Политика обработки персональных данных

1. Оператор персональных данных

Оператор: Шестакова Луиза Вячеславовна — самозанятая (плательщик налога на профессиональный доход).
ИНН: 235504543105 · Краснодарский край.
Email Оператора: privacy@kykyha.ru — для запросов по обработке персональных данных, отзыва согласия, жалоб и претензий.

Оператор уведомил Роскомнадзор об осуществлении обработки персональных данных в порядке, установленном ст. 22 ФЗ-152.

2. Термины

• Персональные данные (ПДн) — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
• Специальные категории ПДн — данные о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья (включая психическое), интимной жизни.
• Обработка ПДн — любое действие с ПДн (сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, уничтожение).
• Субъект ПДн — физическое лицо, к которому относятся ПДн (Клиент, Специалист, посетитель сайта).

3. Категории субъектов и обрабатываемых данных

3.1. Клиенты

• Идентификационные: имя (опционально полное ФИО), email, дата рождения, часовой пояс.
• Контактные: email, телефон (опц.), адрес проживания (опц.).
• Платёжные: маскированный номер карты, имя держателя (полные реквизиты не хранятся, обрабатываются платёжным провайдером).
• Специальные категории: результаты опросников по проверенным шкалам (PHQ-9, GAD-7 и др.), записи в дневнике, данные о настроении и сне, заметки терапевта, история сессий (но не их видеозапись по умолчанию).
• Технические: IP-адрес, тип браузера, ОС, время посещений, cookie-идентификаторы.

3.2. Специалисты

• Идентификационные: ФИО, дата рождения, ИНН, СНИЛС (для оформления выплат).
• Профессиональные: образование, сертификаты, удостоверения, стаж, методы, контекст работы.
• Контактные: email, телефон, банковские реквизиты для выплат.
• Содержательные: письмо клиенту, фото, видео-знакомство, ссылки на статьи.
• Контрольные: outcome-данные клиентов (агрегированно, анонимно) — отображаются в публичной карточке.

3.3. Посетители сайта (без регистрации)

• Технические: IP-адрес, тип устройства, браузер.
• Cookie-идентификаторы (см. раздел 11).

4. Цели обработки

1. Заключение и исполнение договора-оферты на оказание услуг Платформы.
2. Аутентификация и авторизация пользователей.
3. Подбор Специалистов для Клиентов.
4. Проведение видеосессий и сохранение их сопутствующих метаданных (без видеозаписи по умолчанию).
5. Сбор и отображение данных о динамике состояния Клиентов по проверенным шкалам — только при отдельном явном согласии.
6. Обработка платежей и расчётов с Специалистами.
7. Информирование о работе сервиса (эксплуатационные уведомления), напоминания о сессиях.
8. Маркетинговые рассылки — только при отдельном явном согласии.
9. Соблюдение требований законодательства РФ (бухгалтерский, налоговый учёт).
10. Защита законных интересов Оператора и пользователей (расследование инцидентов безопасности, борьба с мошенничеством).

5. Правовые основания обработки

Обработка ПДн осуществляется на следующих основаниях (п. 1 ст. 6 ФЗ-152):

• Согласие субъекта ПДн (при регистрации, заполнении анкеты, согласии на outcome-данные, согласии на маркетинг).
• Заключение и исполнение договора, стороной которого является субъект (договор-оферта).
• Исполнение обязанностей, возложенных законодательством РФ (бухгалтерия, налоги, ответы на запросы госорганов).
• Защита законных интересов Оператора.

Обработка специальных категорий ПДн (данные о психическом здоровье) осуществляется только на основании отдельного письменного согласия субъекта (ст. 10 ФЗ-152), которое даётся явным действием (отдельная галочка при первом заполнении опросника).

6. Способы обработки

Обработка ПДн осуществляется как с использованием средств автоматизации (программные и аппаратные средства Платформы), так и без них (бумажные носители при необходимости).

Все автоматизированные операции с ПДн журналируются. Персонал Оператора получает доступ к ПДн только в объёме, необходимом для выполнения должностных обязанностей.

7. Сроки хранения и место хранения

7.1. Локализация

В соответствии с ч. 5 ст. 18 ФЗ-152, обработка ПДн граждан РФ осуществляется с использованием баз данных, находящихся на территории Российской Федерации. Серверы Платформы расположены в дата-центрах РФ.

7.2. Сроки хранения

• Учётная запись и связанные с ней ПДн — пока активен договор + 3 года после удаления (для возможных претензий и налогового учёта).
• Данные сессий, дневник, шкалы — пока активен договор + 5 лет после прекращения договора (профессиональный стандарт хранения психотерапевтической документации).
• Платёжные данные — 5 лет (требования бухгалтерского учёта).
• Cookie-идентификаторы — до 12 месяцев от последнего визита.
• Логи доступа — 12 месяцев.

По истечении сроков ПДн уничтожаются или обезличиваются. Обезличенные агрегированные данные (например, средние outcome-показатели без привязки к конкретному человеку) могут храниться бессрочно в исследовательских целях.

8. Передача третьим лицам

Оператор передаёт ПДн третьим лицам только в случаях:

• Платёжные данные — платёжным агентам (банк, эквайринг) в объёме, необходимом для проведения платежа.
• Технические данные — провайдерам инфраструктуры (хостинг, видеосвязь LiveKit) — на основании договоров, обязывающих их к обработке ПДн исключительно по поручению Оператора.
• Персональные данные Специалиста (ФИО, методы, опыт, фото, outcome-данные) — публикуются в карточке Специалиста с его согласия для целей продвижения услуг.
• По обоснованному запросу правоохранительных органов с надлежаще оформленным постановлением.
• В рамках судебного процесса по постановлению суда.
• При непосредственной угрозе жизни (ст. 6 п. 6 ФЗ-152).
• С явного письменного согласия самого субъекта.

Трансграничная передача ПДн не осуществляется. Если в дальнейшем потребуется передача в государства, не обеспечивающие адекватную защиту прав субъектов, она будет осуществлена только на основании письменного согласия субъекта в соответствии со ст. 12 ФЗ-152.

9. Права субъектов персональных данных

В соответствии со ст. 14 ФЗ-152 субъект имеет право:

• Получать сведения о наличии у Оператора своих ПДн, о целях обработки, источниках и сроках хранения.
• Требовать уточнения, блокирования или уничтожения ПДн, если они являются неполными, устаревшими, неточными или незаконно полученными.
• В любой момент отозвать своё согласиена обработку ПДн, в том числе на обработку специальных категорий и на маркетинговые рассылки.
• Требовать прекращения обработки и удаления ПДн (право быть забытым) — в течение 30 дней с момента получения запроса, за исключением данных, которые Оператор обязан хранить по закону.
• Обжаловать действия или бездействие Оператора в Роскомнадзоре и в судебном порядке.
• Требовать возмещения убытков и/или компенсации морального вреда.

Запросы направляйте на privacy@kykyha.ru с указанием email учётной записи и сути запроса. Ответ в течение 30 календарных дней.

10. Меры защиты

Оператор применяет правовые, организационные и технические меры для защиты ПДн от неправомерного доступа, уничтожения, изменения, блокирования и иных неправомерных действий (ст. 19 ФЗ-152, Постановление Правительства РФ № 1119).

• Шифрование TLS 1.2+ всех соединений между пользователями и Платформой.
• Шифрование хранимых данных (AES-256 для специальных категорий — содержимого дневника, опросников, заметок терапевта).
• Хэширование паролей через bcrypt (cost ≥ 10).
• Регулярное резервное копирование с защитой и контролем доступа.
• Разделение прав доступа сотрудников и подрядчиков по принципу минимально необходимых полномочий.
• Журналирование всех операций с ПДн специальных категорий.
• Регулярные тренинги сотрудников по защите ПДн и регулярные аудиты безопасности.
• Подписание соглашений о неразглашении (NDA) со всеми сотрудниками и подрядчиками, имеющими доступ к ПДн.
• Возможность многофакторной аутентификации для Специалистов.

11. Реакция на инциденты безопасности

При обнаружении инцидента, связанного с несанкционированным доступом к ПДн, Оператор:

1. В течение 24 часов с момента обнаружения уведомляет Роскомнадзор.
2. В течение 72 часов уведомляет затронутых субъектов через email с описанием произошедшего и принятых мер.
3. Документирует инцидент во внутреннем регистре нарушений.
4. Предпринимает технические и организационные меры для устранения последствий и предотвращения повторения.

12. Cookies и аналитика

Платформа использует cookie-файлы для следующих целей:

• Технические cookies (обязательные) — сохранение сессии аутентификации, предпочтений интерфейса.
• Аналитические cookies (с согласия) — Яндекс.Метрика для понимания, как пользователи взаимодействуют с сайтом. Передаются в обезличенном виде.
• Функциональные cookies — выбор часового пояса, выбор сохранённого терапевта.

Маркетинговые/таргетирующие cookies не используются. Управлять cookies можно в настройках вашего браузера. Отключение технических cookies может нарушить работу сервиса.

13. Несовершеннолетние пользователи

Платформа предназначена для пользователей старше 18 лет. Специалист может работать с подростками от 14 лет — только при письменном информированном согласии законного представителя и в пределах профессиональной компетенции Специалиста.

Если Оператору становится известно о регистрации несовершеннолетнего без согласия законного представителя — учётная запись блокируется, данные удаляются.

14. Запись сессий

По умолчанию Платформа не записывает видео и аудио сессий. Запись возможна только при явном двустороннем согласии Клиента и Специалиста (отдельные галочки перед началом сессии). Записи хранятся в зашифрованном виде, доступ имеют только участники сессии. Клиент или Специалист могут в любой момент потребовать удаления записи — она уничтожается в течение 24 часов.

15. Outcome-данные и согласие

Платформа отображает в карточках Специалистов агрегированные анонимные показатели динамики состояния их Клиентов по проверенным шкалам. Это требует отдельного согласия Клиента на обработку специальных категорий ПДн с целью включения в анонимную агрегированную статистику. Согласие можно отозвать в любой момент в личном кабинете — данные исключаются из агрегатов в течение 24 часов.

16. Изменения в Политике

Оператор имеет право изменять настоящую Политику. О существенных изменениях пользователи уведомляются за 14 календарных дней до вступления в силу. Уведомление направляется на email, указанный при регистрации, и публикуется в Личном кабинете. Текущая редакция с датой обновления всегда доступна по адресу https://kykyha.ru/privatnost.

17. Разрешение споров

По всем вопросам обработки ПДн просим обращаться в Оператору на адрес privacy@kykyha.ru. Если ответ Оператора Вас не удовлетворил, Вы вправе обратиться:

• В Роскомнадзор — Управление по защите прав субъектов персональных данных. Сайт rkn.gov.ru.
• В суд по месту жительства или нахождения Оператора.

18. Контакты Оператора

Шестакова Луиза Вячеславовна — самозанятая (плательщик НПД)
ИНН: 235504543105 · Краснодарский край
Email Оператора и ответственного за обработку ПДн: privacy@kykyha.ru

⚠ Настоящая редакция — рабочий шаблон, отражающий принципы и требования законодательства РФ. До запуска коммерческой деятельности должна быть проверена лицензированным юристом по защите персональных данных и при необходимости подана нотификация в Роскомнадзор согласно ст. 22 ФЗ-152. Также см. публичную оферту.