Политика обработки персональных данных

Дата вступления в силу: 1 июля 2026 г. Действующая редакция: 2.0

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые оператором сервиса Notifly (далее — «Оператор»), доступного по адресу https://notifly.ru и поддоменам, в том числе https://app.notifly.ru, включая нативное мобильное приложение Notifly для Android и программные интерфейсы (API) (далее совместно — «Сервис»).

1.2. Оператор ставит соблюдение прав и свобод человека и гражданина при обработке персональных данных, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну, в качестве важнейшего условия осуществления своей деятельности.

1.3. Использование Сервиса означает согласие пользователя с настоящей Политикой и указанными в ней условиями обработки его персональных данных. В случае несогласия с этими условиями пользователь должен воздержаться от использования Сервиса.

1.4. Настоящая Политика является общедоступным документом и размещается в постоянном доступе по адресу https://notifly.ru/legal/privacy/ во исполнение требований ч. 2 ст. 18.1 152-ФЗ.

2. Термины и определения

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Пользователь — физическое лицо, зарегистрировавшее учётную запись в Сервисе или иным образом использующее его функциональность.
• Субъект персональных данных — Пользователь, а также иные физические лица, чьи данные обрабатываются в Сервисе (в том числе получатели уведомлений и отправители входящих сообщений — см. п. 3.2).
• Обработка ПДн — любое действие (операция) с персональными данными, совершаемое с использованием средств автоматизации или без таковых.
• Обработка по поручению — обработка Оператором персональных данных по поручению Пользователя в порядке ч. 3 ст. 6 152-ФЗ, при которой оператором таких данных выступает сам Пользователь (см. п. 7).

3. Категории субъектов и состав обрабатываемых персональных данных

3.1. Данные Пользователей (собственные данные аккаунта)

Оператор обрабатывает следующие персональные данные Пользователей:

• адрес электронной почты (используется как логин учётной записи), статус подтверждения e-mail и служебные токены подтверждения/восстановления доступа;
• пароль учётной записи в виде необратимого хеша (bcrypt); открытый пароль Оператором не хранится;
• выбранный тариф, баланс лицевого счёта (в копейках) и счётчики использования функций (число сообщений, проверок мониторов, обращений к ИИ-функциям и т. п.);
• IP-адрес последнего подключения, строка User-Agent, тип платформы (web, android, cli, mcp, интеграция), время последней активности, язык интерфейса;
• идентификаторы и токены доступа: идентификаторы клиентов и приложений (каналов), токены устройств, MCP-токены, токены webhook, heartbeat, метрик, web-script, токены совместного доступа к каналам;
• идентификатор устройства для доставки push-уведомлений (в приложении для Android push доставляется по постоянному WebSocket-соединению; сторонние push-шлюзы Apple/Google в текущей версии не используются — см. п. 8);
• метаданные обращений к API: время, метод, статус, объём.

3.2. Данные третьих лиц, передаваемые Пользователем (обработка по поручению)

Функциональность Сервиса позволяет Пользователю передавать в Сервис персональные данные иных физических лиц. В отношении таких данных применяется п. 7 настоящей Политики. К ним относятся:

• контактные данные получателей уведомлений: адреса электронной почты, номера телефонов (для доставки по SMS и голосовым вызовам), идентификаторы чатов и токены ботов Telegram, адреса вебхуков Slack и произвольных вебхуков;
• содержимое отправляемых и принимаемых через Сервис уведомлений и сообщений (заголовок, текст, приоритет, имя отправителя, произвольные поля), а также отметки о прочтении;
• содержимое входящих писем функции «Email Inbox»: адрес отправителя, адрес получателя, тема, тело письма, заголовки;
• события маршрутизатора вебхуков: IP-адрес источника, заголовки и полезная нагрузка запроса;
• данные функции отслеживания ошибок веб-скрипта: тексты и трассировки ошибок, адреса страниц, строки User-Agent конечных пользователей сайта Пользователя, source maps;
• конфигурации мониторов (целевые адреса, узлы, заголовки, фильтры) и история проверок;
• значения метрик, направляемых Пользователем.

3.3. Платёжные данные

При оплате платных тарифов обрабатываются платёжные данные в объёме, необходимом для проведения платежа. Полные номера банковских карт Оператором не хранятся: при оплате картой эти данные обрабатываются платёжным провайдером (при его подключении). Реквизиты и суммы платежей могут храниться для целей бухгалтерского и налогового учёта.

3.4. Специальные категории и биометрические ПДн

Сервис не предназначен для обработки специальных категорий персональных данных (о расе, здоровье, религиозных убеждениях и т. п.) и биометрических персональных данных. Пользователь обязуется не передавать в Сервис такие данные без самостоятельного соблюдения требований законодательства.

4. Цели обработки персональных данных

Персональные данные обрабатываются для:

• регистрации, аутентификации и идентификации Пользователей;
• предоставления функциональности Сервиса (отправка и получение уведомлений, мониторинг, вебхуки, email inbox, MCP, web-script, heartbeat, метрики, ИИ-функции и др.);
• обработки платежей, выставления счетов, бухгалтерского и налогового учёта;
• технической поддержки и переписки с Пользователем;
• информирования Пользователя о работе Сервиса, изменениях тарифов и условий обслуживания (сервисные сообщения);
• обеспечения безопасности, предотвращения и расследования злоупотреблений и инцидентов;
• исполнения требований законодательства Российской Федерации.

Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права, исключительно на основании автоматизированной обработки персональных данных (ст. 16 152-ФЗ).

5. Правовые основания обработки

Обработка персональных данных осуществляется на основании:

• согласия субъекта на обработку персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ), выраженного путём регистрации в Сервисе и продолжения его использования;
• необходимости исполнения договора, стороной которого является Пользователь (Пользовательское соглашение, Договор-оферта) (п. 5 ч. 1 ст. 6 152-ФЗ);
• достижения законных интересов Оператора при обеспечении безопасности Сервиса и защите от злоупотреблений, если это не нарушает прав субъекта (п. 7 ч. 1 ст. 6 152-ФЗ);
• поручения Пользователя в отношении данных третьих лиц (ч. 3 ст. 6 152-ФЗ);
• требований применимого законодательства Российской Федерации (п. 2 ч. 1 ст. 6 152-ФЗ).

6. Порядок и условия обработки. Локализация

6.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без таковых и включает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

6.2. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (инфраструктура Yandex Cloud, ООО «Яндекс.Облако», регион ru-central1), в соответствии с ч. 5 ст. 18 152-ФЗ.

7. Обработка данных третьих лиц по поручению Пользователя

7.1. Передавая в Сервис персональные данные третьих лиц (п. 3.2) и настраивая доставку уведомлений, Пользователь выступает оператором таких персональных данных, а Оператор осуществляет их обработку по поручению Пользователя (ч. 3 ст. 6 152-ФЗ) исключительно в целях оказания услуг и в объёме, определяемом действиями Пользователя.

7.2. Пользователь самостоятельно обеспечивает наличие правовых оснований для передачи данных третьих лиц и для направления им сообщений (в том числе согласий получателей, требуемых законодательством о персональных данных и о рекламе), и несёт ответственность за правомерность такой обработки и рассылок.

7.3. Оператор не использует данные третьих лиц, полученные по поручению, для собственных целей и не передаёт их иным лицам, кроме случаев, необходимых для оказания услуг (п. 9) и предусмотренных законом.

8. Доставка push-уведомлений

Push-уведомления в приложении Notifly для Android доставляются по постоянному защищённому WebSocket-соединению между приложением и Сервисом; сторонние push-шлюзы (Apple Push Notification Service, Firebase Cloud Messaging) в текущей версии не используются. В случае подключения таких шлюзов или технологии Web Push в будущем настоящая Политика будет обновлена, а соответствующим сервисам будет передаваться только технический идентификатор устройства, необходимый для доставки уведомления.

9. Передача данных третьим лицам

9.1. Оператор может привлекать к обработке следующих лиц (в объёме, необходимом для оказания услуг):

• провайдер облачной инфраструктуры — ООО «Яндекс.Облако» (ИНН 7704390869, Россия): хостинг, хранение данных, отправка электронной почты (сервис Yandex Postbox);
• провайдер платежей — при его подключении, в объёме, необходимом для проведения платежа;
• уполномоченные государственные органы — в случаях и в порядке, прямо предусмотренных законом.

9.2. При использовании Пользователем внешних каналов доставки и ИИ-функций данные передаются соответствующим сервисам по инициативе и поручению Пользователя (см. п. 7 и п. 10): мессенджеру Telegram, сервису Slack, произвольным вебхукам Пользователя, провайдеру больших языковых моделей (LLM).

9.3. Оператор не передаёт персональные данные третьим лицам в маркетинговых целях и не продаёт персональные данные.

10. Трансграничная передача персональных данных

10.1. По умолчанию персональные данные хранятся и обрабатываются на территории Российской Федерации (п. 6.2).

10.2. Отдельные функции Сервиса, включаемые Пользователем по его усмотрению, предполагают передачу данных сервисам, серверы которых могут находиться за пределами Российской Федерации:

• доставка уведомлений в Telegram и Slack;
• доставка на произвольные вебхуки по адресам, указанным Пользователем;
• ИИ-функции (подсказки селекторов и правил, чат-ассистент): текст запроса Пользователя передаётся провайдеру больших языковых моделей (например, OpenAI, США). Содержимое сообщений, учётные данные и токены доступа в LLM не передаются.

10.3. Такая трансграничная передача осуществляется для исполнения поручения Пользователя; Пользователь несёт ответственность за правомерность инициируемой им передачи. Оператор осуществляет трансграничную передачу с соблюдением требований ст. 12 152-ФЗ, включая уведомление уполномоченного органа в установленных законом случаях.

11. Сроки обработки и хранения

Оператор хранит персональные данные не дольше, чем этого требуют цели обработки. Применяются в том числе следующие сроки:

Категория данных	Срок хранения
Учётная запись, профиль, настройки	в течение срока действия учётной записи; неиспользуемые учётные записи могут удаляться по истечении 12 месяцев
Сообщения и уведомления	до удаления Пользователем (канала, сообщения) или удаления учётной записи
Входящие письма (Email Inbox)	7 дней
События маршрутизатора вебхуков	7 дней
Ошибки веб-скрипта	90 дней; source maps — до удаления соответствующего скрипта
Метрики	агрегаты — до 365 дней; поминутные — 1 сутки
История проверок мониторов	согласно настройкам и тарифу
Журнал активности устройств	30 дней

После удаления учётной записи или отзыва согласия персональные данные подлежат уничтожению в срок, не превышающий 30 дней, за исключением данных, хранение которых требуется законом (в частности, документов бухгалтерского и налогового учёта — в течение установленных сроков).

12. Права субъекта персональных данных

Субъект персональных данных имеет право:

• получать сведения об обработке своих персональных данных (ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• реализовать право на прекращение обработки (в том числе «право на забвение»);
• обжаловать действия или бездействие Оператора в Роскомнадзоре (уполномоченном органе по защите прав субъектов персональных данных) или в судебном порядке.

Запросы направляются на адрес support@notifly.ru с указанием e-mail учётной записи. Сведения об обработке предоставляются в срок до 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней. Уничтожение персональных данных при отзыве согласия производится в срок до 30 дней. Удалить учётную запись можно также самостоятельно в личном кабинете.

13. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, в том числе:

• шифрование передачи данных по протоколу HTTPS/TLS;
• хранение паролей в виде необратимых хешей (bcrypt);
• разграничение и минимизация прав доступа;
• регулярное резервное копирование;
• журналирование и мониторинг подозрительной активности;
• обработку данных в инфраструктуре, отвечающей требованиям информационной безопасности.

14. Уведомление уполномоченного органа

Оператор осуществляет обработку персональных данных с направлением уведомления в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в случаях и в порядке, предусмотренных ст. 22 152-ФЗ.

15. Несовершеннолетние

Сервис не предназначен для лиц младше 14 лет; Оператор не осуществляет намеренный сбор персональных данных таких лиц. Условия использования Сервиса несовершеннолетними определены в Пользовательском соглашении.

16. Файлы Cookies

Условия использования файлов cookies и аналогичных технологий описаны в отдельной Политике в отношении файлов cookies.

17. Контактные данные Оператора и реквизиты

• Сервис: Notifly, https://notifly.ru
• Контактный e-mail (в том числе по вопросам обработки ПДн): support@notifly.ru

Реквизиты Оператора (полное наименование, ОГРН/ОГРНИП, ИНН, юридический адрес) до завершения их оформления предоставляются по запросу на support@notifly.ru и указываются в чеке/счёте при оплате платных тарифов.

18. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу https://notifly.ru/legal/privacy/. Существенные изменения сообщаются пользователям дополнительно через интерфейс Сервиса или по e-mail.