Политика обработки персональных данных сервиса «tender-radar»

Редакция от 01 августа 2026 г. (версия 1.3)

Настоящая Политика обработки персональных данных (далее — «Политика») разработана во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Индивидуальным предпринимателем Якуповым Азаматом Якуповичем (далее — «Оператор») при обработке персональных данных пользователей сервиса «tender-radar» (далее — «Сервис»).

Политика распространяется на все персональные данные, получаемые Оператором при взаимодействии с Пользователем через сайт tender-radar.ru, Telegram-бот, платёжные сервисы, e-mail-канал, а также иные каналы взаимодействия.

1. Оператор персональных данных

Индивидуальный предприниматель Якупов Азамат Якупович

• ФИО: Якупов Азамат Якупович
• ИНН: 560706685630
• ОГРНИП: 325565800121457 (от 08.12.2025)
• Адрес: 460000, Оренбургская обл., г. Оренбург, шоссе Загородное, д. 57/2, кв./оф. 5
• E-mail для запросов субъектов ПДн: info@гарантий.рф
• Сайт Сервиса: tender-radar.ru

Надзорный орган в сфере защиты прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), rkn.gov.ru.

2. Основные понятия

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
• Субъект ПДн — Пользователь Сервиса (физическое лицо, индивидуальный предприниматель, уполномоченный представитель юридического лица).
• Обработка ПДн — любое действие (операция) или совокупность действий с ПДн (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
• Оператор — ИП Якупов А.Я. (см. раздел 1).
• Трансграничная передача ПДн — передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.
• Локализация ПДн — требование ч. 5 ст. 18 152-ФЗ: при сборе ПДн граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных, находящихся на территории РФ.

3. Правовые основания обработки

Оператор обрабатывает ПДн на следующих правовых основаниях:

• Согласие субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ) — оформляется путём проставления чекбокса при регистрации и при акцепте Оферты;
• Исполнение договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 152-ФЗ) — публичной оферты;
• Исполнение обязанностей, возложенных на Оператора законодательством РФ (налоговое и бухгалтерское законодательство, 54-ФЗ о применении ККТ) — п. 2 ч. 1 ст. 6 152-ФЗ;
• Достижение законных интересов Оператора и третьих лиц (защита Сервиса от автоматизированных атак, антифрод, обеспечение информационной безопасности, а также обработка сведений о контактных лицах заказчиков из опубликованной документации закупок — см. раздел 5.6) — п. 7 ч. 1 ст. 6 152-ФЗ при условии соблюдения прав и свобод субъекта;
• Отдельное согласие на трансграничную передачу — ст. 12 152-ФЗ (см. раздел 7.2 настоящей Политики).

4. Цели обработки персональных данных

Оператор обрабатывает ПДн в следующих целях:

1. Предоставление доступа к Сервису — создание и ведение аккаунта Пользователя в Личном кабинете и Telegram-боте.
2. Оказание услуг по договору — построение Профиля поставщика, формирование персональной ленты тендеров, AI-скоринг, отправка уведомлений.
3. Биллинг и финансовый учёт — выставление счетов, приём платежей через ЮKassa, формирование кассовых чеков (54-ФЗ), бухгалтерский и налоговый учёт.
4. Коммуникация с Пользователем — уведомления о новых тендерах, продлении подписки, технических работах, ответы на обращения.
5. Информационная безопасность — защита Сервиса от атак, мульти-аккаунтинга, парсинга, эксплуатации уязвимостей.
6. Аналитика и улучшение качества — веб-аналитика (Яндекс.Метрика), обезличенная статистика использования.
7. Рекламно-информационные рассылки — только при наличии отдельного согласия Пользователя (отдельный, не предустановленный чекбокс).

5. Категории обрабатываемых персональных данных

Оператор обрабатывает следующие категории ПДн:

5.1. Данные учётной записи и коммуникации

• Имя (first_name), фамилия (опционально) — указывается Пользователем при регистрации;
• E-mail — обязательное поле для входа, получения чеков, юридически значимых уведомлений;
• Номер телефона — добровольно, для получения чеков ЮKassa и для пуш-уведомлений;
• Идентификатор Telegram (user_id) и username — после привязки Telegram-бота для отправки дайджеста тендеров.

5.2. Данные Профиля поставщика

• ИНН — указывается Пользователем для построения Профиля. ИНН физического лица (включая самозанятого) однозначно относится к персональным данным. ИНН индивидуального предпринимателя в силу совпадения с ИНН физического лица также обрабатывается Оператором по правилам, установленным для персональных данных, в режиме повышенной осторожности — несмотря на размещение ИНН в открытых реестрах ЕГРИП. ИНН юридического лица персональными данными не является и обрабатывается как идентификатор организации. Пользователь, указывающий ИНН, подтверждает, что имеет право на его использование (свой ИНН, ИНН своей организации либо ИНН организации, в которой Пользователь является сотрудником/руководителем/учредителем);
• Производные данные, получаемые автоматически из публичных реестров по указанному ИНН: наименование организации, ОГРН/ОГРНИП, ОКВЭД, юридический адрес, регион регистрации, бухгалтерская отчётность (выручка, баланс), история контрактов в ЕИС;
• Указанные Пользователем настройки Профиля: ОКПД2, регионы работы, уровень СРО, дополнительные параметры фильтрации.

Важно. Оператор не использует ИНН Пользователя для целей, выходящих за пределы построения Профиля поставщика и формирования персональной ленты тендеров. ИНН и наименование Профиля передаются во внешний AI-сервис для расчёта релевантности тендеров — состав и условия такой передачи описаны в разделе 7.2. Для индивидуального предпринимателя наименование Профиля, полученное из ЕГРИП, содержит фамилию, имя и отчество — в этом случае в составе передаваемых данных фактически присутствуют ФИО.

5.3. Платёжные данные

• Факт и сумма платежа, дата, идентификатор транзакции ЮKassa;
• Маскированный номер карты (последние 4 цифры), указание банка-эмитента — для отображения в истории платежей;
• Полные реквизиты банковской карты Оператором НЕ обрабатываются — они передаются напрямую в ЮKassa и обрабатываются ей в соответствии со стандартом PCI DSS.

5.4. Пользовательский контент и метаданные

• История взаимодействия с лентой тендеров (просмотры, сохранения, отметки «не интересно»);
• История переписки с Telegram-ботом и нажатия на inline-кнопки;
• Метаданные: временные метки авторизаций, IP-адрес посещения сайта, User-Agent браузера.

5.5. Техническая информация

• Cookies и аналогичные технологии (сессия better-auth, Яндекс.Метрика);
• Данные о сессии, устройстве, геолокации по IP на уровне города (для безопасности и аналитики).

5.6. Персональные данные третьих лиц из документации закупок

Сервис автоматически загружает и анализирует документацию закупок, опубликованную заказчиками в Единой информационной системе в сфере закупок (zakupki.gov.ru) и на электронных торговых площадках, — извещения, технические задания, проекты контрактов, приложения.

Такая документация в силу требований законодательства о закупках содержит сведения о контактных лицах заказчика: фамилию, имя и отчество ответственного за закупку, его должность, рабочий телефон и служебный адрес электронной почты. Сервис извлекает эти сведения и отображает их Пользователю в карточке тендера, чтобы Пользователь мог обратиться к заказчику по вопросам участия.

Указанные лица не являются Пользователями Сервиса и не состоят с Оператором в договорных отношениях.

• Правовое основание — п. 7 ч. 1 ст. 6 152-ФЗ: обработка необходима для достижения законных интересов Оператора и Пользователей Сервиса (обеспечение возможности участия в закупке и коммуникации с заказчиком) при условии, что не нарушаются права и свободы субъекта ПДн.
• Источник данных — исключительно официально опубликованные заказчиками документы закупок, размещённые в открытом доступе в силу прямого требования закона (44-ФЗ, 223-ФЗ). Оператор не приобретает такие сведения у третьих лиц и не собирает их из иных источников.
• Уведомление субъекта — в силу п. 2 ч. 4 ст. 18 152-ФЗ Оператор освобождён от обязанности отдельно уведомлять субъекта, поскольку ПДн получены из общедоступных источников.
• Объём — только служебные контактные сведения, размещённые в документации закупки. Сведения о частной жизни, домашние адреса и личные контакты не обрабатываются.
• Права субъекта — контактное лицо заказчика вправе направить на info@гарантий.рф требование об уточнении, блокировании или удалении своих данных из Сервиса. Требование исполняется в срок не более 10 рабочих дней; после удаления сведения не восстанавливаются при повторной обработке документации той же закупки.
• Передача — документация закупки передаётся во внешние AI-сервисы для автоматического разбора (раздел 7.2). Вместе с текстом документации в эти сервисы попадают и содержащиеся в ней контактные сведения.

Оператор НЕ обрабатывает:

• специальные категории ПДн (сведения о расе, политических взглядах, здоровье, судимостях, биометрии);
• ПДн несовершеннолетних — Сервис рассчитан исключительно на лиц старше 18 лет.

6. Источники получения данных

• Непосредственно от Пользователя — при регистрации, в Личном кабинете, в диалоге с Telegram-ботом;
• Из публичных реестров по запросу Пользователя — данные по указанному им ИНН поступают из ЕГРЮЛ/ЕГРИП (через сервис dadata.ru), бухгалтерской отчётности ФНС (через bo.nalog.ru), реестра контрактов ЕИС (через ftp.zakupki.gov.ru). Эти данные касаются преимущественно юридических лиц и являются открытой публичной информацией; в отношении ИП могут содержать ПДн (ФИО, адрес регистрации) — обрабатываются как ПДн;
• От платёжного провайдера — ЮKassa передаёт факт оплаты, маскированный номер карты, идентификатор подписки;
• Из опубликованной документации закупок — извещения, технические задания и проекты контрактов, размещённые заказчиками в ЕИС и на электронных торговых площадках в открытом доступе. Из этих документов Сервис извлекает сведения о закупке и служебные контактные данные ответственных лиц заказчика (раздел 5.6);
• Автоматически — cookies, IP, User-Agent при посещении сайта.

Оператор не приобретает базы ПДн у третьих лиц и не собирает ПДн из открытых источников сверх того, что необходимо для оказания услуг Пользователю по его явному запросу (ввод ИНН в форму Профиля).

7. Передача персональных данных третьим лицам

7.1. Перечень лиц, которым передаются ПДн (РФ-юрисдикция)

Оператор передаёт ПДн Пользователя ограниченному кругу обработчиков для достижения целей, указанных в разделе 4. Все нижеперечисленные обработчики размещают данные на территории Российской Федерации:

7.2. Трансграничная передача персональных данных

Для автоматического анализа закупок Оператор использует внешние сервисы искусственного интеллекта, размещённые за пределами Российской Федерации. Ниже приведён полный перечень таких получателей, действующий на дату настоящей редакции.

НЕ передаются ни одному из указанных получателей: e-mail Пользователя, номер телефона, пароли, платёжные и банковские данные, идентификатор Telegram, IP-адрес, история переписки с Telegram-ботом, история просмотров ленты.

Условия трансграничной передачи:

1. Основание передачи. Автоматический анализ закупок является функциональной частью Сервиса, предусмотренной Офертой. Передача осуществляется для исполнения договора с Пользователем (п. 5 ч. 1 ст. 6 152-ФЗ) с соблюдением требований ст. 12 152-ФЗ. Дополнительно при регистрации Пользователю предлагается отдельный, не предустановленный чекбокс согласия на трансграничную передачу — он фиксирует явное согласие субъекта ПДн и не объединён с общим согласием на обработку.

2. Страны получателей не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждённый Роскомнадзором. Передача в такие государства осуществляется в порядке, предусмотренном ч. 8–11 ст. 12 152-ФЗ. При получении решения Роскомнадзора о запрете или ограничении передачи Оператор приостанавливает или прекращает соответствующую передачу.

3. Состав данных Профиля. ИНН индивидуального предпринимателя и самозанятого, а равно наименование Профиля индивидуального предпринимателя (содержащее ФИО), обрабатываются Оператором как персональные данные и в указанном составе передаются получателям, названным выше. Оператор прямо обращает на это внимание Пользователя: ФИО индивидуального предпринимателя фактически входит в состав передаваемых за рубеж сведений.

4. Персональные данные третьих лиц. Документация закупки передаётся получателям целиком, вместе с содержащимися в ней служебными контактными сведениями представителей заказчика. Правовое основание обработки таких сведений и права соответствующих субъектов описаны в разделе 5.6.

5. Прекращение передачи по требованию Пользователя. Пользователь вправе в любой момент потребовать прекращения трансграничной передачи данных своего Профиля, направив запрос на info@гарантий.рф. Требование исполняется в срок не более 10 рабочих дней: Профиль поставщика Пользователя исключается из автоматического анализа. Лента тендеров при этом продолжает работать по точным фильтрам (ОКПД2, регион, НМЦК, ключевые слова) без AI-скора и без автоматического разбора документации.

Условия обработки на стороне получателей (на дату редакции):

• DeepSeek — при использовании платного API запросы не направляются на обучение моделей; провайдер хранит журналы обращений ограниченное время в целях контроля злоупотреблений. Актуальные условия: platform.deepseek.com/terms;
• Google LLC — обработка в рамках платного Gemini API: содержимое платных запросов не используется для улучшения моделей. Актуальные условия: ai.google.dev/gemini-api/terms.

Результат обработки сохраняется на стороне Оператора в виде кеша AI-скоров и разбора документации (TenderMatch.score_reason, поля разбора тендера) на серверах в Российской Федерации.

7.3. Передача через Telegram

Уведомления Пользователю отправляются через Telegram Bot API. Оператор сервиса Telegram — Telegram FZ-LLC (Объединённые Арабские Эмираты). Передаются: содержимое сообщения (краткие описания тендеров без ПДн Пользователя), chat_id Пользователя, время отправки. Telegram не используется в качестве канала передачи ПДн Пользователя третьим лицам — только для адресной доставки сообщений самому Пользователю.

7.4. Передача по требованию государственных органов

Оператор раскрывает ПДн государственным органам Российской Федерации при наличии законного запроса (суд, следствие, Роскомнадзор, ФНС и т. п.). О факте раскрытия (если это не запрещено законом) Оператор уведомляет Пользователя.

8. Локализация ПДн (ч. 5 ст. 18 152-ФЗ)

Все базы данных Сервиса, содержащие ПДн граждан РФ, размещаются на территории Российской Федерации:

• Основная база данных PostgreSQL — сервер light-amber (хостинг ООО «Аеза Групп», ЦОД Москва);
• Резервные копии — Aeza Object Storage / локальное зашифрованное хранилище в том же ЦОД;
• Backend-инфраструктура (Next.js, парсер, Telegram-бот) — сервер fellow-tan того же провайдера, г. Москва.

Первичная запись, систематизация, накопление, хранение, уточнение и извлечение ПДн осуществляются исключительно на серверах в РФ. Трансграничная передача (см. раздел 7.2) производится только в режиме «отправка для целей обработки и получения ответа», без перенесения первичной базы за рубеж.

9. Сроки хранения персональных данных

По истечении срока хранения ПДн удаляются или обезличиваются. Данные удаляются досрочно по отзыву согласия Пользователя, за исключением данных, которые Оператор обязан хранить по закону (платёжные документы — 5 лет).

10. Права субъекта персональных данных

Пользователь в соответствии со ст. 14–17 152-ФЗ вправе:

1. Получать информацию об обработке своих ПДн: перечень данных, цели, сроки, правовые основания, перечень обработчиков (ст. 14 152-ФЗ);
2. Требовать уточнения своих ПДн, блокирования или удаления — если ПДн неполные, устаревшие, неточные, незаконно полученные или более не нужны для целей обработки;
3. Отозвать согласие на обработку ПДн — полностью или в части (например, только на трансграничную передачу, или только на рекламные рассылки);
4. Получить копию своих ПДн в структурированном виде (право на переносимость);
5. Обжаловать действия или бездействие Оператора в Роскомнадзоре (rkn.gov.ru) или в суде.

Как воспользоваться правами

Через Личный кабинет:

• удаление аккаунта — на странице /account (кнопка «Удалить аккаунт»);
• отписка от рекламных рассылок — ссылка в каждом письме рассылки или переключатель в настройках.

Отзыв согласия на трансграничную передачу оформляется по письменному запросу на info@гарантий.рф (порядок и срок исполнения — раздел 7.2, п. 5).

По e-mail:

Направить запрос на info@гарантий.рф с темой «Запрос субъекта ПДн». В теле письма указать:

• ФИО / e-mail аккаунта / ИНН Профиля (если был указан);
• суть запроса (получить копию, удалить, исправить, отозвать согласие);
• контактный e-mail для ответа.

Срок обработки запроса — не более 10 рабочих дней с даты получения (может быть продлён до 30 дней с уведомлением субъекта о причинах продления).

При отзыве согласия на обработку ПДн, если такая обработка является необходимой для оказания услуг по Оферте, Оператор вправе прекратить исполнение договора с возвратом средств за неиспользованный период (раздел 5 Оферты).

11. Меры по защите персональных данных

Оператор принимает организационные и технические меры защиты ПДн в соответствии со ст. 18.1 и ст. 19 152-ФЗ:

Организационные:

• Назначено лицо, ответственное за обработку ПДн (ИП Якупов А.Я. лично или уполномоченный представитель);
• Утверждена настоящая Политика и внутренние инструкции по обработке ПДн;
• Ограничен круг лиц, имеющих доступ к ПДн (только владелец ИП и привлечённые подрядчики на условиях NDA);
• Проводится периодический аудит журналов доступа.

Технические:

• Хостинг в РФ — сервер БД light-amber и серверы приложения fellow-tan размещены в ЦОД Aeza, Москва, на территории Российской Федерации;
• Аутентификация по SSH-ключам, парольный вход на серверы отключён;
• Шифрование канала передачи — HTTPS / TLS 1.3 на сайте tender-radar.ru, TLS при обращении к API ЮKassa, dadata, DeepSeek, Google, Telegram;
• Хеширование паролей — алгоритмы bcrypt/argon2 (стандарт better-auth);
• IP-whitelist на webhook ЮKassa (диапазоны 185.71.76.0/27, 185.71.77.0/27);
• Изоляция данных Пользователей по user_id в рамках Prisma-схемы (multi-tenancy);
• Регулярные резервные копии БД в зашифрованном хранилище (ежедневно, ротация 7 дней);
• Ротация секретов при подозрении на компрометацию;
• Мониторинг и журналирование подозрительной активности (rate-limit, анти-бот-детект, попытки парсинга).

При выявлении инцидента, связанного с неправомерной или случайной передачей (предоставлением, распространением, доступом) ПДн:

• в течение 24 часов с момента выявления Оператор уведомляет Роскомнадзор о факте инцидента и предполагаемых причинах (ч. 3.1 ст. 21 152-ФЗ);
• в течение 72 часов — направляет в Роскомнадзор сведения о результатах внутреннего расследования и принятых мерах;
• в разумный срок, как правило не превышающий 72 часов с момента, когда инцидент признан затрагивающим конкретных субъектов, Оператор уведомляет таких субъектов на адрес электронной почты, указанный при регистрации, и через уведомление в Личном кабинете. Уведомление содержит: дату и время инцидента, состав затронутых ПДн, предполагаемые последствия для субъекта, принятые и планируемые меры по устранению, контакты Оператора и инструкции по защите (например, смена пароля, мониторинг карт).

За нарушение требований законодательства в области персональных данных, включая нарушение порядка и сроков уведомления об инцидентах, Оператор несёт административную ответственность по ст. 13.11 КоАП РФ (в редакции, действующей с 30.05.2025), а за противоправные действия в отношении персональных данных — уголовную ответственность по ст. 272.1 УК РФ. Размер административного штрафа определяется составом правонарушения и, при утечке, количеством затронутых субъектов персональных данных.

12. Использование cookies и аналогичных технологий

Сайт tender-radar.ru использует cookies для:

• технической работы сайта — сессии, авторизация в Личном кабинете (better-auth session cookie);
• веб-аналитики — Яндекс.Метрика (обезличенные данные о поведении пользователей);
• сохранения пользовательских настроек — выбранные фильтры ленты, тема оформления.

При первом посещении сайта Пользователь видит баннер согласия на cookies с возможностью:

• принять все cookies (включая аналитические);
• принять только технически необходимые;
• закрыть баннер без выбора — в этом случае загружаются только технически необходимые cookies до явного выбора Пользователя.

Пользователь может в любой момент отключить cookies в настройках браузера — часть функций Сервиса (авторизация в Личном кабинете) станет недоступной.

13. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу tender-radar.ru/legal/privacy. Существенные изменения доводятся до Пользователя через уведомление в Личном кабинете и по e-mail не позднее чем за 14 (четырнадцать) календарных дней до вступления в силу.

При несогласии с новой редакцией Пользователь вправе:

• отозвать согласие на обработку ПДн (раздел 10);
• отказаться от Сервиса с возвратом средств за неиспользованный период (раздел 5 Оферты).

14. Контакты

Вопросы по обработке ПДн:

• E-mail: info@гарантий.рф
• Почтовый адрес: 460000, Оренбургская обл., г. Оренбург, шоссе Загородное, д. 57/2, кв./оф. 5
• Надзорный орган: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — rkn.gov.ru, телефон Управления РКН по Оренбургской области уточнять на сайте РКН.

Документ подготовлен на основе требований 152-ФЗ с учётом изменений по локализации и трансграничной передаче, действующих на 01 августа 2026 г. Перед запуском продаж рекомендуется дополнительная проверка практикующим юристом по защите персональных данных, особенно в части трансграничной передачи и регистрации в реестре операторов Роскомнадзора.