Политика в отношении обработки персональных данных

Редакция 1.1 от 7 сентября 2026 года

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе Beauty Income (Бьюти Инкам), доступном по адресу beauty-income.ru (далее — Сервис).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и опубликована во исполнение части 2 статьи 18.1 указанного закона вместе со сведениями о реализуемых требованиях к защите персональных данных (раздел 10).

1.3. Политика применяется ко всем персональным данным, которые Оператор получает и обрабатывает в связи с работой Сервиса.

1.4. Действующая редакция Политики размещается по адресу beauty-income.ru/landing/legal/policy.html и доступна любому лицу без ограничений.

1.5. Оператор уведомил уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о намерении осуществлять обработку персональных данных.

1.6. Соотношение документов. В вопросах обработки персональных данных настоящая Политика имеет преимущественную силу над иными документами Оператора. В части коммерческих условий (стоимость, порядок оплаты, сроки оказания услуг) преимущественную силу имеет оферта, размещённая по адресу beauty-income.ru/landing/legal/offer.html.

2. Оператор

Все обращения по вопросам обработки персональных данных направляются на указанный адрес электронной почты.

3. Термины

Пользователь — физическое лицо, которому предоставлен доступ к личному кабинету Сервиса (владелец или руководитель студии).

Клиент Оператора — индивидуальный предприниматель или организация (студия), заключившая с Оператором договор об использовании Сервиса.

Данные студии — сведения о работниках и посетителях студии, поступающие в Сервис из учётных систем Клиента для расчёта показателей его деятельности.

4. Два основания обработки

Оператор обрабатывает персональные данные в двух различных качествах, и от этого зависят как основания обработки, так и объём ответственности.

4.1. Как оператор — в отношении персональных данных Пользователей. Обработка осуществляется на основании договора, стороной которого является Пользователь (пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ), а также согласия Пользователя, если оно требуется.

4.2. Как лицо, осуществляющее обработку по поручению — в отношении Данных студии. Оператором таких данных является Клиент; Оператор обрабатывает их исключительно по поручению Клиента в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ, на основании договора с Клиентом.

Ответственность перед субъектами персональных данных за обработку Данных студии несёт Клиент. Оператор отвечает перед Клиентом.

5. Какие данные обрабатываются

5.1. Персональные данные Пользователей:

• номер телефона (используется как логин);
• адрес электронной почты — для подтверждения регистрации, восстановления доступа и направления

документов по расчётам;

• сведения, необходимые для доступа: защищённое представление пароля, отметки о попытках входа;
• идентификатор канала связи, выбранного Пользователем для получения уведомлений, и сведения об устройстве, на которое такие уведомления направляются;
• содержание сообщений, которыми Пользователь обменивается с Сервисом и со службой поддержки;
• сведения о действиях Пользователя в личном кабинете: разделы, дата и время, характер действия, сетевой адрес.

5.2. Данные студии, обрабатываемые по поручению Клиента:

• имена работников студии, сведения об оказанных ими услугах и о начисленном вознаграждении;
• сведения о посещениях: дата, состав и стоимость услуг, а также необратимое преобразование номера телефона посетителя.

5.3. Оператор НЕ обрабатывает: специальные категории персональных данных (сведения о состоянии здоровья, национальной принадлежности, политических взглядах, судимости), биометрические персональные данные, а также номера банковских карт и иные платёжные реквизиты: привязку средства платежа выполняет платёжный сервис, Оператору доступен только идентификатор привязки.

5.4. Фамилии, имена и номера телефонов посетителей студий в Сервисе не хранятся. Номер телефона преобразуется в необратимое значение, используемое исключительно для того, чтобы отличать одного посетителя от другого при подсчёте показателей.

6. Цели обработки

Обработка в иных целях не осуществляется.

7. Порядок и условия обработки

7.1. Обработка осуществляется автоматизированным способом. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных.

7.2. Совершаемые действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление доступа Клиенту, блокирование, удаление, уничтожение.

7.3. Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации. Резервные копии хранятся в зашифрованном виде также на территории Российской Федерации.

7.4. Уведомления. Оператор направляет уведомления и отчёты по каналам связи, выбранным самим Пользователем, включая мессенджеры и сервисы push-уведомлений. Выбор канала осуществляется Пользователем самостоятельно в личном кабинете и может быть изменён или отключён им в любой момент.

7.5. Файлы cookie. Оператор использует файлы cookie двух видов.

Технические (обязательные) — в личном кабинете, необходимы для:

• авторизации и аутентификации Пользователя;
• поддержания сеанса работы;
• защиты учётной записи от несанкционированного доступа.

Они не используются в рекламных целях, не применяются для профилирования и не передаются третьим лицам. Их отключение в настройках браузера делает работу в личном кабинете невозможной. Согласия они не требуют: без них услуга не оказывается.

Аналитические — на информационных страницах сайта. Оператор использует сервис веб-аналитики Яндекс Метрика для сбора обезличенной статистики посещений: источники переходов, просмотренные страницы, тип устройства и браузера, примерное местоположение по сетевому адресу. Данные обрабатываются на территории Российской Федерации.

Аналитические файлы cookie устанавливаются только с согласия посетителя, которое запрашивается баннером при первом визите. Отказ от них не ограничивает доступ к сайту. В личном кабинете сервисы веб-аналитики не используются.

7.6. Оператор не раскрывает персональные данные третьим лицам, за исключением случаев, когда это необходимо для исполнения договора с Клиентом либо предусмотрено законодательством Российской Федерации.

8. Сроки обработки

8.1. Персональные данные Пользователя обрабатываются в течение срока действия договора с Клиентом и уничтожаются в течение 30 дней после его прекращения, за исключением служебных журналов, сроки хранения которых указаны в пункте 8.3, и резервных копий, выводимых из обращения в порядке пункта 8.6.

8.2. Данные студии обрабатываются в течение срока действия поручения Клиента и уничтожаются в течение 30 дней после его прекращения, если Клиент не потребовал их уничтожения ранее.

8.3. Служебные журналы Сервиса хранятся ограниченное время и удаляются автоматически: сведения о действиях в кабинете — 180 дней, сведения о просмотренных разделах — 90 дней, сообщения бота — 90 дней, обращения в поддержку — 90 дней, сведения о событиях безопасности — 180 дней, переписка Оператора с Пользователем — до одного года.

8.4. Прекращение оплаты не влечёт немедленного уничтожения данных: доступ к Сервису приостанавливается, данные сохраняются до прекращения договора.

8.5. Факт уничтожения персональных данных подтверждается актом об уничтожении и выгрузкой из журнала регистрации событий информационной системы.

8.6. Резервные копии хранятся в зашифрованном виде 30 календарных дней и выводятся из обращения по истечении этого срока; отдельное удаление данных из ранее созданных копий технически невозможно.

9. Права субъекта персональных данных

9.1. Субъект вправе получить сведения об обработке его персональных данных, требовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми для заявленной цели, а также отозвать согласие на обработку.

9.2. Запрос направляется на адрес info@beauty-income.ru. Сведения предоставляются в течение десяти рабочих дней с момента обращения. Срок может быть продлён не более чем на пять рабочих дней с направлением мотивированного уведомления.

9.3. Обращения работников и посетителей студий. Оператором их данных является студия. Такие обращения следует направлять непосредственно в студию; при поступлении обращения Оператору оно будет передано соответствующему Клиенту.

9.4. При отзыве согласия Оператор вправе продолжить обработку данных, необходимых для исполнения договора, на основании пункта 5 части 1 статьи 6 Федерального закона № 152-ФЗ. Такие данные обрабатываются до прекращения договора и уничтожаются в порядке раздела 8.

10. Меры защиты

Оператором приняты правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ, в том числе:

• издание настоящей Политики и внутренних документов по вопросам обработки персональных данных;
• оценка вреда, который может быть причинён субъектам персональных данных;
• изоляция данных Клиентов: сведения каждого Клиента отделены от сведений иных лиц на уровне модели данных, доступ предоставляется только уполномоченным лицам;
• защита соединения: передача данных осуществляется по протоколу HTTPS, применяется механизм строгой транспортной безопасности (HSTS) и политика безопасности содержимого (CSP);
• пароли не хранятся: сохраняется только результат их необратимого криптографического преобразования (scrypt);
• защита сеансов: сеансовые файлы cookie недоступны сценариям страницы и передаются только по защищённому соединению; в базе данных хранится не сам сеансовый токен, а его необратимое преобразование;
• ограничение попыток входа: блокировка учётной записи после серии неудачных попыток и ограничение частоты обращений;
• двухфакторная аутентификация для служебного (операторского) доступа;
• шифрование ключей доступа к внешним системам Клиента алгоритмом AES-256-GCM; ключ шифрования хранится отдельно от базы данных;
• обезличивание номеров телефонов посетителей: сохраняется только необратимое преобразование, дополнительный секрет для которого хранится вне базы данных;
• регистрация действий: ведутся журналы действий в кабинете, служебных действий и событий безопасности с автоматическим выявлением попыток подбора паролей;
• маскирование конфиденциальных значений перед записью в журналы;
• резервное копирование: ежедневные копии в зашифрованном виде (GPG AES-256) с хранением на территории Российской Федерации и регулярной проверкой восстановления;
• контроль за принимаемыми мерами и их периодический пересмотр.

11. Изменение Политики

11.1. Оператор вправе изменять Политику. Действующая редакция размещается по адресу, указанному в пункте 1.4, с указанием даты редакции.

11.2. Существенные изменения доводятся до Пользователей через личный кабинет либо по выбранному каналу связи.