- Политика конфиденциальности BHAPI
- 1. Кто мы и зачем эта политика
- 2. Персональные данные, которые мы собираем
- 3. Правовые основания обработки
- 4. Как мы используем данные
- 5. Передача данных третьим лицам
- 6. Сроки хранения данных
- 7. Безопасность данных
- 8. Права субъекта персональных данных
- 9. Файлы cookie
- 10. Несовершеннолетние
- 11. Уведомление об инцидентах
- 12. Изменения в Политике
- 13. Контакты
Политика конфиденциальности BHAPI
Редакция от: 14 сентября 2026 г.
1. Кто мы и зачем эта политика
Настоящая Политика конфиденциальности (далее — «Политика») описывает, какие персональные данные собирает, хранит и обрабатывает Цыганков Сергей Владимирович (ИНН 773606074088) (далее — «Оператор») при использовании сервиса BHAPI (далее — «Сервис»), а также права субъектов персональных данных.
Политика разработана в соответствии с: - Федеральным законом № 152-ФЗ «О персональных данных» от 27.07.2006; - Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27.07.2006; - Постановлением Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах»; - Приказом ФСТЭК России № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных».
2. Персональные данные, которые мы собираем
| Категория данных | Примеры | Цель |
|---|---|---|
| Идентификационные | Email-адрес, отображаемое имя | Регистрация и идентификация в Сервисе |
| Аутентификационные | Хэш пароля (bcrypt) | Безопасный вход в учётную запись |
| Платёжные реквизиты | Метаданные платежей YooKassa (без номера карты) | Биллинг и бухгалтерский учёт |
| Технические | IP-адрес, User-Agent, дата/время запросов | Безопасность, антифрод, отладка |
| Данные об использовании | Запросы API, статистика запросов | Тарификация и улучшение качества сервиса |
| Псевдонимные данные веб-аналитики | ClientID Яндекс.Метрики, посещённые публичные страницы, достигнутые цели | Оценка работы сайта и конверсий |
Оператор не собирает: паспортные данные, СНИЛС, номера телефонов (если только Пользователь не предоставил их добровольно при обращении в поддержку), биометрические данные, сведения о состоянии здоровья.
3. Правовые основания обработки
- Согласие субъекта — при регистрации Пользователь явно соглашается с настоящей Политикой (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ);
- Исполнение договора — данные обрабатываются для оказания услуг по Условиям использования (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ);
- Законные интересы — предотвращение мошенничества, обеспечение безопасности инфраструктуры (п. 7 ч. 1 ст. 6 Закона № 152-ФЗ).
4. Как мы используем данные
4.1. Предоставление Сервиса: аутентификация, управление подписками и API-ключами, обработка платежей.
4.2. Обеспечение безопасности: защита от несанкционированного доступа, DDoS-атак, злоупотребления API.
4.3. Улучшение Сервиса: анализ агрегированной (деперсонализированной) статистики использования.
4.4. Коммуникации: транзакционные письма (подтверждение регистрации, восстановление пароля, уведомления о платежах и лимитах). Маркетинговые рассылки — только с отдельного явного согласия.
4.5. Выполнение законодательных требований: ответы на официальные запросы органов государственной власти в установленном законом порядке.
5. Передача данных третьим лицам
5.1. Оператор не продаёт и не передаёт персональные данные третьим лицам в коммерческих целях.
5.2. Данные могут передаваться:
| Получатель | Цель | Правовое основание |
|---|---|---|
| ЮKassa (АО «Национальная платёжная корпорация») | Обработка платежей | Договор с Пользователем |
| Хостинговый провайдер (РФ) | Хранение данных в дата-центре | Договор оказания услуг |
| ООО «ЯНДЕКС» (Яндекс.Метрика) | Веб-аналитика публичных страниц и учёт псевдонимных конверсий | Законный интерес Оператора в улучшении Сервиса |
5.3. Все обработчики данных работают на условиях конфиденциальности. Серверы и базы данных размещаются на территории Российской Федерации в соответствии со ст. 18 Закона № 152-ФЗ.
5.4. Трансграничная передача персональных данных в третьи страны Оператором не осуществляется. При изменении этой практики Оператор предварительно обновит настоящую Политику и, при необходимости, запросит отдельное согласие Пользователя.
6. Сроки хранения данных
| Тип данных | Срок хранения |
|---|---|
| Учётная запись (email, имя, пароль) | В течение срока действия аккаунта + 3 года после удаления |
| Платёжные записи | 5 лет (требования бухгалтерского учёта, ст. 29 Федерального закона № 402-ФЗ) |
| Логи запросов API | 1 год |
| Логи доступа (IP, User-Agent) | 6 месяцев |
| Локальная очередь веб-аналитики | ClientID удаляется после единственной попытки доставки, завершения зависшего события или истечения 12-часового окна; завершённые технические записи удаляются через 30 дней |
| Резервные копии БД | 90 дней с момента создания |
7. Безопасность данных
Оператор применяет следующие меры защиты: - хранение паролей исключительно в виде хэша (bcrypt, стоимость ≥ 12); - шифрование HTTPS/TLS 1.2+ для всех соединений; - ограничение объёма файлов логов настраиваемой ротацией; - контроль доступа: персональные данные доступны только сотрудникам, которым это необходимо для выполнения обязанностей; - регулярное обновление зависимостей и аудит уязвимостей.
8. Права субъекта персональных данных
В соответствии с главой 3 Закона № 152-ФЗ Пользователь вправе:
| Право | Как реализовать |
|---|---|
| Получить подтверждение обработки и копию данных | Запрос на batoo@mail.ru |
| Исправить неточные данные | Личный кабинет → Профиль |
| Удалить учётную запись и данные | Личный кабинет → Профиль → «Удалить аккаунт» или запрос в поддержку |
| Отозвать согласие на обработку | Запрос на batoo@mail.ru (может повлечь прекращение доступа к Сервису) |
| Ограничить обработку | Запрос в поддержку |
| На переносимость данных | Запрос в поддержку (формат JSON или CSV) |
Срок исполнения запросов — 30 (тридцать) календарных дней. Для подтверждения личности может потребоваться указать email, зарегистрированный в Сервисе.
9. Файлы cookie
Сервис использует:
- Сессионные cookie (fastapiusersauth) — для авторизации в личном кабинете; удаляются при закрытии браузера или выходе из системы;
- Функциональные cookie (csrf_token, theme) — для защиты форм и запоминания тёмной/светлой темы.
- Аналитические cookie Яндекс.Метрики (включая _ym_uid) — на публичных страницах для различения посещений, анализа источников трафика и достижения целей. Срок хранения определяется настройками счётчика и правилами Яндекс.Метрики.
Код браузерной аналитики не загружается на страницах регистрации, входа,
восстановления пароля, личного кабинета и админ-панели. Сервер может передать в
Яндекс.Метрику только псевдонимный ClientID из cookie _ym_uid, название цели и
время события после успешной регистрации, успешного входа либо принятого запроса
на восстановление пароля. Повторные однотипные auth-события одного ClientID
дедуплицируются в пятиминутном временном бакете. Событие восстановления не зависит от существования
указанного email. Email, имя, пароль, reset-токен, IP-адрес и User-Agent не
передаются. Рекламные cookie Сервис не использует.
10. Несовершеннолетние
Сервис предназначен для лиц, достигших 18 лет, или для несовершеннолетних, действующих с согласия родителей/законных представителей. Если нам станет известно, что данные несовершеннолетнего до 14 лет были собраны без согласия родителей, мы незамедлительно удалим их.
11. Уведомление об инцидентах
В случае утечки персональных данных Оператор уведомит: - Роскомнадзор — в течение 24 часов с момента обнаружения (ст. 21 Закона № 152-ФЗ, ч. 3.1); - Пострадавших Пользователей — в течение 72 часов.
12. Изменения в Политике
Об изменениях, существенно затрагивающих права Пользователей, мы уведомим по email за 10 (десять) дней до вступления в силу.
13. Контакты
Оператор персональных данных: BHAPI
Email для запросов по персональным данным: batoo@mail.ru
Контакт поддержки: batoo@mail.ru