Политика в отношении обработки персональных данных
Редакция от 15 октября 2026 года
Настоящая Политика в отношении обработки персональных данных описывает, как Norm CRM обрабатывает данные Пользователей, посетителей сайта и иных субъектов для собственных целей оператора. Политика является информационным документом, а не согласием на обработку персональных данных.
Перевод Политики на английский язык предоставляется для удобства. При расхождении применяется настоящая русская редакция, если иное не следует из обязательных норм закона.
1. Оператор и область действия
Оператор — Индивидуальный предприниматель Камелев Егор Владимирович, ОГРНИП 311784724500633, ИНН 781429913000, адрес регистрации: 197229, г. Санкт-Петербург, ул. Граничная, д. 21, кв. 62. Адрес для обращений по персональным данным: ekamelev@yandex.ru.
Политика применяется к сайту normcrm.ru, регистрации, оплате, приватной CRM, поддержке, служебным уведомлениям, аналитике и безопасности платформы.
В отношении сведений о клиентах, контрагентах, участниках проектов и посетителях сайтов, которые Пользователь загружает для своих целей, Пользователь является оператором, а Norm CRM обрабатывает данные по его поручению. Условия такой обработки приведены в Приложении № 1 к Пользовательскому соглашению. Настоящая Политика не заменяет политику самого Пользователя для его клиентов и посетителей.
2. Принципы обработки
Оператор соблюдает следующие принципы:
- обрабатывать данные законно, справедливо и только для заранее определённых целей;
- не собирать избыточные сведения и не объединять несовместимые цели;
- обеспечивать точность и давать возможность исправления;
- хранить идентифицирующие данные не дольше установленного срока;
- обеспечивать конфиденциальность, доступность и целостность данных;
- не использовать пользовательское содержимое для скрытой рекламы или продажи баз данных.
3. Субъекты и состав данных
Оператор может обрабатывать данные следующих лиц:
- посетителей маркетинговых и регистрационных страниц;
- зарегистрированных и бывших Пользователей;
- плательщиков и заявителей возврата;
- лиц, обращающихся в поддержку или по юридическим вопросам;
- администраторов и представителей Пользователя.
В зависимости от сценария обрабатываются:
- e-mail, имя или отображаемое имя, язык и настройки аккаунта;
- хэш пароля, данные активации, сведения о сессиях и настройках безопасности;
- IP-адрес, ограниченный User-Agent, дата и время, request ID, события входа и действий безопасности;
- источник регистрации: ограниченные UTM-метки либо origin внешнего referrer без полного пути и query;
- тариф, период, сумма, внутренний номер и статус платежа, промокод и связанные доказательства; реквизиты банковской карты Norm CRM не получает;
- Telegram-идентификаторы и настройки доставки при добровольном подключении;
- тема и содержание обращения, вложения и история ответа поддержки;
- cookies, идентификаторы и статистика использования сайта и Сервиса;
- версия принятого соглашения и политики, с которой Пользователь подтвердил ознакомление, дата, IP, User-Agent, request ID и SHA-256 текста.
Пароль не хранится в открытом или обратимо зашифрованном виде. Norm CRM хранит криптографический хэш, используемый для проверки введённого значения.
4. Источники данных
Данные поступают:
- непосредственно от субъекта при регистрации, оплате, настройке и обращении;
- автоматически от браузера, сервера и средств защиты при использовании Сервиса;
- от Robokassa о результате инициированного Пользователем платежа;
- от подключённых Пользователем интеграций в пределах выданных полномочий;
- от представителя субъекта или компетентного органа в предусмотренных законом случаях.
5. Цели, основания и сроки
| Цель | Данные и основание | Основной срок |
|---|---|---|
| Регистрация, аккаунт и предоставление Сервиса | E-mail, настройки, хэш пароля, данные сессии; заключение и исполнение договора | Срок договора и до 36 месяцев архивного режима после окончания оплаты |
| Оплата, чеки, возвраты и учёт | Сумма, тариф, идентификаторы и статус; исполнение договора и обязанностей по закону | В течение обязательных налоговых, бухгалтерских и исковых сроков, отдельно от удаляемой CRM |
| Аутентификация, предотвращение злоупотреблений и расследование инцидентов | IP, User-Agent, request ID, события; исполнение договора, обязанности по безопасности и законные интересы Оператора без нарушения прав субъекта | Обычные события безопасности — до 180 дней; материалы подтверждённого инцидента — до его закрытия и окончания применимого срока защиты |
| Служебные уведомления и поддержка | E-mail, адресаты, текст и история обращения; исполнение договора и инициатива Пользователя | Содержимое очереди доставки — как правило, до 90 дней; закрытые обращения — до 3 лет, если более длительный срок не нужен для спора |
| Аналитика и улучшение интерфейса | Cookies, идентификаторы, переходы и события; согласие, когда оно требуется, либо законный интерес при соблюдении прав субъекта | По настройкам соответствующего счётчика и до достижения цели анализа |
| Доказательство договора и исполнения запросов субъекта | Версии документов, действия, переписка; исполнение договора, закона и защита прав | Срок договора и не менее 3 лет после его прекращения, если более длительный срок не требуется законом или спором |
По окончании оплаченного доступа рабочие данные сохраняются в бесплатном архивном режиме до 36 месяцев, чтобы Пользователь мог вернуться, экспортировать или удалить их. Уведомления о плановом окончательном удалении направляются за 60 и 30 дней. Пользователь вправе потребовать более раннее удаление.
Исключение для незавершённой регистрации: если аккаунт не подтверждён в течение 24 часов после создания, рабочая запись, связанные настройки, очередь писем и записи юридических подтверждений автоматически удаляются. Очистка выполняется фоновыми порциями после истечения срока. Общие сроки хранения инфраструктурных журналов и резервных копий этим правилом не изменяются.
6. Действия и способы обработки
Оператор выполняет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу определённым получателям, предоставление доступа, обезличивание, блокирование, резервное копирование, удаление и уничтожение. Обработка преимущественно автоматизированная, с передачей по информационно-телекоммуникационным сетям; отдельные обращения и документы могут обрабатываться без автоматизации.
Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки профиля.
7. Получатели и поставщики
| Получатель | Назначение и возможные данные | Условие |
|---|---|---|
| Hostland | Российский hosting, production-база, файлы и резервные копии | Необходим для работы Сервиса |
| SMTP.BZ | E-mail, получатель, тема, тело письма и служебные сведения доставки | Текущий временный поставщик почтовой доставки |
| Robokassa и участники фискального контура | Сумма, внутренний номер платежа, тарифная и фискальная позиция; банковские данные вводятся на стороне поставщика | Только при оплате или возврате |
| Яндекс Метрика | Cookies, IP и сведения об использовании страниц; Webvisor применяется только в разрешённых Оператором контурах | Маркетинговая и поведенческая аналитика |
| Google reCAPTCHA | Технические сведения браузера и сетевого соединения, защитные cookies, токен и результат проверки риска; защита от ботов и злоупотреблений | При отправке регистрации или запроса восстановления пароля; обработка по поручению Оператора в рамках условий Google Cloud и приложения об обработке данных |
| Telegram | Идентификатор чата и сформированное Пользователем уведомление | Только после добровольного подключения |
| Собственный мониторинг доступности в Амстердаме | Публичный технический status/keyword без содержимого CRM, идентификаторов Пользователей и тел ошибок | Не должен использовать URL с персональными данными или получать журналы приложения |
Дополнительно данные могут быть предоставлены компетентному органу при наличии законного требования, а также профессиональному консультанту или подрядчику, связанному обязанностью конфиденциальности, в минимально необходимом объёме. Оператор не продаёт персональные данные.
8. Локализация и трансграничная передача
При сборе данных граждан Российской Федерации первичная запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием баз данных в Российской Федерации, кроме прямо предусмотренных законом случаев.
Telegram и иные иностранные или распределённые сервисы могут обрабатывать данные за пределами Российской Федерации. Передача возникает, в частности, при добровольном подключении соответствующей интеграции. Оператор обязан отдельно выполнять применимые требования к трансграничной передаче; раскрытие в настоящей Политике не заменяет таких обязанностей.
Защитная проверка Google reCAPTCHA также может включать передачу технических данных за пределы Российской Федерации. Google обрабатывает эти данные по поручению Оператора для обеспечения безопасности и предотвращения мошенничества и злоупотреблений. Обязанности Оператора по трансграничной передаче сохраняются.
9. Cookies и аналитика
Обязательные cookies используются для сессии, безопасности, выбранного языка, темы и сохранения настроек. Их отключение может сделать авторизацию и часть функций недоступными.
Яндекс Метрика используется для статистики и анализа поведения. Webvisor не должен использоваться в приватной CRM; он может применяться на маркетинговых страницах и в специально обозначенных демо-аккаунтах. В демо не следует вводить реальные, платёжные, конфиденциальные или иные чувствительные данные. Пользователь может ограничить cookies и сторонние запросы средствами браузера. Когда применимое право или свойства технологии требуют согласия, необязательная аналитика должна включаться на его основании.
10. Защита и доступ
Оператор применяет HTTPS, хэширование паролей, разграничение доступа, резервное копирование, защиту от злоупотреблений, обновление программного обеспечения, ограничение журналируемых данных и иные меры с учётом характера и рисков обработки. Доступ к содержимому предоставляется только для поддержки, безопасности, восстановления или исполнения законного требования и в необходимом объёме. Технический доступ hosting-поставщика определяется инфраструктурным договором.
Формы регистрации и восстановления пароля используют ограничения частоты запросов, ловушку автоматического заполнения и Google reCAPTCHA v3. Скрипт Google загружается при отправке защищённой формы и может устанавливать защитную cookie _GRECAPTCHA. Серверная проверка отправляет токен, но не email, пароль или содержимое CRM. Неверный результат или недоступность проверки отклоняет отправку; её можно повторить. Эти меры не гарантируют выявление всех автоматизированных отправок.
Абсолютная защита от всех угроз невозможна. При подтверждённом инциденте Оператор выполняет локализацию, расследование и обязательные уведомления в установленные законом сроки.
11. Права субъекта
Субъект вправе:
- получить сведения об обработке и доступ к своим данным;
- потребовать уточнения, блокирования или уничтожения неполных, неточных, незаконно полученных или ненужных данных;
- отозвать ранее данное согласие, не затрагивая обработку на других законных основаниях;
- возражать против обработки в предусмотренных законом случаях;
- обжаловать действия Оператора в Роскомнадзор или суд.
Запрос направляется на ekamelev@yandex.ru. Для защиты данных Оператор вправе запросить сведения, позволяющие подтвердить личность и связь с аккаунтом. Ответ и необходимые действия выполняются в сроки, установленные Федеральным законом № 152-ФЗ.
12. Удаление и резервные копии
При подтверждённом требовании Оператор блокирует ненужную обработку и удаляет рабочую копию в срок, предусмотренный законом и техническим регламентом. Данные в резервных копиях становятся недоступными для обычной работы и удаляются при перезаписи цикла. Если backup восстановлен после аварии, Оператор повторно применяет сведения о ранее исполненных удалениях.
Удаление аккаунта подтверждается в авторизованном интерфейсе паролем, при наличии — одноразовым кодом, а затем ссылкой из e-mail аккаунта и отдельной финальной кнопкой. Переход по ссылке сам по себе ничего не удаляет. После финального подтверждения вход и публичный доступ прекращаются сразу. Рабочая копия остаётся на 7 календарных дней в полностью заблокированном защитном карантине исключительно для ручного восстановления при подтверждённом взломе, после чего начинается необратимое удаление. Самостоятельной отмены нет. В течение карантина e-mail зарезервирован; после его окончания на тот же адрес можно создать новый, не связанный со старым аккаунт.
Платёжные, налоговые, договорные и инцидентные доказательства могут храниться отдельно после удаления аккаунта, пока существует самостоятельная обязанность или право на защиту. Доступ к ним ограничивается соответствующей целью.
13. Несовершеннолетние и чувствительные данные
Norm CRM не предназначен для самостоятельной регистрации несовершеннолетних. Оператор не просит Пользователя сообщать специальные категории, биометрические данные или сведения о судимости для регистрации и оплаты. Если такие сведения случайно направлены в поддержку или обнаружены при инциденте, доступ к ним ограничивается и вопрос решается с учётом закона и цели обращения.
14. Изменение Политики
Каждая редакция имеет дату и постоянный адрес. Актуальная версия публикуется на сайте. О существенных изменениях зарегистрированные Пользователи уведомляются по e-mail или внутри Сервиса. Если для новой цели требуется отдельное согласие, оно запрашивается отдельно от принятия договора и ознакомления с Политикой.
Версия: 2026-10-15.1 · 2026-10-15