← finance.convy.ru

Политика в отношении обработки персональных данных

Документ описывает, какие сведения о Пользователе обрабатывает сервис «Финансы», зачем, на каком основании и как долго.

Редакция от 2026-09-11. Действующая редакция всегда доступна по адресу https://finance.convy.ru/privacy.

1. Общие положения

1.1. Настоящая Политика составлена в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Индивидуальный предприниматель Рожнов Алексей Игоревич, ИНН 190903086961, ОГРНИП 319190100008077 (далее — Оператор).

1.2. Политика применяется ко всем сведениям, которые Оператор получает о посетителях и пользователях сайта https://finance.convy.ru (далее — Сервис).

1.3. Ответственным за организацию обработки персональных данных является сам Оператор. Обращения направляются на адрес gast213@yandex.ru.

1.4. Обработка персональных данных осуществляется автоматизированным способом с передачей по информационно-телекоммуникационным сетям.

2. Принципы обработки

2.1. Оператор обрабатывает персональные данные на следующих принципах (ст. 5 Закона):

  • обработка ограничена достижением конкретных, заранее определённых и законных целей;
  • обрабатываются только те данные, которые отвечают целям обработки; их состав не является избыточным по отношению к этим целям;
  • не допускается объединение баз данных, обработка в которых ведётся в несовместимых целях;
  • данные хранятся не дольше, чем этого требуют цели обработки, после чего удаляются;
  • Оператор принимает меры к тому, чтобы обрабатываемые данные были точными и достаточными.

2.2. Оператор не запрашивает специальные категории персональных данных (ст. 10 Закона) и биометрические персональные данные (ст. 11 Закона), не предусматривает полей для их внесения и целенаправленно их не обрабатывает. Сервис содержит поля произвольного текста (комментарии к операциям, названия категорий, целей и резервов), которые заполняет сам Пользователь; Пользовательское соглашение запрещает вносить в них такие сведения.

2.3. Оператор не принимает решений, порождающих юридические последствия в отношении Пользователя, исключительно на основании автоматизированной обработки (ст. 16 Закона), и не осуществляет обработку в целях продвижения товаров, работ и услуг.

3. Какие данные обрабатываются, зачем и как долго

3.1. Категории субъектов персональных данных: физические лица, зарегистрировавшие учётную запись в Сервисе, а также посетители сайта.

3.2. Состав обрабатываемых данных, цели, правовые основания и сроки хранения:

Данные Цель Основание Срок хранения
Имя (допускается псевдоним), адрес электронной почты, пароль в виде криптографического хэша Регистрация учётной записи, идентификация и аутентификация, направление сервисных сообщений п. 5 ч. 1 ст. 6 Закона — исполнение Пользовательского соглашения До удаления учётной записи
Служебные атрибуты учётной записи: отметка о подтверждении адреса электронной почты, токен «запомнить меня», токен восстановления пароля, отметка о времени изменения настроек напоминаний Поддержание сеанса работы, подтверждение адреса, восстановление доступа п. 5 ч. 1 ст. 6 Закона — исполнение Пользовательского соглашения До удаления учётной записи; токен восстановления пароля — до его использования, но не более 60 минут
Сведения, вносимые Пользователем: названия, описания и параметры счетов (включая кредитный лимит), категорий (включая значок), целей, фондов и резервов (включая целевую сумму и срок); суммы, даты, типы, комментарии и назначения операций; ключевые слова сопоставления категорий; параметры планируемых платежей, включая периодичность Предоставление функциональности Сервиса — учёт личных финансов, планирование и построение отчётов п. 5 ч. 1 ст. 6 Закона — исполнение Пользовательского соглашения До удаления Пользователем либо до удаления учётной записи
Изображения, загружаемые для импорта операций Автоматическое распознавание сумм, дат и назначений для формирования черновиков операций п. 5 ч. 1 ст. 6 Закона — исполнение Пользовательского соглашения На время распознавания; изображение не включается в состав учётной записи
IP-адрес, сведения о браузере (user-agent), идентификатор сессии Аутентификация, обеспечение безопасности, выявление и пресечение попыток неправомерного доступа п. 5 ч. 1 ст. 6 и п. 7 ч. 1 ст. 6 Закона — исполнение договора и законный интерес Оператора в защите Сервиса Срок жизни сессии; журналы сервера — не более 12 месяцев
IP-адрес, user-agent, запрошенный адрес и время запроса посетителей сайта, не имеющих учётной записи Обеспечение работоспособности и безопасности сайта, журналирование обращений п. 7 ч. 1 ст. 6 Закона — законный интерес Оператора Не более 12 месяцев
Дата и время акцепта, редакция Пользовательского соглашения и Политики, IP-адрес и user-agent в момент акцепта; дата и время дачи и отзыва согласия на обработку данных push-подписки, редакция Согласия, IP-адрес и user-agent Подтверждение факта и условий заключения договора и дачи согласия п. 7 ч. 1 ст. 6 Закона — законный интерес Оператора 3 года после удаления учётной записи или отзыва согласия. Хранится обособленно от учётной записи, в обезличенном по адресу электронной почты виде
Наименование и хэш токена доступа к API, дата последнего использования Доступ к Сервису из внешних приложений по инициативе Пользователя п. 5 ч. 1 ст. 6 Закона — исполнение Пользовательского соглашения До отзыва токена или удаления учётной записи
Адрес (endpoint), открытый ключ и ключ аутентификации push-подписки, выданные браузером Пользователя, способ кодирования содержимого; выбранное время напоминания и дата последней успешной доставки Доставка напоминаний о внесении расходов на устройство Пользователя Согласие Пользователя (ст. 9 Закона), даваемое отдельно до подключения устройства До отключения устройства, отзыва согласия или удаления учётной записи; при отзыве согласия сведения удаляются незамедлительно

3.3. Оператор не собирает сведения, которые Пользователь ему не сообщил. Сервис не подключается к банковским счетам Пользователя, не запрашивает реквизиты платёжных карт и не получает сведения из систем дистанционного банковского обслуживания.

3.4. Сервис использует файлы cookie, технически необходимые для работы аутентификации и защиты форм от межсайтовой подделки запросов. Аналитические и рекламные cookie, счётчики посещаемости и трекеры третьих лиц не используются. Настройки интерфейса (например, выбранная тема оформления) хранятся в браузере Пользователя и Оператору не передаются.

4. Передача данных и обработка по поручению

4.1. Оператор не продаёт персональные данные, не передаёт их в рекламных целях и не раскрывает третьим лицам, кроме случаев, описанных в настоящем разделе и разделе 5, а также случаев, предусмотренных законом.

4.2. К обработке привлекаются следующие лица, действующие по поручению Оператора (ч. 3 ст. 6 Закона), с обязанностью соблюдать конфиденциальность и требования к безопасности:

Лицо Что делает
ООО «ФАСТВПС.РУ» (FASTVPS), ИНН 7814232405, ОГРН 1157847177553, адрес: 197343, г. Санкт-Петербург, ул. Матроса Железняка, д. 57, лит. А, помещ. 119-Н, комн. 4 Размещение и обеспечение работы информационной системы Сервиса, хранение базы данных и файлов
ИП Тутаев А. М. (сервис SMTP.BZ), ИНН 324500745345, ОГРНИП 317325600058090 доставка транзакционных писем (подтверждение адреса электронной почты, восстановление пароля). Передаётся адрес электронной почты и текст письма

4.3. Базы данных Сервиса, содержащие персональные данные граждан Российской Федерации, размещаются на территории Российской Федерации (г. Санкт-Петербург), что соответствует требованию ч. 5 ст. 18 Закона.

4.4. Оператор передаёт персональные данные органам государственной власти в случаях, объёме и порядке, установленных законодательством Российской Федерации.

5. Трансграничная передача персональных данных

5.1. Трансграничная передача персональных данных осуществляется в единственном случае, описанном в п. 5.2 настоящего раздела. Во всех остальных случаях она не осуществляется: серверы, база данных, файлы и сервис отправки почты находятся на территории Российской Федерации, распознавание изображений выполняется программными средствами на сервере Оператора.

5.2. Единственный такой случай — доставка push-уведомлений, которую Пользователь включает по своему усмотрению. Технология Web Push устроена так, что уведомление доставляется на устройство только через push-службу производителя браузера, которым пользуется сам Пользователь. Такими службами являются:

  • Google LLC (Firebase Cloud Messaging), Соединённые Штаты Америки — для браузеров: Google Chrome, Яндекс.Браузер и другие браузеры на движке Chromium;
  • Mozilla Corporation (Mozilla Push Service), Соединённые Штаты Америки — для браузеров: Mozilla Firefox;
  • Apple Inc. (Apple Push Notification service), Соединённые Штаты Америки — для браузеров: Safari, а также браузеры на iOS и iPadOS;
  • Microsoft Corporation (Windows Push Notification Service), Соединённые Штаты Америки — для браузеров: Microsoft Edge на Windows;

5.3. Оператор раскрывает состав такой передачи прямо. При отправке напоминания на сервер push-службы передаются:

  • адрес подписки (endpoint) — идентификатор, который сама push-служба ранее выдала браузеру Пользователя;
  • текст уведомления в зашифрованном виде. Уведомление шифруется ключами, известными только браузеру Пользователя, и push-служба не может его прочитать;
  • служебные сведения о запросе, включая время обращения и срок жизни уведомления.

5.4. Push-службе не передаются имя, адрес электронной почты, суммы, даты, назначения операций, названия счетов, категорий, целей и резервов, а также любые иные сведения об учёте финансов Пользователя. Текст напоминания не содержит сведений о финансах и одинаков для всех Пользователей.

5.5. Государства, на территории которых находятся указанные push-службы, не включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (утверждён приказом Роскомнадзора от 05.08.2022 № 128). Оператор обрабатывает эти сведения на основании отдельного согласия Пользователя, оформленного отдельным документом и даваемого в разделе «Профиль» при включении напоминаний.

5.6. Push-уведомления являются дополнительной возможностью. Отказ от них не ограничивает доступ к Сервису и его функциональности. Отключить уведомления и отозвать согласие можно в любой момент в разделе «Профиль».

6. Перечень действий с персональными данными

6.1. Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение персональных данных, а также передачу (предоставление) в объёме и случаях, указанных в разделах 4 и 5 настоящей Политики.

6.2. Оператор не осуществляет распространение персональных данных, то есть не раскрывает их неопределённому кругу лиц. Сервис не имеет публичных страниц с данными Пользователей и не публикует сведения об учёте финансов.

6.3. Оператор не осуществляет обезличивание персональных данных.

7. Права субъекта персональных данных

7.1. Пользователь вправе (ст. 14 Закона):

  • получать сведения об обработке своих персональных данных, включая правовые основания и цели обработки, применяемые способы, сроки обработки и хранения, сведения о лицах, которым данные могут быть переданы;
  • требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
  • отозвать согласие на обработку персональных данных, данное для push-уведомлений;
  • обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

7.2. Часть прав Пользователь реализует самостоятельно, без обращения к Оператору: изменяет и удаляет внесённые сведения об учёте финансов в интерфейсе Сервиса, отключает push-уведомления и отзывает согласие на обработку данных push-подписки в разделе «Профиль», удаляет учётную запись вместе со всеми данными в разделе «Профиль».

7.3. Изменение имени и адреса электронной почты учётной записи, получение сведений об обработке и иные требования направляются на адрес gast213@yandex.ru. Запрос должен содержать сведения, позволяющие идентифицировать Пользователя (в частности, адрес электронной почты учётной записи), и существо требования.

7.4. Сроки, в которые Оператор отвечает на обращения, установлены Законом:

  • сведения об обработке персональных данных, а равно мотивированный отказ в их предоставлении — не более 10 рабочих дней со дня обращения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 2 ст. 20 Закона);
  • уточнение, блокирование или уничтожение персональных данных, если они неполны, неточны, устарели, получены незаконно или не являются необходимыми для заявленной цели, — не более 7 рабочих дней со дня представления Пользователем подтверждающих сведений (ч. 3 ст. 20 Закона);
  • прекращение обработки при отзыве согласия либо по достижении цели обработки — не более 30 дней (ч. 5 ст. 21 Закона);
  • ответ на запрос уполномоченного органа — не более 10 рабочих дней с даты получения запроса, с возможностью продления не более чем на 5 рабочих дней (ч. 4 ст. 20 Закона).

7.5. Удаление учётной записи влечёт удаление всех внесённых Пользователем сведений и прекращение обработки. Сохраняются только сведения о факте и условиях заключения договора и дачи согласия — на основании законного интереса Оператора, поскольку их удаление уничтожило бы доказательства правомерности состоявшейся обработки, — а также сведения, хранение которых предписано законом. Такие сведения хранятся обособленно от учётной записи, в обезличенном по адресу электронной почты виде, в течение 3 лет.

7.6. Уничтожение персональных данных подтверждается записью в журнале Сервиса, содержащей дату и время уничтожения и состав уничтоженных сведений.

7.7. Удаление сведений из рабочей базы данных производится незамедлительно, из резервных копий — по мере их плановой ротации, но не позднее 30 дней.

8. Меры по обеспечению безопасности

8.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения (ст. 18.1, 19 Закона), в том числе:

  • передача данных между браузером Пользователя и Сервисом защищена протоколом HTTPS/TLS;
  • пароли хранятся только в виде криптографического хэша и не могут быть восстановлены; токены доступа к API хранятся в виде хэша;
  • данные каждого Пользователя изолированы на уровне запросов к базе данных, доступ к чужим данным исключён;
  • число попыток входа и обращений к интерфейсу API ограничено;
  • доступ к серверу ограничен и осуществляется по ключам;
  • выполняется резервное копирование на территории Российской Федерации;
  • назначено лицо, ответственное за организацию обработки персональных данных.

8.2. Средства криптографической защиты информации, прошедшие процедуру оценки соответствия в установленном порядке, не применяются.

8.3. При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет уполномоченный орган в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).

9. Заключительные положения

9.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения по настоящему адресу, если иное не предусмотрено новой редакцией.

9.2. Действующая редакция Политики постоянно доступна в сети Интернет по адресу https://finance.convy.ru/privacy.

9.3. Изменение настоящей Политики не отменяет и не заменяет ранее данных Пользователем согласий; если изменение выходит за пределы ранее данного согласия, Оператор запрашивает новое согласие.