Политика обработки персональных данных

Действует с 01.05.2026 · Версия 1.0

Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Общество с ограниченной ответственностью «АИСВ» (ИНН _INN_TBD_, ОГРН _OGRN_TBD_; далее — «Оператор»), в связи с использованием сервиса SOVA, размещённого по адресу https://sovapay.store (далее — «Сервис»).

Политика разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Общие положения

1.1. Оператор ставит своей важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Используя Сервис, Пользователь подтверждает, что ознакомлен с настоящей Политикой и принимает её условия. Если Пользователь не согласен с условиями Политики, он должен прекратить использование Сервиса.

1.3. Действующая редакция Политики опубликована на странице https://www.sovapay.store/legal/privacy и доступна неограниченному кругу лиц без регистрации.

1.4. Дата вступления редакции в силу: 01.05.2026. Версия документа: 1.0.

2. Основные понятия

В настоящей Политике используются понятия в значениях, определённых ст. 3 152-ФЗ:

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав, действия с ними.
Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными.
Согласие на обработку — конкретное, информированное и сознательное волеизъявление субъекта.
Cookies — небольшие файлы, размещаемые сервером в браузере Пользователя для технической работы Сервиса.

3. Категории субъектов персональных данных

Оператор обрабатывает персональные данных следующих категорий субъектов:

Пользователи Сервиса — физические лица, прошедшие регистрацию.
Посетители Сайта — лица, посетившие Сайт без регистрации.
Лица, обратившиеся к Оператору с запросами по электронной почте или иным каналам связи.

4. Состав обрабатываемых персональных данных

Оператор обрабатывает следующие категории персональных данных:

4.1. Идентификационные данные

email
ФИО (от Яндекс ID, опционально)
аватар (URL)

4.2. Данные аутентификации

Yandex OAuth токены (зашифрованы Crypt AES-256-CBC)
Mail.ru OAuth токены (зашифрованы)

4.3. Данные о подписках Пользователя

название сервиса
сумма платежа
дата ближайшего списания
категория

4.4. Платёжные данные

ID платежа в ЮKassa (без данных карты — карты у ЮKassa)
факт оплаты
сумма

Важно: Оператор не обрабатывает и не хранит данные банковских карт. Реквизиты карт обрабатываются исключительно платёжной системой ЮKassa (ООО НКО «Яндекс.Деньги»), сертифицированной по PCI DSS Level 1.

4.5. Технические данные

IP-адрес
User-Agent
cookies для сессии

Оператор не обрабатывает специальные категории персональных данных (расовая принадлежность, политические взгляды, состояние здоровья, биометрия и др.).

5. Цели обработки персональных данных

Оператор обрабатывает персональные данные исключительно в следующих целях:

Регистрация и аутентификация Пользователя в Сервисе;
Предоставление функциональности Сервиса (учёт подписок, напоминания, отмена);
Автоматическое распознавание подписочных платежей в email-квитанциях по согласию Пользователя на подключение почтовых ящиков;
Обработка платежей по тарифу Premium через ЮKassa;
Отправка транзакционных email-уведомлений (напоминания о грядущих списаниях, подтверждения регистрации, подтверждения платежей);
Обеспечение информационной безопасности Сервиса (логирование, защита от атак);
Исполнение требований законодательства РФ (хранение платёжной документации, аудит-лог).

Маркетинговые и рекламные рассылки осуществляются только на основании отдельно выраженного согласия и могут быть отозваны в любой момент через ссылку «Отписаться» в письме или в личном кабинете.

6. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих правовых основаниях (ст. 6 ч. 1 152-ФЗ):

Основание	Когда применяется
Согласие субъекта (п. 1 ч. 1 ст. 6)	Регистрация, подключение почты, маркетинговые рассылки
Исполнение договора (п. 5 ч. 1 ст. 6)	Предоставление услуг по тарифу, обработка платежей
Исполнение требований законодательства (п. 2 ч. 1 ст. 6)	Хранение платёжных документов 5 лет, аудит-лог, передача данных в ФНС
Защита законных интересов Оператора (п. 7 ч. 1 ст. 6)	Защита от мошенничества, IP-логирование при подозрении на атаки

7. Принципы и условия обработки

Оператор соблюдает следующие принципы обработки персональных данных (ст. 5 152-ФЗ):

Обработка осуществляется на законной и справедливой основе.
Содержание и объём обрабатываемых данных соответствуют заявленным целям.
Не допускается объединение баз данных, обработка которых осуществляется в несовместимых целях.
Точность, достаточность, актуальность данных обеспечивается; неточные данные удаляются или уточняются.
Хранение осуществляется не дольше, чем это необходимо для целей обработки.

8. Сроки обработки и хранения

Категория данных	Срок хранения
Активный Пользователь	до удаления учётной записи пользователем + 30 дней (soft-delete) + хард-удаление
После удаления учётной записи	30 дней soft-delete, затем безвозвратное удаление через HardDeleteUserJob
Аудит-лог	5 лет (для целей бухучёта и расследования инцидентов)
Платёжные документы	5 лет (требование ФНС РФ)
Email-сообщения IMAP	не сохраняются — обрабатываются в RAM, в БД пишется только результат AI-парсинга (название сервиса, сумма, дата)

9. Передача персональных данных третьим лицам

Оператор передаёт персональные данные следующим третьим лицам исключительно в объёме, необходимом для достижения целей обработки:

Получатель	Цель	Юрисдикция	Обязательно
ЮKassa (ООО НКО «Яндекс.Деньги»)	обработка платежей	РФ	Да
Yandex (ООО «Яндекс»)	OAuth-аутентификация и IMAP-доступ к почте по согласию	РФ	По согласию Пользователя
Mail.ru (ООО «Мэйл.Ру»)	OAuth-аутентификация и IMAP-доступ к почте по согласию	РФ	По согласию Пользователя
Selectel (АО «Селектел»)	хостинг серверов	РФ (СПб)	Да
OpenRouter (Anthropic PBC, США)	обработка содержимого писем для распознавания подписок	США	Да
Sentry (Functional Software Inc., США)	мониторинг ошибок (без ПДн в payload)	США	По согласию Пользователя

9.1. Трансграничная передача данных

В целях обработки email-квитанций Сервис передаёт фрагменты содержимого писем (отправитель, тема, тело письма; без вложений) платформе OpenRouter (Anthropic PBC, США) для распознавания подписочных платежей с использованием технологии искусственного интеллекта.

Передача осуществляется только на основании отдельного согласия Пользователя, выраженного при подключении почтового ящика. Согласие может быть отозвано в любой момент путём отключения интеграции почты в личном кабинете.

Перечень иностранных государств, на территорию которых может осуществляться трансграничная передача: США (Anthropic PBC, Functional Software Inc. (Sentry)). Указанные государства не являются участниками Конвенции о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 28.01.1981).

10. Меры защиты персональных данных

Оператор принимает следующие технические и организационные меры по защите ПДн (ст. 19 152-ФЗ; Приказ ФСТЭК № 21 от 18.02.2013):

Локализация баз данных на серверах в Российской Федерации (Selectel, г. Санкт-Петербург);
Шифрование канала связи между Пользователем и Сервисом по протоколу TLS;
Шифрование OAuth-токенов в базе данных по алгоритму AES-256-CBC через Laravel Crypt;
Изоляция сервисов в Docker-контейнерах внутри частной сети;
Регулярное резервное копирование с хранением копий в РФ;
Ведение журнала действий (audit log) с фиксацией IP, времени и типа действия;
Ограничение доступа к данным по принципу least privilege;
Мониторинг безопасности и автоматическая блокировка подозрительной активности (rate limiting);
Обучение сотрудников правилам работы с ПДн.

11. Права субъекта персональных данных

В соответствии с гл. 3 152-ФЗ Пользователь имеет право:

Получить информацию об обработке своих персональных данных (ст. 14);
Требовать уточнения неточных или неполных данных, их блокирования или уничтожения (ст. 14, 21);
Отозвать согласие на обработку в любой момент (ст. 9 ч. 2);
Получить копию своих персональных данных в машиночитаемом формате (через личный кабинет → Настройки → Экспорт данных);
Удалить учётную запись и все связанные данные (через личный кабинет → Настройки → Удалить аккаунт);
Обжаловать действия Оператора в Роскомнадзоре или в суде (ст. 17).

Срок ответа Оператора на запрос — 30 дней с момента получения. Запросы направлять на: privacy@sovapay.store.

12. Использование cookies

Сервис использует исключительно технически необходимые cookies. Подробнее — в Cookie-политике.

13. Реквизиты Оператора

Полное наименование: Общество с ограниченной ответственностью «АИСВ»
Сокращённое наименование: ООО «АИСВ»
ИНН: _INN_TBD_
ОГРН: _OGRN_TBD_
КПП: _KPP_TBD_
Адрес: Российская Федерация, _адрес юр. лица_
Электронная почта по вопросам обработки ПДн: privacy@sovapay.store

14. Изменения настоящей Политики

Оператор имеет право вносить изменения в настоящую Политику. При внесении существенных изменений Пользователь уведомляется по электронной почте за 14 дней до их вступления в силу. История версий доступна по запросу на privacy@sovapay.store.

Продолжение использования Сервиса после внесения изменений означает согласие Пользователя с новой редакцией. В случае несогласия Пользователь вправе прекратить использование Сервиса и удалить учётную запись.