут случайно содержать лишние или чувствительные сведения. Пользователь и организация не должны помещать туда диагнозы, документы, платёжные реквизиты, точные адреса, семейные обстоятельства, пароли или иные секреты; сервис вправе ограничить, скрыть или удалить избыточный текст.

Публичное распространение персональных данных пользователя, включая показ имени или никнейма, фото, текста отзыва, оценки, изображения в публичной карточке, рекламе, портфолио или кейсе, не входит в базовое согласие на запись и выполняется только при отдельном действии пользователя, отдельном согласии или ином законном основании. По умолчанию сервис должен показывать минимум данных и может скрывать или обезличивать отзыв, фото либо материал.

Отзыв без отдельного согласия на распространение сохраняется только как непубличная обратная связь. Владелец организации и массовые операции кабинета не могут опубликовать такой отзыв.

Для локального входа сервис хранит логин, email, телефон и технический хеш пароля. Открытый пароль не должен храниться в базе данных; пользователь обязан сохранить пароль самостоятельно.

Для владельцев организаций и сотрудников могут обрабатываться данные аккаунта, привязанные OAuth-идентификаторы, локальный логин, email, телефон, роль, салон или организация, логотипы, вывески, фото салона, фото мастеров, расписание, услуги, внутренние настройки, технические параметры, история действий и данные, необходимые для управления кабинетом.

Платформа не предназначена для хранения трудовых договоров, паспортов, СНИЛС, ИНН, зарплатных сведений, табелей, кадровых приказов, медосмотров, дисциплинарных документов или иных HR-архивов сотрудников и подрядчиков подключённой организации без отдельной функции, договора и правовой проверки.

Данные используются для создания и сопровождения записи, подтверждения визита, переноса и отмены, напоминаний, обратной связи, отображения истории записей, профиля клиента, работы расписания, аналитики явки, повторных клиентов, эффективности услуг и мастеров, отзывов, поддержки и безопасности.

Супер-админка проекта используется для технического управления платформой, настройки доступных функций подключённых организаций, диагностики, поддержки, безопасности, анализа использования функций и выполнения законных обязанностей оператора. В кабинете организации не отображаются закрытые данные супер-админки проекта.

Маркетинговые рассылки через доступные каналы используются только при отдельном согласии на маркетинг или ином законном основании. Отказ от маркетинга не отменяет сервисные уведомления по записи.

Неперсонализированный показ рекламного баннера и агрегированный учёт его показа или клика не означают согласия на прямую рассылку, передачу контакта рекламодателю или построение рекламного профиля.

Обработка выполняется по отдельному согласию, для заключения и исполнения записи или договора, выполнения требований закона, защиты прав и безопасности сервиса, а также по поручению подключённой организации, когда цели определяет она. Для каждой функции применяется только то основание, которое соответствует фактической цели, составу данных и роли стороны.

Платформа не принимает юридически значимые решения о пользователе исключительно автоматически. AI-подсказки, антиспам, лимиты, модерация, диагностика и аналитика являются техническими сигналами; блокировка, отказ, публикация, восстановление доступа и спорные действия должны иметь возможность ручной проверки уполномоченным лицом.

Комментарий, причина неявки, переноса или отмены и внутренняя заметка сами по себе не должны использоваться для автоматического отказа в услуге, блокировки, дискриминационного профилирования или иного существенно неблагоприятного решения без отдельного правового основания и ручной проверки.

Если для новой функции не определены цель, состав данных, получатели, срок хранения, правовое основание, доказательство согласия или поручения и порядок отзыва, такая функция должна оставаться выключенной до обновления документов и внутренних процедур.

Платформа может использоваться не только beauty/wellness-организациями, но и барбершопами, клиниками, стоматологиями, автосервисами, шиномонтажами, образовательными, консультационными, бытовыми и иными законными услугами по предварительной записи.

Если пользователь сам сообщает сведения о здоровье, аллергиях, медицинской процедуре, диагнозе, ограничениях, детях, документах или иных чувствительных обстоятельствах, такие сведения могут считаться специальными или повышенно рискованными данными. Пользователь не должен отправлять лишние сведения, если они не нужны для записи.

Подключённая организация из регулируемой сферы обязана самостоятельно обеспечить информирование, согласия, лицензии, медицинские документы, правила хранения и иные специальные требования, если они применимы к её деятельности.

Сайт использует необходимые cookies, localStorage и похожие браузерные хранилища для входа, сохранения согласий, PWA-установки, уведомлений, безопасности, защиты от повторных действий, запоминания настроек и работы интерфейса.

На устройстве могут локально сохраняться токен текущего входа, сведения для будущего напоминания о записи, история автономного чата техработ и очередь ещё не отправленных обращений. Эти данные доступны людям и программам, имеющим доступ к профилю браузера; на общем или чужом устройстве пользователь должен выйти из аккаунта и очистить данные сайта.

История автономного чата хранится в браузере не более 24 часов, а неотправленное обращение — не более 72 часов и затем отбрасывается при следующем открытии страницы или обработке очереди. Удаление данных браузера прекращает локальное хранение раньше; платформа не может дистанционно очистить выключенное или недоступное устройство.

Локальные сведения для напоминания о записи хранятся до срабатывания соответствующего напоминания и затем удаляются приложением. Календарный файл и запись, уже добавленные пользователем в сторонний календарь, контролируются самим пользователем и поставщиком календаря.

Аналитические или рекламные cookies не являются обязательными для записи и не должны использоваться как обязательное условие сервиса без отдельного правового основания или согласия, если оно требуется.

Выбор пользователя хранится локально. Если необязательные категории фактически не подключены, кнопка разрешения не означает скрытого запуска аналитики или рекламы. При подключении таких категорий сервис обязан предоставить управление выбором и возможность его изменить.

Web/PWA push-уведомления работают только при поддержке браузера и операционной системы, после разрешения пользователя и при доступности service worker. Звук, вибрация и показ в шторке зависят от настроек устройства, режима энергосбережения, браузера и PWA-установки.

Пользователь может запретить уведомления в настройках браузера или устройства и направить запрос на удаление серверной push-подписки. При подтверждённом запросе на удаление профиля связанные push endpoint и ключи удаляются; недействительная подписка также отзывается после ответа push-провайдера или серии ошибок доставки.

Сервисные уведомления могут отправляться через Web/PWA Push, Telegram, VK, календарные файлы и SMS, если канал подключён, разрешён настройками и есть согласие или иное законное основание. Email/почта не используется как канал отправки уведомлений, регистрации, восстановления доступа или маркетинга.

Обычные SMS на телефон могут отправляться только через провайдера и ключи, подключённые самой организацией. Платформа не гарантирует доставку SMS, сообщений в мессенджерах, push-уведомлений или календарных напоминаний.

Для VK/Telegram отправка возможна только при наличии технического идентификатора пользователя или чата, согласия/инициирования диалога и соблюдения правил соответствующей платформы. Иные контакты, если пользователь указал их вручную, не становятся автоматическим каналом рассылки платформы без отдельной реализации, правового основания и обновления документов.

Внешний, в том числе зарубежный, AI для текстовых чатов включается только отдельным необязательным согласием рядом с формой. Без согласия используется локальный помощник и база знаний, а внешний AI не вызывается.

Подробные условия отдельного согласия на внешний AI и OCR опубликованы на странице /external-ai-consent; они не заменяют базовое согласие на обработку персональных данных и применяются только к соответствующим необязательным функциям.

Перед отправкой текста во внешний AI backend применяет privacy firewall: скрывает или токенизирует имя и ФИО, телефон, e-mail, адреса, идентифицирующий город и место работы, IP, ссылки, логины, соцсети, номера записей/заказов, пароли, токены, cookies, паспортные, платёжные и налоговые идентификаторы, СНИЛС, ИНН, дату рождения и чувствительные сведения о здоровье, включая аллергии.

Внешний AI получает только очищенный текст и технические токены вроде [NAME_1], [PHONE_1], [MASTER_1]. Таблица соответствий остаётся на backend сервиса и не передаётся провайдеру. Обратная подстановка, если она нужна пользователю, выполняется только локально на backend.

Чаты разделяются по назначению и контексту: общий помощник сайта, чат страницы записи конкретного салона, чат при техработах и чат салонной админки. История одного салона, пользователя, сессии или типа чата не должна использоваться как контекст другого салона или другого типа чата.

AI-функции не предназначены для принятия полностью автоматизированных решений, которые создают юридические последствия для пользователя или существенно влияют на его права. Подсказки AI являются вспомогательными, а окончательные решения по записи, услуге, цене, безопасности процедуры, ответу клиенту и публикации материалов принимает человек или подключённая организация.

Очистка строится по принципам минимизации, токенизации, удаления и обобщения признаков. Если сообщение, файл или контекст нельзя привести к виду, в котором внешний получатель не сможет определить человека без локального ключа, такой материал не должен передаваться во внешний AI и обрабатывается локально или отклоняется.

AI-примерка может использоваться для визуальной идеи причёски, цвета волос, макияжа, ногтей, бровей, бороды, одежды, аксессуаров или другого образа. Результат является иллюстрацией и не гарантирует фактический результат услуги, цвет, форму, безопасность процедуры, размер, посадку или медицинский эффект.

Фото с лицом или телом обрабатывается не для идентификации личности, не для создания, сравнения или хранения биометрических шаблонов и не для подключения к государственным или коммерческим биометрическим системам. Если в будущем появится сценарий биометрической идентификации, он должен быть включён только после отдельного правового основания, отдельного согласия и обновления документов.

Для одной примерки можно загрузить до 10 изображений. Требуется отдельное согласие на передачу самих изображений внешнему, в том числе зарубежному, техническому AI-провайдеру. Перед отправкой backend удаляет EXIF/XMP/GPS/comment metadata, ограничивает размер файла, перекодирует изображение и очищает текстовое описание.

Подробные условия отдельного согласия на фото-AI и AI-примерку опубликованы на странице /photo-ai-consent; они применяются только к передаче изображения внешнему image-AI-провайдеру.

Во внешний image-AI передаётся визуальное содержимое загруженного изображения, очищенное текстовое описание задачи примерки, выбранный сценарий, технические параметры модели и размер/формат изображения. Это делается только для генерации или редактирования результата примерки; без согласия на такую передачу AI-примерка недоступна, но обычная онлайн-запись, профиль, просмотр услуг и базовые функции сайта могут использоваться без этой фото-функции.

Даже после удаления метаданных внешний image provider получает визуальное содержимое изображения, включая лицо, тело, предметы, интерьер или другие признаки, если они есть на фото. Поэтому фото с лицом или иными идентифицирующими признаками может относиться к биометрическим или чувствительным персональным данным. Если пользователь не готов к такой обработке, он не должен использовать AI-примерку.

Сервис не использует загруженные изображения и тексты для собственного обучения моделей. Для применяемых API должны быть отключены обучение и необязательное журналирование на стороне провайдера; текстовые OpenRouter-запросы дополнительно ограничиваются маршрутизацией data_collection=deny. Фактические сроки технического хранения и исключения на стороне внешнего image provider определяются его условиями и договором, поэтому оператор обязан проверить их до production-включения функции.

Голосовой ввод в чате выполняется встроенными средствами браузера, клавиатуры или операционной системы устройства. Сервис не отправляет аудиофайлы в облачную транскрибацию Groq/OpenAI/Whisper; если диктовка недоступна, текст нужно ввести вручную.

Импорт прайса из изображений или скан-PDF через внешний OCR выполняется только при явном согласии владельца организации и после очистки метаданных. Внешний OCR всё равно видит визуальный текст внутри файла, поэтому документы с лишними персональными данными, лицами, адресами, телефонами или реквизитами нельзя отправлять во внешний OCR.

Пользователь не должен загружать вредоносные файлы, чужие документы, изображения без правового основания, платёжные данные, пароли, токены, ключи доступа или материалы, нарушающие права третьих лиц.

Исходные фото для AI-примерки не сохраняются как постоянные файлы сервиса. Загруженные и сгенерированные материалы AI-примерки не предназначены для долгого хранения и очищаются в течение 24 часов; пользователь должен сохранить результат самостоятельно, если он нужен позднее.

Срок 24 часа относится к файлам и временным материалам, которыми управляет сам сервис. Он не должен толковаться как обещание удалить технические копии у внешнего AI-провайдера быстрее срока, установленного его API-условиями или обязательными требованиями; до включения провайдера оператор обязан проверить и документировать эти сроки.

Текущий базовый регламент: неиспользованные заявки на подключение — до 90 дней после последнего контакта; события входа и безопасности — до 12 месяцев; аккаунты — до удаления аккаунта; записи, профили и отзывы — на период обслуживания организацией и затем до трёх лет для обработки претензий, если закон или договор не требуют другого срока; доказательства согласий, отзывов согласия и исполнения обращений — в течение обработки и до трёх лет после её прекращения для защиты прав.

Сообщения поддержки и их история хранятся на сервере только в объёме и сроке, необходимых для ответа, устранения сбоя, предотвращения повторной обработки и защиты прав. Локальная автономная копия на устройстве ограничена отдельными сроками раздела о браузерном хранении.

Подключённая организация вправе установить более короткий срок для контролируемых ею данных. Для медицинских, бухгалтерских, трудовых и иных специальных документов применяются обязательные отраслевые сроки, и такие документы не должны загружаться в платформу без отдельной проверки допустимости.

Резервные копии и технические журналы очищаются по документированному регламенту, согласованному с фактическими production-настройками. При удалении данных из основной системы они не восстанавливаются в рабочий контур из старой копии, а остаточные следы становятся недоступными и удаляются при плановой ротации.

Данные могут передаваться техническим провайдерам только в объёме, необходимом для работы сервиса: хостинг, база данных, SMS-провайдер организации, мессенджеры, push-инфраструктура браузера, OAuth-провайдеры, AI-провайдеры, системы безопасности и резервного копирования.

Встроенная карта и внешний media URL рекламного баннера загружаются браузером с домена соответствующего картографического сервиса или медиахоста. Такой получатель технически может увидеть IP-адрес, user-agent, время запроса и собственные сетевые идентификаторы; платформа устанавливает политику no-referrer, но не управляет самостоятельными журналами и cookies внешнего домена.

Переход по рекламной ссылке или кнопке карты открывает внешний сайт с его собственными правилами. До подключения iframe или внешнего медиахоста оператор проверяет домен, назначение, договорные условия, страну обработки и отсутствие скрытых трекеров; непроверенный ресурс не должен включаться.

Открытые персональные данные основной базы хранятся в рабочей инфраструктуре сервиса. Внешние AI-запросы по тексту передаются только после локальной очистки и токенизации. Изображения для AI-примерки передаются внешнему image provider, в том числе через OpenRouter/Gemini image-модели или иной настроенный API, только по отдельному согласию пользователя, потому что визуальное содержимое необходимо для функции.

Оператор должен учитывать достаточность выбранного способа обезличивания, состав удаляемых признаков, риск ре-идентификации по косвенным данным, раздельность исходников и токенов, учёт операций и доступ к локальным ключам восстановления.

Отдельные проверки, уведомления, договоры и согласования по внешним получателям выполняются вне интерфейса сайта. Согласие пользователя на функцию не означает, что такие внутренние проверки автоматизированы или уже завершены.

Если для внешней функции не подтверждены основание передачи, договорные условия, оценка получателя, запрет обучения или настройки хранения, функция должна оставаться выключенной. Техническая очистка снижает риски, но не является заменой отдельных юридических процедур.

Сервис применяет разграничение ролей, авторизацию, сессии, rate limit, защиту от повторных действий, маскирование диагностических логов, fail-closed проверки внешних провайдеров и отдельные права для супер-админки и кабинета организации.

Диагностические логи SMS, мессенджеров и AI должны маскировать телефоны, e-mail, JWT, API-ключи, токены и похожие секреты. AI-аудит для владельца проекта получает только то, что видел provider после очистки, и не должен содержать таблицы соответствий токенов, raw media bytes, data URL или base64 изображений.

Если подключённая организация выгружает отчёты, клиентскую базу или аналитику из кабинета в CSV, CRM, таблицы, мессенджеры или иные внешние системы, такие копии находятся под контролем организации. Платформа не может автоматически удалить или исправить внешние копии, но организация должна исполнять применимые запросы субъектов и запреты на маркетинг в своих системах.

При инциденте, затрагивающем права субъектов, оператор блокирует рискованную обработку, сохраняет доказательства, проводит внутреннее расследование и запускает необходимые уведомления и меры реагирования в установленные сроки.

Если инцидент возник на стороне подключённой организации, её сотрудников, устройств, внешних таблиц, мессенджеров или иных систем вне платформы, организация самостоятельно выполняет обязанности оператора и уведомляет платформу, если затронуты данные, доступы или функции сервиса. Платформа помогает только в пределах доступных ей журналов, поручения и технического контроля.

Несмотря на меры безопасности, пользователь должен учитывать риски сети, устройства, браузера, внешних провайдеров, ошибок интеграции, человеческого фактора и не отправлять через сервис лишние секреты или данные, не требующиеся для записи.

Пользователь может запросить доступ к сведениям об обработке, копию доступных данных, уточнение, блокирование, удаление, прекращение обработки или отзыв согласия, если это применимо к конкретной ситуации и не противоречит обязательному хранению или иному законному основанию.

Запрос можно отправить через форму ниже, чат поддержки или официальный Telegram-бот. Для защиты от удаления чужих данных или восстановления чужого аккаунта сервис может запросить подтверждение телефона, email, логина, связанного аккаунта, сведений о последних записях или иной принадлежности записи.

Если запрос касается данных, которые организация уже выгрузила или использует вне платформы, сервис может передать обращение организации или зафиксировать техническое ограничение, но внешние копии должна удалить, уточнить или заблокировать сама организация как самостоятельный оператор этих копий.

Ответ на запрос о наличии и обработке данных предоставляется в течение 10 рабочих дней; срок может быть мотивированно продлён не более чем на 5 рабочих дней. Подтверждённые неточные или избыточные данные уточняются либо уничтожаются в течение 7 рабочих дней.

При достижении цели или отзыве согласия данные уничтожаются в срок до 30 дней, если их нельзя законно продолжить обрабатывать на другом основании. Неправомерная обработка прекращается в срок до 3 рабочих дней, а если сделать её правомерной невозможно, данные уничтожаются в срок до 10 рабочих дней.

Отдельное согласие на публичное распространение персональных данных, отзывов, фото или материалов можно отозвать отдельно от удаления аккаунта и сервисных уведомлений. Публичный доступ к указанным данным прекращается в течение 3 рабочих дней после получения надлежащего требования, если закон не устанавливает иной срок.

Отдельное согласие на маркетинговые рассылки можно отозвать без удаления аккаунта и без отключения сервисных уведомлений по текущим записям.

При завершении подтверждённого запроса на удаление сервис удаляет клиентский профиль, дополнительные телефоны и соцсети, локальную и OAuth-привязку клиента, связанные Web Push-подписки; опубликованный отзыв скрывается и очищается, а необходимая история записи и доставки обезличивается. Доказательства исполнения запроса и сведения, которые должны сохраняться по закону или для подтверждённого спора, могут храниться отдельно без активного использования для обычного сервиса.

Сервис не предназначен для самостоятельной передачи данных детьми без участия законного представителя. Если запись создаётся для ребёнка или загружается изображение ребёнка, пользователь подтверждает наличие полномочий и правового основания.

Подключённая организация обязана учитывать специальные правила работы с несовершеннолетними, медицинскими или образовательными услугами, если они применимы к её деятельности.

Политика может обновляться при изменении функций, провайдеров, законодательства, практики обработки или требований безопасности. Новая редакция действует с момента публикации, если в ней не указан иной срок.

Если изменение затрагивает цели, состав данных, получателей или иные существенные условия ранее предоставленного согласия, сервис запрашивает новое отдельное согласие и фиксирует новую версию. Продолжение использования сайта само по себе не считается новым согласием на обработку или распространение персональных данных.

Политика описывает пользовательский контур обработки и технические меры минимизации рисков. Отдельные юридические проверки оператора, подключённой организации, договоров, уведомлений, лицензий и согласий выполняются вне интерфейса сайта и не являются автоматической функцией сервиса.