Политика обработки персональных данных

document: "Политика обработки персональных данных"
version: 0.1-draft
effective_date: "[ЗАПОЛНИТЬ: дата публикации после юридической вычитки]"
owner: "ИП Старцев Михаил Владимирович (Оператор Sphaera / Iustitia)"
scope: "Все ПДн, обрабатываемые Оператором в связи с Сайтом, Сервисами и Продуктами Sphaera"
related_documents:
  - legal/privacy-policy.md
  - legal/personal-data-consent-contact.md
  - legal/personal-data-consent-account.md
  - legal/user-agreement.md
  - legal/offer-digital-products.md
  - legal/offer-legal-services.md
  - legal/offer-veritas-pretii.md
  - legal/cookie-policy.md
  - legal/refund-policy.md
  - legal/data-retention-policy.md
  - legal/third-parties.md
  - legal/operator-internal-regulation.md
  - legal/pdn-register.yaml
status: "Черновик для юридической вычитки. Не является финальной юридически значимой версией."

Термины

• Оператор — ИП Старцев Михаил Владимирович, владелец и администратор Сайта и Сервисов Sphaera.
• Пользователь — физическое лицо, использующее Сайт, Сервисы или Продукты.
• Сайт — совокупность страниц, доступных по адресу https://iustitia.tech/ и подчинённым доменам/разделам.
• Сервис — любой функциональный раздел Сайта: /services/, /veritas/, /account/, /tariffs/, /contacts/.
• Sphaera — экосистема продуктов Оператора, включающая Census, Nexus, Sententia, Fiat Academy и связанные модули.
• Veritas Pretii — сервис поиска рыночных цен, поставщиков, due diligence и подготовки документов, в т.ч. для Smeta.ru.
• SkillForge / Prompt Studio — раздел цифровых продуктов (навыки, промпт-пакеты, подписки, разовые покупки), доступный через /account/.

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Постановлением Правительства РФ № 1119, Приказом ФСТЭК России № 21 и разъяснениями Роскомнадзора.

1.2. Политика применяется к любым персональным данным (далее — ПДн), которые Оператор обрабатывает при оказании услуг и предоставлении доступа к Сайту, Сервисам и Продуктам, включая ЮрСовет / Iustitia, Veritas Pretii, SkillForge / Prompt Studio и экосистему Sphaera.

1.3. Использование Сайта и Сервисов означает согласие Пользователя с настоящей Политикой в объёме, необходимом для оказания соответствующей услуги.

2. Оператор персональных данных

Оператором является: ИП Старцев Михаил Владимирович.

[ЗАПОЛНИТЬ: ОГРНИП, ИНН, юридический/почтовый адрес, email для обращений по ПДн — берётся из data/config.json → requisites и contacts].

3. Категории обрабатываемых персональных данных

3.1. Пользовательские файлы могут содержать ПДн третьих лиц (контрагентов, сотрудников, иных субъектов). Пользователь, загружая такие файлы, подтверждает наличие правового основания на их передачу Оператору и несёт самостоятельную ответственность за это основание.

4. Правовые основания обработки

Обработка ПДн осуществляется на основании: согласия субъекта ПДн; необходимости исполнения договора, стороной которого является субъект ПДн или в целях которого дано согласие; исполнения возложенных законодательством обязанностей Оператора; законных интересов Оператора, не нарушающих права и свободы субъекта ПДн.

5. Цели обработки

Регистрация и авторизация в личном кабинете; обработка заявок и обращений; заключение и исполнение договоров на юридические услуги и цифровые продукты; проведение расчётов и формирование бухгалтерских документов; обеспечение безопасности Сайта и предотвращение мошенничества; направление информационных и сервисных сообщений (при наличии отдельного согласия); исполнение требований законодательства РФ.

6. Способы и сроки обработки

Обработка производится с использованием средств автоматизации и без таковых, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (в объёме, необходимом для оказания услуги), блокирование, удаление и уничтожение ПДн. Сроки хранения устанавливаются legal/data-retention-policy.md.

7. Меры защиты персональных данных

7.1. Основные ПДн хранятся в зашифрованном виде (поля *_enc) с использованием XChaCha20-Poly1305 (libsodium) с резервным механизмом AES-256-GCM (OpenSSL); ключи шифрования хранятся отдельно от базы данных (IUSTITIA_APP_KEY / data/secure/app.key).

7.2. Для поиска записей без раскрытия ПДн применяются HMAC-хэши (email_hash, phone_hash, ip_hash).

7.3. Доступ к базе данных и файлам ограничен; каталоги data/secure/ и файлы базы данных исключены из системы контроля версий.

7.4. Меры защиты приводятся в соответствие с требованиями Постановления Правительства РФ № 1119 и Приказа ФСТЭК России № 21; уровень защищённости ИСПДн и соответствующая модель угроз оформляются отдельным документом (см. legal/pdn-register.yaml и пункт 15 Раздела 7 ТЗ).

8. Трансграничная и иная передача данных

Передача ПДн третьим лицам осуществляется только в объёме, необходимом для оказания услуги (провайдеры авторизации Yandex ID, VK ID, Mail.ru; SMS-провайдер; платёжный провайдер; хостинг). Полный перечень — в legal/third-parties.md. Оператор стремится минимизировать трансграничную передачу и использовать российских провайдеров.

[ЗАПОЛНИТЬ: используются ли Яндекс.Метрика, VK Pixel, зарубежные CDN/шрифты; место физического размещения сервера и БД].

9. Права субъекта персональных данных

Субъект ПДн вправе получать информацию об обработке своих данных, требовать уточнения, блокирования или уничтожения данных при их неточности или незаконной обработке, отозвать согласие, обратиться в Роскомнадзор или суд. Порядок обращения — см. legal/operator-internal-regulation.md.

10. Отзыв согласия и удаление данных

Порядок отзыва согласия и удаления учётной записи установлен legal/data-retention-policy.md и оформляется через email Оператора либо личный кабинет.

11. Заключительные положения

Оператор вправе вносить изменения в Политику. Действующая редакция всегда доступна по адресу /privacy/.

Что нужно заполнить владельцу сайта

• Реквизиты ИП (ОГРНИП, ИНН, адрес) и email для ПДн-запросов
• Факт использования Яндекс.Метрики, VK Pixel, CDN, внешних шрифтов
• Место физического размещения сервера и базы данных
• Наличие обработки биометрии, паспортных данных, СНИЛС, судебных документов с ПДн третьих лиц