Черновик — утверждается юристом

Политика обработки персональных данных

Редакция от 28.09.2026

1. Общие положения

1.1. Политика описывает, как сервис «Поток» (сайт [адрес сайта], личный кабинет и API, далее — Сервис) обрабатывает персональные данные и как они защищаются. Политика опубликована во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и доступна на каждой странице, где Сервис собирает персональные данные.

1.2. Термины употребляются в значении ст. 3 Закона.

1.3. Согласие на обработку даётся отдельным документом: Согласие на обработку персональных данных. Отношения с компаниями-клиентами регулируют Публичная оферта и Условия использования.

2. Оператор

2.1. Оператор персональных данных — лицо, которое определяет цели и состав обработки. По решению владельца Сервиса от 11.09.2026 оператором является организация, которая ведёт Сервис (далее — Оператор):

• Полное наименование: [наименование оператора]
• ИНН: [ИНН]
• ОГРН: [ОГРН]
• Адрес: [юридический адрес]
• Регистрационный номер в реестре операторов Роскомнадзора: [номер после подачи уведомления по ст. 22 Закона]

2.2. Ответственный за организацию обработки персональных данных (ст. 22.1 Закона): [ФИО, назначается приказом], [email для запросов субъектов].

3. Чьи данные и какие

3.1. Пользователи — люди, которые зарегистрировали компанию или приняли приглашение в неё: имя, адрес электронной почты, хеш пароля, роли и права в компаниях, ИНН (если пользователь регистрирует себя как индивидуального предпринимателя).

3.2. Заявители — люди, оставившие заявку на подключение: адрес электронной почты и ИНН компании. ИНН индивидуального предпринимателя — персональные данные.

3.3. Лица, данные о которых вносит компания-клиент:

• сотрудники: ФИО, должность, оклад и ставка, премии, даты приёма и увольнения, основание работы, сведения для расчёта зарплаты, НДФЛ и взносов;
• кадровые документы и их сканы, если компания загрузила их в архив: могут содержать паспортные данные, СНИЛС, сведения трудового договора;
• контрагенты — индивидуальные предприниматели и физические лица: ФИО, ИНН, реквизиты счёта, адрес электронной почты для отправки документов. Карточка контрагента может появиться автоматически из банковской выписки;
• участники общества: ФИО, ИНН, доля;
• подписанты и руководители в реквизитах компании: ФИО, должность;
• исполнители в журналах писем и держатели оригиналов документов: ФИО сотрудника;
• любые сведения, которые есть в загруженных документах и в тексте, распознанном из сканов.

3.4. Посетители сайта: технические данные, без которых сайт не работает (раздел 10), а при согласии на аналитику — данные Яндекс.Метрики (раздел 10).

3.5. Сведения о согласиях и доступе: дата и время согласия, версия документа, IP-адрес и строка User-Agent браузера; записи журнала доступа к конфиденциальным документам — кто, когда, с какого IP-адреса и браузера открыл документ или скачал файл.

3.6. Специальные категории персональных данных (ст. 10 Закона) и биометрические данные (ст. 11 Закона) Сервис не запрашивает и для целей идентификации не использует. [уточнить: фотографии в сканах паспортов в кадровом архиве — не являются ли биометрическими данными]

4. Цели и правовые основания

• Учётная запись и вход — согласие пользователя (п. 1 ч. 1 ст. 6 Закона) и исполнение договора с компанией, от имени которой он работает.
• Рассмотрение заявки и проверка компании — согласие заявителя.
• Оказание услуги компании-клиенту — учёт, счета, первичные документы, сотрудники и контрагенты, зарплата, отчётность, архив и поиск по сканам — исполнение договора (п. 5 ч. 1 ст. 6 Закона) и основания, которые есть у компании-клиента (раздел 5).
• Служебные письма — подтверждение почты, приглашения, счета за тариф, сообщения о проверке, напоминания о налоговых сроках — исполнение договора и согласие.
• Безопасность и учёт доступа — журнал доступа к конфиденциальным документам: обязанность Оператора (п. 2 ч. 1 ст. 6, п. 8 ч. 2 ст. 19 Закона).
• Аналитика посещаемости сайта — только согласие посетителя, данное в плашке cookie (раздел 10).
• Исполнение обязанностей по закону — ответы на запросы субъектов и уполномоченных органов, бухгалтерский и налоговый учёт расчётов с клиентами (п. 2 ч. 1 ст. 6 Закона).

Рекламных рассылок Сервис не делает. Если они появятся — только с отдельного согласия (ст. 18 Федерального закона № 38-ФЗ «О рекламе»).

5. Данные, которые вносит компания-клиент

5.1. Данные о сотрудниках, контрагентах и других людях (п. 3.3) вносит сама компания-клиент. Она подтверждает, что вправе их обрабатывать и передавать в Сервис: у неё есть согласие этих людей там, где оно требуется, или иное основание из ч. 1 ст. 6 Закона (раздел 9 оферты).

5.2. Для таких данных Закон обычно считает оператором саму компанию-клиента, а платформу — лицом, обрабатывающим данные по её поручению (ч. 3 ст. 6 Закона). Владелец Сервиса 11.09.2026 выбрал модель, в которой оператором этих данных тоже является Оператор Сервиса. [Для юриста: подтвердить, что модель ложится на текст оферты, либо заменить на поручение. До подтверждения пункт остаётся черновым]

5.3. Запросы людей, чьи данные внесла компания-клиент, Оператор рассматривает сам и при необходимости передаёт компании-клиенту — она лучше знает, откуда данные и нужны ли они для её учёта.

6. Действия с данными и способы обработки

6.1. Оператор собирает, записывает, систематизирует, накапливает, хранит, уточняет, извлекает, использует, передаёт в случаях из раздела 7, блокирует, удаляет и уничтожает персональные данные (п. 3 ст. 3 Закона).

6.2. Обработка — автоматизированная, с передачей по сети интернет, и без средств автоматизации (при ответах на запросы). Решений, порождающих юридические последствия для человека, исключительно на основе автоматизированной обработки Оператор не принимает. Автоматическое сопоставление платежей со счетами — вспомогательная функция учёта компании-клиента, результат проверяет человек.

6.3. Сканы распознаются на сервере Оператора. Файлы и распознанный текст не передаются во внешние облачные сервисы распознавания.

7. Кому передаются данные

7.1. Оператор привлекает лиц, которые обрабатывают данные по его поручению (ч. 3 ст. 6 Закона). В поручении перечислены цели, действия и требования к защите.

• хостинг-провайдер — размещение Сервиса и базы данных: [наименование, ИНН; уточнить: серверы в РФ];
• хранилище файлов (S3-совместимое): [наименование, ИНН; уточнить: серверы в РФ];
• почтовый сервис (SMTP) — доставка писем: адрес получателя, тема и текст письма, вложения (например, PDF счёта покупателю): [наименование, ИНН; уточнить: российский провайдер];
• ООО «ЯНДЕКС» — Яндекс.Метрика, только при согласии посетителя (раздел 10).

7.2. Оператор передаёт данные для получения сведений или по поручению компании-клиента:

• ООО «Дадата» — ИНН организации или предпринимателя, чтобы получить сведения ЕГРЮЛ/ЕГРИП для реквизитов и проверки компании;
• АО «ТБанк» — по поручению компании-клиента: запрос выписки по её токену, выставление счетов покупателям через банк (данные покупателя в счёте). Из банка приходит выписка с данными плательщиков и получателей;
• покупатели и контрагенты компании-клиента — счета и документы, которые компания отправляет им письмом;
• внешние программы компании-клиента — через API и вебхуки, по ключам и адресам, которые настроила сама компания.

7.3. Уполномоченным органам — суду, налоговым органам, правоохранительным органам — данные передаются по запросу, когда это предусмотрено законом.

7.4. Данные не продаются и не передаются для рекламы.

8. Место хранения и трансграничная передача

8.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ ведутся с использованием баз данных на территории РФ (ч. 5 ст. 18 Закона). [уточнить по инфраструктуре: где боевой сервер, база MongoDB, резервные копии и хранилище файлов]

8.2. Трансграничной передачи (ст. 12 Закона) на дату этой редакции нет. Если почтовый сервис или другой обработчик окажется за пределами РФ, до начала передачи Оператор подаст уведомление в Роскомнадзор (ч. 3 ст. 12 Закона) и изменит Политику. [уточнить: выбор SMTP-провайдера]

9. Сроки хранения и уничтожение

• учётная запись пользователя — пока она есть; после удаления — сведения о факте согласия [уточнить срок, например 3 года];
• заявка, по которой компания не подключилась, — [уточнить: например 1 год с даты заявки];
• данные компании-клиента, в том числе о её сотрудниках и контрагентах, — пока действует договор и [уточнить: N дней после его прекращения для выгрузки] (раздел 14 оферты). Открытое решение владельца — сколько хранить данные ушедшей компании;
• журнал доступа к конфиденциальным документам — 3 года, затем записи удаляются автоматически. [уточнить: в Законе срок не установлен; 3 года выбраны по сроку исковой давности, ст. 196 ГК РФ]
• документы о расчётах Оператора с клиентами — по срокам бухгалтерского и налогового учёта (ст. 29 Федерального закона № 402-ФЗ, подп. 8 п. 1 ст. 23 НК РФ);
• резервные копии — [уточнить: срок хранения копий]; данные, удалённые из Сервиса, исчезают из копий по истечении этого срока;
• выбор в плашке cookie — в браузере посетителя, до очистки хранилища браузера или смены редакции плашки.

Когда цель достигнута, срок истёк или согласие отозвано, Оператор уничтожает данные в течение 30 дней (ч. 4, 5 ст. 21 Закона), если нет другого законного основания их хранить. Уничтожение оформляется по требованиям Роскомнадзора (приказ от 28.10.2022 № 179). [уточнить: акт или выгрузка из журнала]

10. Cookie и Яндекс.Метрика

10.1. Необходимые данные в браузере. Без них сайт и кабинет не работают: ключ сессии после входа, выбранная компания, сам выбор в плашке cookie. Они хранятся в браузере посетителя (localStorage и sessionStorage) и нужны только для работы Сервиса. Согласия на них не требуется, отключить их можно только выйдя из кабинета или очистив данные сайта в браузере.

10.2. Аналитика. На сайте и в кабинете может работать счётчик Яндекс.Метрики. Он ставит свои cookie и передаёт ООО «ЯНДЕКС» сведения о посещении: IP-адрес, идентификатор cookie, тип устройства и браузера, страницы и переходы, источник захода, время на сайте. Счётчик нужен, чтобы понимать, какими разделами пользуются и где сайт неудобен.

10.3. Только с согласия. Счётчик не загружается, пока посетитель не нажал «Принять все» в плашке cookie. «Только необходимые» — такой же полноправный ответ: сайт работает полностью, аналитика не включается. Выбор хранится в браузере посетителя и на сервер Оператора не отправляется.

10.4. Роль Яндекса. По условиям использования Яндекс.Метрики (п. 5.4) владелец сайта — оператор, а Яндекс обрабатывает данные по его поручению (ч. 3 ст. 6 Закона). Обобщённые данные счётчиков Яндекс вправе использовать по своим условиям. [уточнить: условия Метрики о применении данных в собственных целях Яндекса — не делает ли это Яндекс самостоятельным оператором и не нужна ли передача по отдельному согласию]

10.5. Запись действий посетителя (Вебвизор) и передача в Метрику данных форм не включаются. [уточнить: зафиксировать в настройках счётчика]

10.6. Изменить решение можно ссылкой «Настройки cookie» в подвале сайта. Отзыв согласия на аналитику действует с момента выбора; уже переданные данные хранятся у Яндекса по условиям Метрики. Когда меняется состав cookie или счётчиков, плашка спрашивает снова.

11. Права субъекта

Человек вправе (ст. 14–17 Закона):

• получить сведения об обработке своих данных: оператор, цели, основания, состав, источник, сроки, кому передаются;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, получены незаконно или не нужны для заявленной цели;
• отозвать согласие (раздел 8 согласия). Отзыв не останавливает обработку, у которой есть другое основание из ч. 1 ст. 6 Закона;
• потребовать прекратить обработку (ч. 5.1 ст. 21 Закона);
• обжаловать действия Оператора в Роскомнадзор или в суд.

12. Как обратиться

12.1. Запрос направляется на [email для запросов субъектов] или письмом по адресу Оператора. В запросе нужны сведения, по которым Оператор найдёт данные и убедится, что пишет сам человек (ч. 3 ст. 14 Закона): как правило, адрес почты учётной записи или заявки, а для лиц из п. 3.3 — название компании-клиента и сведения о связи с ней.

12.2. Оператор отвечает в течение 10 рабочих дней с даты получения запроса. Срок может быть продлён ещё на 5 рабочих дней с мотивированным уведомлением (ст. 20 Закона).

12.3. Выгрузки и удаления данных по кнопке в кабинете в этой версии Сервиса нет: запросы принимаются по контактам Оператора и исполняются вручную.

13. Меры защиты

Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона:

• назначен ответственный за организацию обработки (п. 2.2), изданы локальные акты по обработке персональных данных [уточнить: список актов];
• доступ к данным компании есть только у её пользователей и зависит от выданных прав. Зарплаты и персональные данные сотрудников видят только те, кому выдано отдельное право; конфиденциальные документы закрыты по умолчанию;
• открытие конфиденциальных документов и скачивание их файлов записывается в журнал доступа;
• данные одной компании не отдаются другой: изоляция проверяется на сервере при каждом запросе;
• пароли хранятся только хешем (bcrypt), токен банка — в зашифрованном виде и наружу не отдаётся;
• файлы отдаются только после проверки входа и прав, публичных ссылок на файлы нет;
• соединение с Сервисом шифруется (HTTPS);
• ключи API хранятся хешем, выпускаются с ограниченными правами и отзываются в один клик;
• сканы распознаются на собственном сервере, без внешних облачных сервисов;
• уровень защищённости информационной системы (постановление Правительства РФ от 01.11.2012 № 1119), модель угроз и меры по приказу ФСТЭК России № 21 [уточнить: определяются до приёма внешних клиентов].

14. Инциденты

14.1. При неправомерной или случайной передаче (утечке) персональных данных Оператор уведомляет Роскомнадзор (ч. 3.1 ст. 21 Закона):

• в течение 24 часов с момента обнаружения — об инциденте, его предполагаемых причинах, вреде, принятых мерах и контактном лице;
• в течение 72 часов — о результатах внутреннего расследования и лицах, чьи действия стали причиной, если они выявлены.

14.2. Компании-клиенты, чьи данные затронуты, получают уведомление [уточнить: срок, например в течение 24 часов]. Порядок реагирования — кто обнаруживает, кто расследует, кто пишет в Роскомнадзор — устанавливается внутренним регламентом Оператора [уточнить: регламент].

15. Изменение Политики

15.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с датой редакции и действует с неё, если в редакции не указано иное.

15.2. Если меняются цели, состав данных или круг получателей, на которые дано согласие, Оператор запрашивает новое согласие.

15.3. Предыдущие редакции хранятся у Оператора и выдаются по запросу. Согласие хранит номер редакции, которую принял человек.