Правовой документ

Политика обработки персональных данных

Действует с 2026-07-16

1.Общие положения

Настоящая Политика обработки персональных данных («Политика») определяет, какие персональные данные Пользователей платформы Lexa («Платформа», «мы») обрабатываются, с какой целью, на каком основании, кому передаются и как долго хранятся.

Политика составлена в соответствии с Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» и является неотъемлемой частью Пользовательского соглашения.

2.Оператор персональных данных

Оператором персональных данных является [заполнить: наименование юрлица/ИП, ОГРН/ОГРНИП, ИНН, юридический адрес] — тот же оператор, что указан в разделе 24 Пользовательского соглашения.

В соответствии со ст. 18.1 152-ФЗ Оператор назначает лицо, ответственное за организацию обработки персональных данных: [заполнить: Ф.И.О. или должность ответственного, контактный адрес электронной почты].

Этот раздел содержит поля-заполнители ([заполнить: ...]), которые нужно подставить и проверить с юристом до публичного запуска.

3.Какие данные мы обрабатываем

В зависимости от того, как Пользователь взаимодействует с Платформой, обрабатываются:

регистрационные данные — имя, адрес электронной почты, хеш пароля (сам пароль в открытом виде не хранится), дата принятия Пользовательского соглашения;
номер телефона — при прохождении телефонной верификации; сам код подтверждения хранится не в открытом виде, а в виде криптографического хеша;
содержимое профиля — специализация, описание, фото, портфолио, которые Пользователь добавляет самостоятельно;
переписка и вложения — текст сообщений и файлы (изображения, документы), которые Пользователи сами прикрепляют к сообщениям; содержимое вложений не проверяется Платформой автоматически, и оно может случайно включать данные, которые отправитель не намеревался раскрывать (лица на фото, документы и т.п.) — это ограничение при разработке до появления автоматической модерации контента;
данные объявлений — тексты, фотографии и указанный бюджет заказов и услуг, опубликованных Пользователем;
данные заявок на верификацию — присланное портфолио или ответ на тестовое задание, а также оценка и комментарий модератора по заявке. Это оценочные данные о конкретном человеке, а не просто содержимое профиля, и обрабатываются отдельно от общей верификации;
данные модерации — факт, дата и причина блокировки Аккаунта (если применялась);
данные активности и репутации — количество выполненных заказов, отзывов, повторных клиентов, разблокированные достижения, рейтинг и число выполненных услуг специалиста;
технические данные — метки времени входа, счётчики попыток входа/загрузок/запроса кодов для защиты от подбора пароля и злоупотреблений. Эти счётчики хранятся не в основной базе данных, а в отдельном хранилище (Redis) с автоматическим удалением через 15–60 минут — дольше этого срока они технически не существуют;
служебные данные сессии — идентификатор сессии входа на сервере. Платформа пока не подключала вход через сторонние сервисы (например, через соцсети); если это изменится, здесь появятся и токены доступа таких сервисов.

4.Категории субъектов персональных данных

Обрабатываются персональные данные зарегистрированных Пользователей Платформы — как выступающих в роли Заказчика, так и в роли Исполнителя. Данные лиц младше 18 лет целенаправленно не обрабатываются: регистрация ограничена совершеннолетними Пользователями (см. Пользовательское соглашение, раздел 6).

5.Цели обработки

Персональные данные обрабатываются для:

регистрации и аутентификации Пользователя, поддержания сессии входа;
предоставления функций Платформы — публикации объявлений, поиска, обмена сообщениями;
прохождения добровольной верификации (подтверждение телефона, категории навыков) и рассмотрения соответствующих заявок;
защиты от мошенничества, подбора пароля и злоупотреблений (ограничение частоты запросов);
рассмотрения жалоб, споров и модерации контента (раздел 12, 13 Пользовательского соглашения);
исполнения требований законодательства РФ, включая ответ на запросы уполномоченных органов.

6.Правовые основания обработки

Обработка осуществляется на основании согласия Пользователя (ст. 6, 9 152-ФЗ), предоставляемого при регистрации, а также в объёме, необходимом для исполнения Пользовательского соглашения, стороной которого является сам субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ).

7.Уведомление Роскомнадзора

По общему правилу статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор о начале обработки персональных данных до её начала. Часть 2 той же статьи содержит исключения — в частности, для обработки, необходимой исключительно для заключения и исполнения договора с самим субъектом персональных данных, если данные не передаются третьим лицам без его согласия и не используются для принятия решений, порождающих юридические последствия для субъекта.

Подпадает ли обработка данных Платформой под одно из этих исключений — в том числе с учётом передачи данных хостинг-провайдеру как лицу, обрабатывающему данные по поручению Оператора (раздел 9), — вопрос, требующий отдельной юридической оценки, а не технического решения. До получения такой оценки нельзя исходить из того, что уведомление в Роскомнадзор не требуется.

Требует отдельного технического подтверждения до реального запуска — это не только вопрос текста документа.

8.Какие действия совершаются с данными

В отношении персональных данных совершаются следующие действия (в значении ст. 3 152-ФЗ): сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление и уничтожение. Обработка осуществляется как с использованием средств автоматизации, так и без них — в объёме, необходимом для достижения целей из раздела 5.

Распространение (передача неограниченному кругу лиц) персональных данных не осуществляется, за исключением сведений, которые Пользователь сам решает сделать публичными в своём профиле или объявлении (имя, специализация, фото, портфолио).

9.Передача данных третьим лицам

Для работы Платформы данные технически размещаются на сервере хостинг-провайдера [заполнить: наименование провайдера/дата-центра], который выступает лицом, осуществляющим обработку по поручению Оператора в значении ст. 6 152-ФЗ.

Иным третьим лицам, включая рекламные и аналитические сервисы, персональные данные не передаются: на момент публикации Политики Платформа не использует сторонние аналитические системы.

10.Место хранения и локализация данных

В соответствии с ч. 5 ст. 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны осуществляться с использованием баз данных, физически находящихся на территории Российской Федерации. Это касается как основной базы данных, так и вспомогательного хранилища Redis, описанного в разделе 3, — оба должны физически находиться на территории РФ, а не только основная база данных.

Это требование должно быть подтверждено для конкретной инфраструктуры Платформы (расположение серверов) до начала обработки персональных данных реальных Пользователей — до этого момента формулировки этого раздела являются целевыми, а не подтверждённым фактом.

11.Меры по обеспечению безопасности

Платформа применяет следующие технические меры защиты персональных данных:

пароли хранятся в виде необратимого хеша (bcrypt, фактор стоимости 12), а не в открытом виде;
коды подтверждения телефона хранятся в виде криптографического хеша (HMAC-SHA256), а не в открытом виде;
число попыток входа, загрузки файлов и запроса кодов подтверждения ограничено технически для защиты от подбора и перебора;
доступ к административным функциям (модерация, управление пользователями) ограничен ролью администратора и требует аутентификации.

12.Срок хранения и удаление данных

Пользователь может самостоятельно удалить Аккаунт в разделе настроек — с подтверждением паролем. Удаление необратимо и происходит немедленно: удаляются профиль, объявления, заявки на верификацию и участие в переписке. Сообщения, отправленные удалённым Пользователем, тоже удаляются вместе с его аккаунтом — если он переписывался с ещё существующим Пользователем, в диалоге останутся только сообщения второй стороны, без ответов удалённого Пользователя. Это сознательный выбор в пользу полного удаления, а не анонимизации с сохранением текста переписки.

Данные о блокировке аккаунта (факт, дата и причина бана) хранятся отдельно от готовности аккаунта к самостоятельному удалению: заблокированный Пользователь не может удалить аккаунт самостоятельно через интерфейс — это закрыло бы возможность обойти блокировку удалением и повторной регистрацией на тот же email или телефон. Такой запрос обрабатывается через контакты из раздела 17; данные о блокировке хранятся не дольше 3 лет с даты блокировки для целей предотвращения повторных нарушений, если более долгий срок не требуется для рассмотрения конкретного спора.

Отклонённые заявки на верификацию хранятся до подачи новой заявки по тому же направлению (при повторной подаче предыдущая запись перезаписывается) либо не дольше 12 месяцев с момента отказа, если Пользователь заявку не переподавал. Автоматическая очистка таких заявок по истечении 12 месяцев на момент публикации Политики не реализована технически — это целевой срок, а не автоматически соблюдаемый факт, аналогично тому, как заявки хранятся до появления отдельного фонового задания на очистку.

Анти-фрод счётчики в Redis (раздел 3) — исключение из общего порядка: они удаляются автоматически через 15–60 минут независимо от судьбы Аккаунта, без какого-либо ручного вмешательства.

13.Cookie и аналогичные технологии

Платформа использует один строго необходимый cookie-файл — authjs.session-token (в защищённом соединении — __Secure-authjs.session-token), который хранит сессию входа в Аккаунт. Без него невозможно оставаться авторизованным на Платформе; срок его действия ограничен сроком действия сессии. Этот cookie устанавливается независимо от выбора в баннере, описанном ниже, — он не является предметом согласия, так как обеспечивает саму запрошенную Пользователем функцию (вход в аккаунт).

При первом посещении Платформа показывает баннер с выбором «Принять» или «Отклонить». На момент публикации Политики Платформа не использует cookie для рекламы, аналитики или отслеживания поведения на сторонних сайтах, поэтому оба варианта выбора практически равнозначны и не меняют работу Платформы.

Выбор сохраняется на устройстве Пользователя. Если в будущем Платформа подключит необязательные cookie (например, счётчик посещаемости) — такие cookie будут загружаться только при выборе «Принять»; выбор «Отклонить» будет реально блокировать их подключение, а не просто скрывать баннер.

14.Права субъекта персональных данных

В соответствии со ст. 14 152-ФЗ Пользователь вправе:

получить информацию, касающуюся обработки его персональных данных;
требовать уточнения, блокирования или уничтожения персональных данных в случае, если они неполны, устарели, неточны или обрабатываются незаконно;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

16.Изменение Политики

Платформа вправе вносить изменения в Политику, публикуя новую редакцию по тому же адресу. Дата последнего обновления указана в начале страницы.

17.Ответственный за обработку персональных данных и контакты

По вопросам обработки персональных данных, реализации прав из раздела 14 и отзыва согласия — обращайтесь: [заполнить: адрес электронной почты, ответственный за обработку персональных данных].