Политика обработки персональных данных

Редакция от 27.06.2026.

1. Общие положения

1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных пользователей сервиса AvtoQuiz.

1.2. Оператор персональных данных: Общество с ограниченной ответственностью «АЙТИ АП», ИНН 3100007774, ОГРН 1223100013168, место нахождения: г. Старый Оскол, Белгородская область. Полный юридический адрес доступен в ЕГРЮЛ по указанному ОГРН. Регистрационный номер в реестре операторов: будет указан после получения.

1.3. Сайт оператора: https://avtoquiz.it-up.org.

2. Категории обрабатываемых данных

2.1. Оператор обрабатывает следующие персональные данные пользователей:

• фамилия, имя, отчество (при добровольном указании);
• адрес электронной почты;
• контактный телефон капитана команды (при добавлении команды);
• часовой пояс (IANA);
• IP-адрес и User-Agent при входе и действиях в сервисе;
• сведения о платежах (без номера банковской карты — обработка карт ведётся ЮKassa).

2.2. Оператор не обрабатывает биометрические данные и специальные категории персональных данных (раса, национальность, политические взгляды, религия, состояние здоровья, интимная жизнь, судимость).

3. Цели обработки

3.1. Персональные данные обрабатываются в следующих целях:

• идентификация пользователя в сервисе;
• предоставление услуг по автоматической регистрации команд на квизы платформы RudaGames;
• информирование пользователя о статусе оказанных услуг (email-уведомления);
• обработка платежей и формирование чеков (через ЮKassa);
• обеспечение информационной безопасности (логи действий, защита от мошенничества);
• исполнение требований законодательства РФ (бухгалтерский учёт, налоговая отчётность).

4. Правовые основания

4.1. Обработка персональных данных осуществляется на следующих правовых основаниях:

• согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ) — даётся при регистрации в сервисе через явный чекбокс;
• исполнение договора-оферты (п. 5 ч. 1 ст. 6 152-ФЗ);
• исполнение обязанностей, возложенных на оператора законодательством (402-ФЗ «О бухгалтерском учёте»).

5. Способы обработки

5.1. Обработка персональных данных осуществляется смешанным способом — с использованием средств автоматизации и без их использования.

5.2. Производимые действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

6. Срок обработки

6.1. Персональные данные хранятся в течение всего срока использования сервиса пользователем и 30 дней после удаления аккаунта (период мягкого удаления — для возможности восстановления).

6.2. Сведения, относящиеся к бухгалтерскому учёту (платежи, чеки), хранятся 5 лет в соответствии с 402-ФЗ.

6.3. Записи в журнале аудита системы хранятся 90 дней с момента события (ТЗ §4.5), после чего автоматически удаляются.

7. Передача данных третьим лицам

7.1. Оператор передаёт минимально необходимые данные следующим обработчикам:

• RudaGames (ИП/ООО, юрисдикция РФ): данные команды (название, капитан, телефон, email) и токен авторизации — для подачи заявки на квиз от имени пользователя;
• ЮKassa (ООО НКО «ЮMoney», лицензия ЦБ РФ): данные о сумме платежа и email пользователя — для формирования чека;
• SMTP-провайдер: email-адрес и текст письма — для отправки транзакционных уведомлений.

7.2. Трансграничная передача персональных данных не осуществляется. Все используемые сервисы расположены на территории Российской Федерации.

8. Меры защиты

8.1. Оператор применяет следующие меры обеспечения безопасности персональных данных:

• назначение лица, ответственного за организацию обработки персональных данных;
• хранение данных на серверах, расположенных на территории РФ;
• разграничение доступа по ролям (admin / user);
• аутентификация по паролю с использованием криптографического хеша bcrypt;
• шифрование чувствительных данных (токены платформы) алгоритмом AES-256;
• передача данных по защищённому каналу TLS 1.2/1.3;
• ведение журналов действий пользователей и администратора;
• ежедневное резервное копирование баз данных;
• защита от типовых веб-атак (SQL-инъекции, XSS, CSRF, brute-force).

9. Права субъекта персональных данных

9.1. Субъект персональных данных имеет право:

• получать информацию о факте обработки своих данных, целях, способах обработки, сроках хранения;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели или незаконны;
• отозвать согласие на обработку персональных данных;
• обращаться с жалобами в Роскомнадзор и иные компетентные органы.

9.2. Запросы направляются на email Оператора (указан в разделе «Контакты»). Срок ответа — не более 30 дней с даты получения запроса.

10. Удаление и отзыв согласия

10.1. Пользователь может в любой момент удалить свой аккаунт через личный кабинет либо запросить удаление через email Оператора.

10.2. После удаления аккаунт переводится в статус «удалён», доступ ограничивается. Через 30 дней персональные данные удаляются физически (за исключением данных, обязательных к хранению по законодательству).

11. Cookie-файлы и средства аналитики

11.1. Необходимые cookie. Сервис использует httpOnly cookie от Laravel Sanctum для поддержания авторизованной сессии и CSRF-защиты. Они нужны для корректной работы личного кабинета и устанавливаются всегда; отказаться от них и продолжить пользоваться сервисом нельзя.

11.2. Аналитические cookie. На публичных страницах (лендинг, юридические документы, страницы городов) Сервис может подключать счётчики Яндекс.Метрика и Google Analytics 4 — для анализа посещаемости и улучшения интерфейса. Скрипты этих систем загружаются только после нажатия кнопки «Принять все» в cookie-баннере, который показывается при первом заходе.

11.3. Состав данных, передаваемых аналитике. При согласии — IP-адрес, идентификатор браузера, URL посещённой страницы, реферер, информация о пользовательском взаимодействии (клики, скролл). Данные не объединяются с email или ФИО пользователя.

11.4. Трансграничная передача. Google Analytics 4 передаёт обезличенные данные на серверы Google LLC (США). Яндекс.Метрика хранит данные на серверах в Российской Федерации. Согласие на трансграничную передачу даётся вместе с нажатием «Принять все».

11.5. Право отозвать согласие. Пользователь может в любой момент изменить выбор: внизу любой публичной страницы есть кнопка «Настройки cookie», которая снова открывает баннер. Если выбрать «Только необходимые», аналитические скрипты больше не загружаются (но уже отправленные ранее данные у Яндекса/Google остаются — их можно удалить через инструменты этих сервисов).

11.6. Отказ от аналитики. Выбор «Только необходимые» сохраняется в localStorage браузера. Если пользователь чистит хранилище браузера или заходит с другого устройства, баннер появится снова.

12. Изменения политики

12.1. Оператор вправе изменять настоящую Политику. Актуальная редакция всегда доступна по адресу https://avtoquiz.it-up.org/privacy.

12.2. О существенных изменениях пользователи уведомляются по email.

13. Контакты

Оператор: ООО «АЙТИ АП»
ИНН 3100007774, ОГРН 1223100013168
Адрес: г. Старый Оскол, Белгородская область
Email для запросов по ПД: ooo@it-up.org