Политика обработки персональных данных

1. Оператор

Оператор персональных данных — Индивидуальный предприниматель Муллахметов Рустам Саитович, ИНН 183509846589, ОГРНИП 310184121700020, адрес: 426077, г. Ижевск, ул. Красноармейская, д. 76, кв. 283, электронная почта для обращений субъектов: support@corvast.ru.

Политика опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки и меры по защите персональных данных в сервисе «Тендерный помощник» (corvast.ru).

2. Какие данные обрабатываются

• Пользователи сервиса: адрес электронной почты (он же логин), название организации, указанное при регистрации, хеш пароля, даты регистрации, входов и действий в сервисе, IP-адрес и сведения о браузере при входе и при даче согласия; если пользователь сам подключил уведомления в мессенджере — идентификатор чата и имя пользователя в Telegram или MAX.
• Посетители сайта до регистрации: файлы cookie, метки рекламной ссылки (UTM), адрес сайта, с которого выполнен переход; если на сайте включена Яндекс Метрика — сведения о посещении страниц, которые собирает она: IP-адрес, сведения о браузере и устройстве, действия на открытых страницах сайта; содержимое полей форм Метрика не записывает. На страницах внутри сервиса после входа Яндекс Метрика не работает.
• Сотрудники Клиента, приглашённые в команду: адрес электронной почты и роль в аккаунте.
• Данные, которые Клиент вносит сам: реквизиты участника закупки (наименование, ИНН, ОГРН, КПП, адрес, банковские реквизиты, ФИО и должность подписанта и главного бухгалтера, телефон и электронная почта организации, а для индивидуального предпринимателя — паспортные данные, если он их указал); профиль участника (лицензии, СРО, опыт, сведения о специалистах); контакты исполнителей (ФИО, телефон, электронная почта) и представителей заказчиков закупок; документы закупок, сметы и прайсы; вопросы помощнику и обращения в поддержку. Эти данные Оператор обрабатывает по поручению Клиента в интересах исполнения договора с ним.

Специальные категории и биометрические персональные данные не обрабатываются.

3. Цели и основания

• Регистрация и доступ к сервису, оказание услуг по договору — пункт 5 части 1 статьи 6 152-ФЗ (исполнение договора).
• Направление уведомлений: подтверждение адреса, восстановление пароля, напоминания о сроках закупок, письма об окончании подписки — исполнение договора и согласие субъекта.
• Выставление счетов и бухгалтерский учёт — исполнение обязанностей, возложенных законодательством.
• Защита сервиса от подбора паролей и злоупотреблений — законные интересы Оператора.
• Проверка участника закупки по открытым государственным реестрам (единый реестр субъектов МСП, реестр недобросовестных поставщиков) — исполнение договора.
• Оценка того, откуда приходят посетители и какие страницы сайта им полезны — согласие субъекта, выраженное продолжением работы с сайтом после уведомления об использовании cookie. Cookie можно отключить в настройках браузера.

4. Передача третьим лицам

Оператор не продаёт персональные данные и передаёт их только перечисленным ниже лицам и только в указанном объёме. Базы данных и файлы сервиса размещены на серверах на территории Российской Федерации (часть 5 статьи 18 152-ФЗ). Данные каждого аккаунта изолированы: другие клиенты сервиса их не видят.

Кому	Что передаётся	Когда и зачем
ПАО Сбербанк — сервис GigaChat API	Тексты документов закупки (извещение, техническое задание, проект контракта), позиции смет и прайсов, сведения профиля участника (лицензии, СРО, опыт, специалисты), вопросы, заданные помощнику. Реквизиты участника закупки, паспортные и банковские данные в модель не передаются.	Работа функций искусственного интеллекта: анализ закупки, подбор по прайсам, заполнение форм заявки, ответы помощника и консультанта. На тарифе FREE — всегда, по ключу GigaChat самого Клиента; на START и BUSINESS — только если собственная модель Оператора недоступна или Клиент сам подключил свой ключ
IHC, хостинг-провайдер ihc.ru	Адрес электронной почты получателя и текст письма	Отправка писем сервиса: подтверждение адреса, восстановление пароля, напоминания и уведомления
EuroByte, хостинг-провайдер eurobyte.ru (дата-центр в Москве)	Данные, размещённые на сервере, в объёме технического обслуживания	Размещение сервиса и резервных копий
ООО «Дадата» — сервис DaData	ИНН или БИК, введённые для автозаполнения реквизитов	Получение сведений из ЕГРЮЛ, ЕГРИП и справочника банков по нажатию «Заполнить по ИНН» или «Банк по БИК»
ФНС России (rmsp.nalog.ru) и ЕИС в сфере закупок (zakupki.gov.ru)	ИНН участника закупки из реквизитов	Проверка статуса субъекта МСП и записей в реестре недобросовестных поставщиков, не чаще раза в сутки
ООО «Яндекс» — сервис Яндекс Метрика	Сведения о посещении открытых страниц сайта (главная, регистрация): cookie, IP-адрес, сведения о браузере, действия на странице	Статистика посещаемости открытых страниц сайта
Telegram FZ-LLC (ОАЭ) — мессенджер Telegram; ООО «Коммуникационная платформа» — мессенджер MAX	Идентификатор чата, адрес электронной почты в сокращённом виде (например, b***@example.com) в сообщении о подключении, тексты уведомлений: названия и номера закупок, сроки, суммы, ссылки на сервис. Реквизиты, документы и прайсы в мессенджер не отправляются	Только если пользователь сам подключил бота уведомлений в «Настройки → Уведомления». Отключить — там же или командой /stop

Собственная модель искусственного интеллекта Оператора работает на его вычислительных мощностях в Российской Федерации; обращения к ней третьим лицам не передаются.

Трансграничная передача. Она возможна в одном случае: если пользователь сам подключил уведомления в Telegram — серверы мессенджера находятся за пределами Российской Федерации. Передаются только данные, указанные в строке «Telegram» таблицы. Подключение добровольное, без него сервис работает полностью; отключить его можно в любой момент. В остальных случаях трансграничная передача не осуществляется.

5. Сроки хранения

• Данные аккаунта, его пользователей и загруженные файлы хранятся, пока существует аккаунт. При удалении аккаунта — самим владельцем в «Настройки → Аккаунт» или по его обращению — они удаляются сразу (по обращению — не позднее 10 рабочих дней).
• Журналы входов и действий — пока существует аккаунт, но не дольше 1 года.
• Резервные копии снимаются ежедневно и заменяются по кругу: данные удалённого аккаунта исчезают из них не позднее чем через 30 дней.
• Счета, акты и сведения об оплатах хранятся в бухгалтерском учёте Оператора 5 лет (часть 1 статьи 29 Федерального закона «О бухгалтерском учёте»), в том числе после удаления аккаунта, — это единственное исключение.

6. Права субъекта персональных данных

Субъект вправе получить сведения об обработке своих данных и их копию, потребовать уточнения, блокирования или уничтожения, отозвать согласие.

• Владелец аккаунта делает это сам на странице «Настройки → Аккаунт»: кнопка «Выгрузить все данные» отдаёт их одним архивом сразу, «Удалить аккаунт» удаляет аккаунт и все его данные.
• Любой субъект — в том числе сотрудник команды или человек, чьи данные внёс Клиент, — может направить обращение на support@corvast.ru. Срок ответа — 10 рабочих дней (часть 3 статьи 14 152-ФЗ).

Отзыв согласия влечёт удаление учётной записи: без обработки адреса электронной почты вход в сервис невозможен.

7. Меры защиты

• Пароли хранятся в виде хешей, ключи доступа к внешним сервисам — в шифрованном виде; в интерфейсе и журналах они не показываются.
• Данные разных аккаунтов изолированы; доступ ограничен пользователями аккаунта. Сотрудники Оператора открывают данные аккаунта только для ответа на обращение Клиента или устранения сбоя и только в нужном для этого объёме.
• Доступ к серверу ограничен, соединение защищено TLS.
• Ведётся резервное копирование; копии хранятся в том же правовом режиме.
• Об инциденте, повлёкшем неправомерную передачу персональных данных, Оператор уведомляет Роскомнадзор в течение 24 часов и сообщает результаты внутреннего расследования в течение 72 часов (части 3.1 статьи 21 152-ФЗ), а затронутым пользователям сообщает об этом по электронной почте.

8. Изменения

Новая редакция Политики публикуется по этому адресу. О существенных изменениях — новых получателях данных, целях или сроках хранения — Оператор сообщает по электронной почте аккаунта не позднее чем за 10 дней. Редакция от 2026-10-26.