Редакция от 11 мая 2026 г.

Политика обработки персональных данных

Документ описывает, какие персональные данные мы обрабатываем, в каких целях и как защищаем.

1. Общие положения

Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных пользователей сервиса ReviewMio, расположенного по адресу https://reviewmio.ru (далее — Сервис).

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», иными нормативными актами Российской Федерации и применяется к информации, которую Оператор может получить о пользователе во время использования им Сервиса.

Оператор персональных данных:
Индивидуальный предприниматель Дьяков Владислав Валерьевич
ИНН: 780256765055
ОГРНИП: 324784700306593 (от 30.09.2024)
Адрес: 191036, г. Санкт-Петербург, ул. Коломенская, д. 4, литера А, помещение 10
Email: hello@reviewmio.ru

Ответственный за организацию обработки персональных данных:
Индивидуальный предприниматель Дьяков Владислав Валерьевич (лично).

2. Термины

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
Субъект ПДн — пользователь Сервиса (физическое лицо) и иные лица, чьи персональные данные обрабатываются.
Обработка ПДн — любое действие или совокупность действий с персональными данными.
Информационная система ПДн (ИСПДн) — Сервис ReviewMio как программно-аппаратный комплекс.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях:

Согласие субъекта ПДн (ст. 6 ч. 1 п. 1 ФЗ-152) — подтверждается отдельным Согласием на обработку персональных данных;
Исполнение договора, стороной которого является субъект ПДн (ст. 6 ч. 1 п. 5 ФЗ-152) — Договор-оферта;
Достижение общественно значимых целей при обработке обезличенных данных аналитики (ст. 6 ч. 1 п. 7 ФЗ-152).

4. Цели обработки персональных данных

Регистрация и аутентификация пользователей в Сервисе.
Предоставление функциональности Сервиса: создание и управление профилем, локациями, площадками, ссылками на отзывы, кампаниями.
Сбор и отображение статистики прохождения клиентами воронки написания отзыва (аналитика для владельца бизнеса).
Тарификация, расчёты и фискализация подписок (оплата через CloudPayments, чек через АТОЛ Онлайн).
Отправка транзакционных уведомлений: одноразовых кодов подтверждения, восстановления пароля, чеков, уведомлений о статусе подписки.
Отправка маркетинговых и информационных рассылок — только при наличии отдельного согласия пользователя.
Обеспечение работы экрана написания отзыва для конечных клиентов: сохранение черновика, восстановление сессии, отправка напоминаний.
Обеспечение информационной безопасности Сервиса, выявление и предотвращение нарушений.
Исполнение требований законодательства Российской Федерации.

5. Категории субъектов ПДн

Зарегистрированные пользователи — владельцы и сотрудники малого бизнеса (клиник, салонов, ресторанов и т. п.), создающие учётную запись.
Посетители сайта — лица, посещающие reviewmio.ru без регистрации (анонимная аналитика).
Конечные клиенты пользователей Сервиса — физические лица, переходящие по предоставленным пользователями ссылкам и заполняющие форму написания отзыва (могут добровольно указать имя, телефон или email для возврата к черновику).

6. Перечень обрабатываемых персональных данных

6.1. Зарегистрированные пользователи (владельцы бизнеса):

адрес электронной почты (обязательно — используется для входа);
пароль (хранится только в хешированном виде, в открытом виде Оператор пароль не видит);
имя физического лица или название организации (для подписи писем и в реквизитах счетов);
специализация / вид деятельности (например, «стоматолог», «парикмахерская») — указывается опционально для адаптации подсказок при написании отзывов;
фотография или логотип (опционально — для отображения в QR-постере и на экране написания отзыва);
URL-адреса публичных страниц бизнеса на сторонних площадках (Яндекс Карты, ПроДокторов и т. п.) — для генерации ссылок Сервиса;
при оплате подписки от имени юридического лица — ФИО и должность представителя плательщика (сами реквизиты юрлица — ИНН, ОГРН, расчётный счёт — не относятся к персональным данным).

6.2. Конечные клиенты пользователей (физлица, пишущие отзыв):

имя (опционально — заполняется на этапе «как к вам обращаться»);
адрес электронной почты или номер телефона (опционально, любой один из двух — для напоминания или возврата к незаконченному черновику);
оценка визита от 1 до 5 (для маршрутизации фильтра негатива на внутреннюю форму);
пол (опционально — используется только для согласования рода в подсказках «понравился / понравилась»);
текст черновика отзыва (хранится до публикации Конечным клиентом или до удаления).

6.3. Технические данные (собираются автоматически у всех посетителей):

IP-адрес, тип браузера и операционной системы;
URL источника перехода (referrer), UTM-метки;
идентификатор устройства (генерируется в браузере и хранится в localStorage — используется только для возврата к незаконченному черновику отзыва);
события воронки (какие шаги прошёл пользователь, какие кнопки нажал) — для отображения в аналитике владельцу бизнеса и улучшения Сервиса;
cookie-идентификаторы (см. раздел 12 настоящей Политики).

7. Источники получения ПДн

Непосредственно от субъекта ПДн при заполнении форм Сервиса.
Автоматически — посредством скриптов аналитики и логирования (IP, user-agent, события).
Из открытых источников — при вводе пользователем URL публичного профиля на сторонней площадке (Яндекс Карты, ПроДокторов и т. п.) Сервис извлекает публично доступные данные профиля: имя, фото, специализацию, рейтинг.

8. Способы и сроки обработки

Обработка ПДн осуществляется с использованием средств автоматизации. Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Сроки хранения:

Данные активной учётной записи — в течение всего срока действия аккаунта.
После запроса на удаление аккаунта — данные удаляются в течение 30 календарных дней.
Данные о платежах и фискальные документы (чеки) — 5 лет (требование Налогового кодекса РФ).
Резервные копии — до 30 дней после удаления оригинальных данных.
Обезличенные аналитические события — без срока ограничения.

9. Меры защиты персональных данных

Оператор принимает правовые, организационные и технические меры по защите ПДн в соответствии с требованиями ст. 19 ФЗ-152, Постановления Правительства РФ № 1119, Приказа ФСТЭК России № 21.

Технические меры:

шифрование канала связи (TLS 1.2+ / HTTPS, сертификат Let's Encrypt);
хеширование паролей пользователей (PBKDF2-SHA256);
защита от XSS, CSRF, SQL-инъекций (Flask-WTF + SQLAlchemy ORM);
защита от brute-force через rate-limiting;
разграничение прав доступа на основе ролей (RBAC);
журналирование событий доступа к ПДн;
регулярное резервное копирование с возможностью восстановления;
межсетевой экран на стороне хостинг-провайдера;
изоляция процессов на сервере через systemd-сервисы с ограниченными правами.

Организационные меры:

назначение ответственного за организацию обработки ПДн;
утверждение настоящей Политики;
контроль за принимаемыми мерами и уровнем защищённости ИСПДн;
применение принципа минимальной необходимости при сборе ПДн.

10. Передача персональных данных третьим лицам

Оператор передаёт персональные данные следующим третьим лицам исключительно в целях, перечисленных в разделе 4 Политики. Все получатели — резиденты Российской Федерации, передача за пределы РФ не осуществляется (см. раздел 11).

Получатель	Цель передачи	Передаваемые данные
ООО «Таймвеб» (хостинг-провайдер, РФ)	Размещение Сервиса на серверах в РФ	Все данные, обрабатываемые Сервисом
АО «КЛАУДПЭЙМЕНТС» (CloudPayments, РФ)	Приём платежей по подпискам	Имя плательщика, email, сумма платежа, токен карты
АО «АТОЛ» (АТОЛ Онлайн, РФ)	Фискализация платежей (54-ФЗ)	Имя, email, сумма, наименование услуги
ООО «Таймвеб» (почтовый сервис, РФ)	Отправка email-уведомлений (SMTP)	Email, имя получателя, содержимое уведомления

Передача персональных данных иным третьим лицам без согласия субъекта ПДн не осуществляется, за исключением случаев, предусмотренных законодательством Российской Федерации (запросы уполномоченных органов).

11. Трансграничная передача персональных данных

Трансграничная передача персональных данных не осуществляется. Все персональные данные обрабатываются и хранятся на серверах, расположенных на территории Российской Федерации. Привлекаемые Оператором подрядчики (хостинг, платёжный сервис, оператор фискальных данных, почтовый сервис) являются резидентами Российской Федерации и обрабатывают передаваемые им данные исключительно на территории РФ.

В функциях анализа черновика отзыва, формирования подсказок по содержанию и стилю используется языковая модель, развёрнутая на собственной инфраструктуре Оператора в Российской Федерации; данные за пределы РФ не передаются.

12. Файлы cookie и аналитика

Сервис использует файлы cookie и иные технологии локального хранения для обеспечения работы и сбора анонимной статистики посещений. Файлы cookie разделены на категории:

Категория	Назначение	Срок хранения
Строго необходимые	Аутентификация (`session`), защита от CSRF (`csrf_token`), отслеживание прогресса написания отзыва (`review_session_token`)	Сессия / 7 дней
Функциональные	Восстановление сессии написания отзыва (`device_id`)	Постоянно (в localStorage)
Аналитика	Самостоятельно размещённая система аналитики OpenPanel — события воронки и переходов на серверах Оператора в РФ	До 2 лет

Согласие на использование файлов cookie запрашивается при первом посещении Сервиса через всплывающий баннер. Пользователь может отозвать согласие, очистив cookies в настройках браузера. Отключение строго необходимых cookie приведёт к неработоспособности Сервиса.

Сервис аналитики (OpenPanel) развёрнут на инфраструктуре Оператора в Российской Федерации; данные аналитики не передаются за рубеж.

13. Сведения о местонахождении базы данных

База данных, содержащая персональные данные граждан Российской Федерации, размещена на серверах ООО «Таймвеб» (Timeweb Cloud), расположенных на территории Российской Федерации.

14. Права субъекта персональных данных

Субъект ПДн имеет право:

получать сведения об обработке его персональных данных Оператором (ст. 14 ФЗ-152);
требовать уточнения, блокирования или уничтожения своих ПДн в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку ПДн в любой момент путём удаления учётной записи в Сервисе или направления письменного запроса на email Оператора;
обжаловать действия (бездействие) Оператора в Роскомнадзоре или в судебном порядке.

Срок ответа Оператора на запрос субъекта ПДн — 30 дней с момента получения запроса.

15. Порядок удаления персональных данных

Пользователь может удалить свою учётную запись и связанные с ней персональные данные через раздел Профиль → Удалить аккаунт в Личном кабинете. Удаление происходит в течение 30 календарных дней с момента запроса.

Данные, обязательные к хранению в силу закона (например, фискальные документы), хранятся в течение установленного законом срока (5 лет — для платёжных документов).

16. Заключительные положения

Оператор оставляет за собой право вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу reviewmio.ru/privacy. О существенных изменениях зарегистрированные пользователи уведомляются по email не менее чем за 10 дней до вступления изменений в силу.

По всем вопросам, связанным с обработкой персональных данных, обращайтесь по email: hello@reviewmio.ru. Полные реквизиты Оператора (включая почтовый адрес для направления документов) указаны в разделе 1 настоящей Политики.

Контролирующий орган: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), rkn.gov.ru.