Шаблон документа. Перед запуском заполните реквизиты в квадратных скобках и согласуйте текст с юристом.

Политика обработки персональных данных

Редакция от 2026-10-19

1. Кто обрабатывает данные

Сервис «Mastly» — [наименование юрлица, ИНН, ОГРН, адрес]. По данным своего аккаунта сервис — оператор. Данные клиентов в карточках мастера сервис обрабатывает по поручению мастера (ч. 3 ст. 6 Федерального закона № 152-ФЗ), оператор этих данных — мастер.

2. Какие данные и зачем

• E-mail и пароль — вход в аккаунт; e-mail — подтверждения, напоминания и сброс пароля. Пароль хранится только в виде необратимого хеша (scrypt).
• Телефон — контакт для мастера по поводу записи; для входа не используется.
• Имя — чтобы мастер знал, кто записан.
• Если вы сами подключите напоминания в мессенджере или браузере — идентификатор чата или подписки браузера (хранится зашифрованным).
• Записи, услуги, время визитов, статусы оплаты депозита — исполнение записи.
• IP-адрес и технические журналы — защита от взлома и злоупотреблений.
• Технические данные о работе с сервисом: когда вы последний раз заходили, тип устройства и браузера (без версий), входы и выходы, ошибки, которые вы видели на страницах (адрес страницы и код ошибки — без текста, который вы вводили), — чтобы поддержка могла помочь, если «что-то не работает».
• Фото профиля, фото мастера и логотип салона — если вы сами их загрузите. Сервер пересохраняет картинку и стирает из неё служебные данные (модель телефона, геометку). Фото клиента видят только он сам и мастера, у которых он записан; фото мастера и логотип видны на его странице записи. Удалить фото можно в любой момент в профиле или настройках.
• Карточка клиента у мастера: дата рождения, e-mail, скидка, метки, источник и свои поля мастера — их заполняет мастер для работы с клиентом (e-mail и свои поля хранятся зашифрованными); мастер обрабатывает их как оператор по своему поручению сервису.
• Выбранный язык интерфейса — чтобы сайт, письма и уведомления приходили на нём.
• Если вас пригласили по почте администратор или поддержка сервиса — имя, e-mail и (по желанию) телефон, город и специализацию для приглашения; аккаунт создаётся, только когда вы сами откроете ссылку, зададите пароль и дадите согласие.

Мы не собираем специальные категории данных (о здоровье и иные) и биометрию.

3. Где и как хранятся данные

Данные записываются и хранятся в базах данных на территории Российской Федерации. Телефоны и e-mail хранятся зашифрованными (AES-256-GCM), поиск по ним идёт через одностороннее хеширование. Доступ сотрудников ограничен, просмотр мастером полного номера клиента фиксируется в журнале.

4. Передача третьим лицам

Данные передаются только для исполнения записи: почтовому сервису — для писем (подтверждение почты, напоминания), банку — для приёма депозита.

Напоминания в мессенджерах и браузере — только если вы подключите их сами, и их можно отключить в любой момент (в профиле, на странице записи или командой /stop в чате). Текст напоминания (время визита, услуга, имя и адрес мастера) получает выбранный сервис: MAX (российский сервис компании VK) или Telegram (Telegram Messenger Inc., иностранная компания — это трансграничная передача, которую вы поручаете, подключая бота). Уведомления браузера шифруются на нашем сервере и проходят через службу доставки вашего браузера (Google, Apple, Mozilla, Microsoft) в зашифрованном виде: прочитать их может только ваш браузер.

5. Сроки

Данные аккаунта хранятся до удаления аккаунта или отзыва согласия. Ссылки для подтверждения почты и сброса пароля действуют 24 часа и 30 минут и удаляются через двое суток. Подключение мессенджера к одной записи удаляется через двое суток после визита. Технические данные о работе с сервисом (входы, выходы, ошибки, «был в сети») — 90 дней, затем удаляются автоматически. Неиспользованное приглашение действует 7 дней и удаляется через 90 дней. Журналы безопасности — до [срок] месяцев.

6. Ваши права

Вы можете узнать, какие данные мы храним, исправить их, отозвать согласие на рассылки в профиле и удалить аккаунт в разделе «Профиль» — сайт или приложение. Запросы, в том числе об удалении данных, — в разделе «Поддержка» или на [e-mail для обращений]; запрос об удалении выполняется в течение 30 дней (ст. 21 152-ФЗ), об итоге мы сообщим.

Обращения в поддержку хранятся вместе с ответом 3 года — для разбора споров. Заявка в листе ожидания удаляется на следующий день после выбранной даты. Мастер, загружающий базу своих клиентов из файла, остаётся оператором этих данных и подтверждает, что клиенты согласились на их обработку.

7. Утечки

При инциденте мы уведомляем Роскомнадзор в течение 24 часов и сообщаем результаты расследования в течение 72 часов, как требует ч. 3.1 ст. 21 152-ФЗ.