Политика в отношении обработки персональных данных

Редакция 1.2 от 27 октября 2026 года

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе Beauty Income (Бьюти Инкам), доступном по адресу beauty-income.ru (далее — Сервис).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и опубликована во исполнение части 2 статьи 18.1 указанного закона вместе со сведениями о реализуемых требованиях к защите персональных данных (раздел 10).

1.3. Политика применяется ко всем персональным данным, которые Оператор получает и обрабатывает в связи с работой Сервиса.

1.4. Действующая редакция Политики размещается по адресу beauty-income.ru/landing/legal/policy.html и доступна любому лицу без ограничений.

1.5. Оператор уведомил уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о намерении осуществлять обработку персональных данных.

1.6. Соотношение документов. В вопросах обработки персональных данных настоящая Политика имеет преимущественную силу над иными документами Оператора. В части коммерческих условий (стоимость, порядок оплаты, сроки оказания услуг) преимущественную силу имеет оферта, размещённая по адресу beauty-income.ru/landing/legal/offer.html.

2. Оператор

Все обращения по вопросам обработки персональных данных направляются на указанный адрес электронной почты.

3. Термины

Пользователь — физическое лицо, которому предоставлен доступ к личному кабинету Сервиса (владелец или руководитель студии).

Клиент Оператора — физическое лицо, заключившее с Оператором договор об использовании Сервиса в предпринимательской или профессиональной деятельности. Указание ИНН и подтверждение статуса индивидуального предпринимателя либо плательщика налога на профессиональный доход для подключения и оплаты подписки не требуются.

Данные студии — сведения о работниках и посетителях студии, поступающие в Сервис из учётных систем Клиента для расчёта показателей его деятельности.

4. Два основания обработки

Оператор обрабатывает персональные данные в двух различных качествах, и от этого зависят как основания обработки, так и объём ответственности.

4.1. Как оператор — в отношении персональных данных Пользователей. Обработка осуществляется:

— для заключения и исполнения договора с Пользователем;

— для предоставления доступа и взаимодействия с Пользователем, представляющим Клиента, а также обеспечения безопасности Сервиса — в объёме, необходимом для осуществления законных интересов Оператора и Клиента, при условии соблюдения прав и свобод Пользователя;

— для защиты прав и законных интересов Оператора при рассмотрении претензий и разрешении споров — в минимально необходимом объёме и при условии соблюдения прав и свобод субъектов персональных данных;

— для исполнения обязанностей Оператора, установленных законодательством Российской Федерации;

— на основании согласия Пользователя в случаях, когда оно необходимо.

Правовые основания: пункты 1, 2, 5 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ.

4.2. Как лицо, осуществляющее обработку по поручению — в отношении Данных студии. Оператором таких данных является Клиент; Оператор обрабатывает их исключительно по поручению Клиента в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ, на основании договора с Клиентом.

Ответственность перед субъектами персональных данных за обработку Данных студии несёт Клиент. Оператор отвечает перед Клиентом.

5. Какие данные обрабатываются

5.1. Персональные данные Пользователей:

• номер телефона (используется как логин);
• адрес электронной почты, выбранный и подтверждённый Пользователем, — для направления чеков, платёжных уведомлений и документов по расчётам;
• сведения, необходимые для доступа: защищённое представление пароля, отметки о попытках входа;
• идентификатор канала связи, выбранного Пользователем для получения уведомлений, и сведения об устройстве, на которое такие уведомления направляются;
• содержание сообщений, которыми Пользователь обменивается с Сервисом и со службой поддержки;
• сведения о действиях Пользователя в личном кабинете: разделы, дата и время, характер действия, сетевой адрес.

5.2. Данные студии, обрабатываемые по поручению Клиента:

• имена работников студии, сведения об оказанных ими услугах и о начисленном вознаграждении;
• сведения о посещениях: дата, состав и стоимость услуг, а также необратимое преобразование номера телефона посетителя.

5.3. Оператор не обрабатывает специальные категории персональных данных, биометрические персональные данные и сведения о судимости.

Полные реквизиты банковских карт, включая полный номер карты и коды её безопасности, Оператору не передаются и у него не хранятся. Их обработку при оплате осуществляет платёжный сервис.

5.4. Фамилии, имена и номера телефонов посетителей студий в Сервисе не хранятся. Номер телефона преобразуется в необратимое значение, используемое исключительно для того, чтобы отличать одного посетителя от другого при подсчёте показателей.

6. Цели обработки

Обработка в иных целях не осуществляется.

7. Порядок и условия обработки

7.1. Обработка осуществляется автоматизированным способом. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных.

7.2. Совершаемые действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление доступа Клиенту, передача (предоставление) третьим лицам в случаях, предусмотренных пунктом 7.6 настоящей Политики, обезличивание, блокирование, удаление, уничтожение.

7.3. Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации. Резервные копии хранятся в зашифрованном виде также на территории Российской Федерации.

7.4. Уведомления. Отчёты и уведомления о показателях деятельности студии направляются по каналам связи, выбранным Пользователем, включая мессенджеры и сервисы push-уведомлений. Пользователь вправе изменить или отключить эти каналы в Личном кабинете.

Платёжные уведомления направляются в порядке, установленном офертой: через подключённого Telegram-бота Сервиса, а при невозможности отправки через него — на адрес электронной почты, выбранный и подтверждённый Пользователем.

Чеки направляются на выбранный адрес электронной почты в порядке, установленном офертой и законодательством о налоге на профессиональный доход.

Отключение отчётов и уведомлений о показателях деятельности студии само по себе не отменяет автоматические списания. Отказ от автоматических списаний осуществляется отдельно в порядке, установленном офертой.

7.5. Файлы cookie. Оператор использует файлы cookie двух видов.

Технические (обязательные) — в личном кабинете, необходимы для:

• авторизации и аутентификации Пользователя;
• поддержания сеанса работы;
• защиты учётной записи от несанкционированного доступа.

Они не используются в рекламных целях, не применяются для профилирования и не передаются третьим лицам. Их отключение в настройках браузера делает работу в личном кабинете невозможной. Согласия они не требуют: без них услуга не оказывается.

Аналитические — на информационных страницах сайта. С согласия посетителя Оператор использует сервис Яндекс Метрика для анализа посещаемости и улучшения сайта. При работе счётчика поставщику сервиса «Яндекс Метрика», указанному в условиях использования сервиса, передаются технические сведения о посещении: адрес и название страницы, источник перехода, сведения о браузере, операционной системе и устройстве, размерах экрана, языке и часовом поясе, идентификаторы браузера и посещения, время посещения и действия на сайте, включая клики, переходы и выбор периода в калькуляторе тарифов. При сетевом соединении поставщик сервиса также получает IP-адрес посетителя. Данные обрабатываются на территории Российской Федерации.

Аналитические файлы cookie устанавливаются только с согласия посетителя, которое запрашивается баннером при первом визите. Отказ от них не ограничивает доступ к сайту. В личном кабинете сервисы веб-аналитики не используются. Для дополнительного ограничения сбора сведений посетитель может использовать официальное расширение «Блокировщик Яндекс Метрики».

7.6. Оператор передаёт персональные данные третьим лицам при наличии предусмотренного законодательством Российской Федерации основания, в том числе согласия субъекта на соответствующую передачу либо необходимости исполнения договора в случаях, предусмотренных законом. Передача осуществляется только в объёме и для целей, соответствующих этому основанию.

При оплате услуг через платёжный сервис Robokassa выбранный и подтверждённый Пользователем адрес электронной почты передаётся этому сервису для направления чеков и уведомлений, связанных с оплатой.

Данные работников и посетителей студии, получаемые для расчёта показателей её деятельности, платёжному сервису для оплаты услуг Beauty Income не передаются.

Обработка данных на стороне платёжного сервиса осуществляется в соответствии с законодательством Российской Федерации и его политикой обработки персональных данных.

8. Сроки обработки

8.1. Персональные данные Пользователя обрабатываются в течение срока действия договора с Клиентом и уничтожаются в течение 30 календарных дней после его прекращения, за исключением служебных журналов, сроки хранения которых указаны в пункте 8.3, резервных копий, выводимых из обращения в порядке пункта 8.6, и данных, хранение которых обязательно в силу федерального закона.

Данные, подлежащие обязательному хранению, сохраняются только в необходимом объёме и в течение установленного законом срока. После прекращения основания для обязательного хранения они подлежат уничтожению в порядке и сроки, предусмотренные законодательством.

8.2. Данные студии обрабатываются в течение срока действия поручения Клиента и уничтожаются в основной информационной системе в течение 30 календарных дней после его прекращения, если Клиент не потребовал их уничтожения ранее, за исключением сведений, обязательных к хранению по федеральному закону. Для ранее созданных резервных копий применяется порядок пункта 8.6.

8.3. Служебные журналы Сервиса хранятся ограниченное время и удаляются автоматически: сведения о действиях в кабинете — 180 дней, сведения о просмотренных разделах — 90 дней, сообщения бота — 90 дней, обращения в поддержку — 90 дней, сведения о событиях безопасности — 180 дней, переписка Оператора с Пользователем — до одного года.

Отдельные минимально необходимые сведения, подтверждающие заключение и исполнение договора, получение и отзыв согласий, направление юридически значимых уведомлений и рассмотрение претензий, могут сохраняться для защиты прав и законных интересов Оператора не более трёх лет после прекращения договора при условии соблюдения прав и свобод субъектов персональных данных.

Если до истечения указанного срока возник спор, необходимые для его разрешения сведения могут сохраняться до завершения разбирательства и исполнения принятого решения. После прекращения основания хранения сведения уничтожаются в установленном законом порядке.

Такое хранение не распространяется на всю рабочую базу данных студии и не допускает использования сохранённых сведений для иных целей.

8.4. Прекращение оплаты не влечёт немедленного уничтожения данных: доступ к Сервису приостанавливается, данные сохраняются до прекращения договора.

8.5. Факт уничтожения персональных данных подтверждается актом об уничтожении и выгрузкой из журнала регистрации событий информационной системы.

8.6. Резервные копии хранятся в зашифрованном виде не более 30 календарных дней с даты создания, после чего выводятся из обращения и уничтожаются.

8.7. Персональные данные посетителей сайта, собираемые для веб-аналитики, обрабатываются не дольше, чем это необходимо для анализа посещаемости и улучшения сайта.

При отзыве согласия прекращаются дальнейший сбор и передача данных счётчиком на сайте. Обработка ранее полученных персональных данных при отсутствии другого законного основания прекращается, а данные уничтожаются в порядке и сроки, предусмотренные законодательством Российской Федерации.

Сроки действия отдельных аналитических файлов cookie указаны в официальной документации Яндекс Метрики. Срок действия cookie не определяет срок хранения уже переданных сервису данных.

9. Права субъекта персональных данных

9.1. Субъект вправе получить сведения об обработке его персональных данных, требовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми для заявленной цели, а также отозвать согласие на обработку.

9.2. Запрос направляется на адрес info@beauty-income.ru. Перед предоставлением сведений, содержащих персональные данные, Оператор проверяет личность заявителя, а при обращении представителя — также его полномочия, в порядке, предусмотренном законодательством Российской Федерации. Для проверки могут запрашиваться только необходимые для этого сведения.

Сведения предоставляются в течение десяти рабочих дней с момента обращения. Срок может быть продлён не более чем на пять рабочих дней с направлением мотивированного уведомления. Проверка заявителя не перезапускает отсчёт срока рассмотрения обращения.

9.3. Обращения работников и посетителей студий. Оператором их данных является студия. Такие обращения следует направлять непосредственно в студию; при поступлении обращения Оператору оно будет передано соответствующему Клиенту.

9.4. При отзыве согласия обработка персональных данных может продолжаться только при наличии другого предусмотренного законом основания, указанного в пункте 4.1 настоящей Политики, в необходимом для соответствующей цели объёме и в течение необходимого срока.

При отсутствии такого основания Оператор прекращает обработку и уничтожает персональные данные в порядке и сроки, установленные законодательством Российской Федерации, с учётом раздела 8 настоящей Политики.

10. Меры защиты

Оператором приняты правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ, в том числе:

• издание настоящей Политики и внутренних документов по вопросам обработки персональных данных;
• оценка вреда, который может быть причинён субъектам персональных данных;
• изоляция данных Клиентов: сведения каждого Клиента отделены от сведений иных лиц на уровне модели данных, доступ предоставляется только уполномоченным лицам;
• защита соединения: передача данных осуществляется по протоколу HTTPS, применяется механизм строгой транспортной безопасности (HSTS) и политика безопасности содержимого (CSP);
• пароли не хранятся: сохраняется только результат их необратимого криптографического преобразования (scrypt);
• защита сеансов: сеансовые файлы cookie недоступны сценариям страницы и передаются только по защищённому соединению; в базе данных хранится не сам сеансовый токен, а его необратимое преобразование;
• ограничение попыток входа: блокировка учётной записи после серии неудачных попыток и ограничение частоты обращений;
• двухфакторная аутентификация для служебного (операторского) доступа;
• шифрование ключей доступа к внешним системам Клиента алгоритмом AES-256-GCM; ключ шифрования хранится отдельно от базы данных;
• защита номеров телефонов посетителей: вместо номера сохраняется результат его необратимого преобразования; дополнительный секрет, используемый при преобразовании, хранится вне базы данных;
• регистрация действий: ведутся журналы действий в кабинете, служебных действий и событий безопасности с автоматическим выявлением попыток подбора паролей;
• маскирование конфиденциальных значений перед записью в журналы;
• резервное копирование: ежедневные копии в зашифрованном виде (GPG AES-256) с хранением на территории Российской Федерации и регулярной проверкой восстановления;
• контроль за принимаемыми мерами и их периодический пересмотр.

11. Изменение Политики

11.1. Оператор вправе изменять Политику. Действующая редакция размещается по адресу, указанному в пункте 1.4, с указанием даты редакции.

11.2. Существенные изменения доводятся до Пользователей через личный кабинет либо по выбранному каналу связи.